Endpoint Trust Manager (ETM)
ユーザーデバイスからアプリケーションサーバーまで、各エンドポイントのライブ信頼決定。
企業アクセスでは、信頼はユーザー名とパスワードだけで確立されません。ユーザーがどのデバイスから接続しているか、そのデバイスのセキュリティ状態、モバイルデバイスのコンプライアンス、アプリケーションサーバーの実際の健康状態も決定の一部でなければなりません。
TR7 ETM、つまりEndpoint Trust Managerは、ユーザーデバイス、モバイルデバイス、アプリケーションサーバーをライブ信頼シグナルに変換します。デバイスポスチャはAAMアクセスポリシーに、サーバーヘルスはADCルーティング決定に接続されます。
結果:アクセス決定は一回限りではなく、セッション全体を通じて最新に保たれます。リスクのあるデバイスはブロックされ、適合デバイスは制御されたアクセスを受け、圧迫されたサーバーからトラフィックが引き戻され、すべてのプロセスが監査可能な記録の下に保持されます。
デバイスの信頼を測定する。それに従ってアクセスを管理する。
ETMはクライアント、モバイルデバイス、アプリケーションサーバーから収集したライブシグナルをTR7 AAM、ADC、Central Management、SIEMストリームに接続するEndpoint Trust Managerレイヤーです。
従来のシステムはデバイスにログイン時に信頼する、その後を見ない
多くの企業アクセスシステムは接続時のみデバイスをチェックします。デバイスがその瞬間に適切に見える場合、アクセスが付与されます;しかし、セッション開始後、セキュリティエージェントが停止したり、デバイス構成が崩れたり、リスクのあるプロセスが実行される可能性があります。サーバー側にも同様の欠落があります:サービスが応答するので健全とみなされます。しかし、本当の信頼決定はデバイスとサーバーの状態を継続的に監視することで行われます。
ログイン時刻は知られている、セッションプロセスは知られていない
デバイスはログイン中に安全に見える可能性があります。しかし、セッション開始後、セキュリティエージェントが停止したり、ディスク暗号化が無効になったり、悪意のあるプロセスが開始されたり、デバイスがポリシー外に出る可能性があります。従来のモデルはこの変更をアクセス決定に瞬時に反映できません。
限られたデータでは信頼決定はできない
IPアドレス、オペレーティングシステム名、または基本的なデバイス情報は真の信頼状態には不十分です。ソフトウェアインベントリ、実行中のプロセス、セキュリティエージェント、ディスク暗号化、証明書、構成状態を共に評価する必要があります。
見るだけでは不十分、介入が必要
リスクのあるデバイスを報告するだけはセキュリティではありません。運用チームはデバイスを隔離し、コマンドを実行し、リスクのあるプロセスを終了し、リモートで証拠を収集できる必要があります。
サーバーでのHTTP 200は本当の健康ではない
アプリケーションサーバーは応答しているかもしれません;しかし、CPUが上昇し、RAMが枯渇し、ディスクが満杯になり、データベース接続制限が満杯になっている可能性があります。ADCが正しい決定を下すには、サーバーの内部状態も知る必要があります。
クライアント、モバイル、サーバーが同じ信頼モデルに接続される
ETMの基本的なアプローチはこれです:企業アクセスでは、デバイス信頼、モバイルコンプライアンス、サーバーヘルスを別々に管理すべきではありません。同じ信頼モデルがユーザーデバイス、モバイルデバイス、アプリケーションサーバーで動作する必要があります。ETMはこれらのシグナルを単一のTR7管理レイヤーに集め、アクセス、ルーティング、インシデント対応、監査プロセスに接続します。
Windows、macOS、Linuxクライアント
企業デバイスは同じデータモデルで監視されます。デバイス信頼スコアはAAMアクセスポリシーでライブ決定入力として使用できます。
サーバーで同じ信頼モデル
アプリケーションサーバーからCPU、RAM、ディスク、サービス、プロセス、アプリケーションメトリクスが収集されます。これらのデータはADCルーティング決定にライブシグナルを提供します。
モバイルデバイスのための組み込みMDM
AndroidおよびiOSデバイスは同じ管理エリアに含められます。企業プロファイル、アプリケーション配布、選択的削除、コンプライアンスチェックが単一のプラットフォームから管理されます。
TR7プラットフォームに統合
ETMは別個のエンドポイントツールとしてではなく、TR7 Application DeliveryおよびSecurityプラットフォームの信頼レイヤーとして動作します。AAM、ADC、WAAP、Central Management、SIEMは同じシグナルフローを使用します。
デバイス信頼、リモート介入、サーバーヘルス、整合性が同じフローで
ETMは4つの主要なレイヤーで構成されています。まず、デバイスの信頼状態が継続的に測定されます。必要に応じてリモートで介入されます。サーバー側では、実際のヘルス状態がADC決定に転送されます。最後に、アプリケーションファイル、リリースプロセス、構成変更が整合性制御で監視されます。
継続的デバイス信頼
デバイスはログイン時だけでなく、セッション全体で評価されます。ソフトウェアインベントリ、セキュリティエージェント状態、ハードウェア情報、構成変更、証明書状態、ネットワークインターフェース、基本的なセキュリティシグナルが定期的に収集されます。
- デバイスセキュリティのための複数のデータカテゴリが単一のモデルに集められる
- 重要な変更はイベントとして検出され、アクセスポリシーをトリガーできる
- セキュリティエージェントとアンチウイルス状態、ディスク暗号化、OSバージョン、ソフトウェアインベントリが監視される
- 収集されたデータは企業管理下のTR7管理レイヤーに保存される
- GDPRおよび内部ポリシー要件のためにデータ最小化を構成できる
リモートアクション&ライブクエリ
ETMはデバイスを監視するだけでなく、管理可能にします。SOCおよびITチームはライブクエリを実行し、コマンドを送信し、ファイルを取得し、リスクのあるプロセスを終了するか、ネットワークからデバイスを分離できます。
- ライブクエリでデバイスインベントリと状態情報が秒単位で取得される
- コマンド実行、ファイル転送、プロセス終了がサポートされる
- インシデント発生時、デバイスはワンクリックで隔離できる
- ポリシー変更はデバイスグループに中央で適用できる
- 各リモートアクションに対して監査トレイルと承認チェーンが保持される
サーバー信頼シグナル → ルーティングインテリジェンス
ETMエージェントはアプリケーションサーバー上で動作し、サーバーの実際の状態をADCに転送します。こうしてトラフィックルーティング決定は単純な外部ヘルスチェックだけでなく、サーバーのライブリソース状態にも基づいて行われます。
- CPU、RAM、ディスク、スワップ、IO、サービス状態が監視される
- アプリケーションメトリクスがルーティング決定のシグナルとして使用できる
- ヘルススコアがADCアルゴリズムで重みとして評価できる
- リソース圧力が増加するサーバーからトラフィックを段階的に引き戻すことができる
- 外部ヘルスチェックと内部システムテレメトリが共に使用される
サーバー整合性&リリースインテリジェンス
ETMはサーバー上のファイル、ディレクトリ、バイナリ、構成変更を監視し、アプリケーションの整合性を可視化します。不正な変更、webshell疑い、クラスタードリフト、リリースプロセスが運用決定に接続できます。
- Webrootファイルハッシュとディレクトリ整合性が監視される
- Webshellおよび不正なファイル変更リスクに対してアラームを生成できる
- クラスター全体でのファイルおよび構成ドリフトが検出される
- リリース期間中のwarm-upおよびトラフィックルーティング調整がサポートされる
- バイナリ変更と構成偏差が即時セキュリティシグナルに変わる
1つのエージェント、1つのデータモデル、1つの信頼決定
ETMはクライアント、モバイル、サーバー側を別個のツールに分割することなく管理します。デスクトップおよびサーバーシステムにエージェント、モバイルデバイスにMDM、TR7側に中央管理とポリシーエンジンがあります。このアーキテクチャのおかげで、企業デバイス信頼、アプリケーションアクセス、サーバールーティング決定は同じデータパイプライン上で動作します。
- Windows、macOS、Linux向けのクロスプラットフォームエージェント
- iOSおよびAndroid向けの組み込みMDM管理
- サーバー信頼シグナルのためのパフォーマンス重視のエージェント動作モデル
- AAM統合によりデバイス信頼状態がconditional access決定に接続される
- ADC統合によりサーバーヘルススコアがロードバランシング決定に含まれる
- Central Management統合によりマルチリージョンデバイスインベントリが単一のコンソールから監視される
- SIEM統合によりテレメトリ、信頼イベント、管理データがセキュリティチームに転送される
- 各コマンド、ポリシー変更、管理アクションに対して監査トレイルが保持される
ETMが解決する5つの重要な領域
ETMはデバイスセキュリティとアプリケーションアクセスの間のギャップを閉じます。同時に、アプリケーションサーバーの実際の状態をADC決定に転送することにより、ユーザー体験と運用継続性を強化します。
セキュリティエージェントが停止したときのアクセス決定の即時変更
ユーザーのデバイスでセキュリティエージェントまたはアンチウイルスが停止します。従来の構造では、ユーザーはまだ開いているセッションで機密アプリケーションへのアクセスを続けます。
ETMはこの変更を即座に信頼イベントとして検出します。AAMはアクセスを一時停止したり、step-up MFAを要求したり、セッションを終了したりできます。SOCチームはデバイスをリモートで分離してフォレンジックデータを収集できます。
個人デバイスからの機密アプリケーションアクセス
医師、金融専門家、または現場作業員が自分のデバイスから企業アプリケーションにアクセスしたいと考えます。デバイスは企業インベントリにないため、セキュリティポスチャは明確ではありません。
ETMはモバイルまたはデスクトップデバイスの信頼状態をチェックします。適切なデバイスにアクセスが付与され、リスクのあるデバイスでは追加の検証またはブロックが適用されます。モバイルデバイスでは、企業データが作業プロファイルと選択的削除で個人エリアから分離されます。
サーバーが圧迫されたときのトラフィックのスムーズな別の場所への移動
アプリケーションサーバーがHTTP 200を返します;しかし、データベース接続制限が満杯になり、CPUが上昇し、キューの深さが増加しています。ユーザーは遅さを経験しますが、従来のヘルスチェックはサーバーを健全と見なします。
ETMサーバー信頼シグナルはこの圧力をライブデータとしてADCに転送します。ADCは関連するサーバーのトラフィック重みを段階的に下げ、新しいリクエストをより健全なサーバーにリダイレクトします。
監査のためのデバイスとサーバーのライブ証拠
監査人はすべてのデバイスでディスク暗号化が有効か、セキュリティエージェントが動作しているか、重要なサーバーで構成偏差があるかを尋ねます。従来のモデルでは、これらの証拠は異なるツールから手動で収集されます。
ETMはライブクエリとレポートでデバイスとサーバーのインベントリ上で即時証拠を生成します。監査プロセスは手動リスト収集から出て、検証可能な信頼シグナルに基づきます。
現場スタッフのデバイスを迅速かつ制御された方法で展開
物流、エネルギー、または医療現場チームに新しいモバイルデバイスが渡されます。Wi-Fi、VPN、Eメール、アプリケーション、セキュリティ設定の手動構成は時間がかかります。
ETM MDMでデバイスは初回起動時に自動的に企業範囲に含められます。必要なプロファイル、アプリケーション、ポリシーが配布されます。デバイスが失われたとき、選択的または完全削除を適用できます。
エンドポイント数によるライセンス
ETMライセンスは管理されるエンドポイントの総数によって計画されます。クライアント、モバイル、サーバーデバイスは同じ容量プールで評価されます。すべてのティアで基本機能セットは同じです:デバイス信頼、リモートアクション、MDM、サーバーヘルスシグナル、整合性監視。
TR7パッケージには特定数のETMエンドポイントクォータが標準として提供されます。より広いデバイスインベントリのために以下の容量ティアを追加できます。
すべてのティアは同じ機能セットを提供します。クライアント、モバイル、サーバーの区別はありません;クォータは単一のエンドポイントプールから差し引かれます。
1エンドポイントは管理されているオペレーティングシステムインスタンスです。同じユーザーのラップトップとモバイルデバイスは2つのエンドポイントとして数えられます。60日間連続して非アクティブのままのデバイスは自動的にリタイアされ、クォータが回復できます。
デバイス信頼、監査、アクセス制御のための強力なレイヤー
ETMはデバイスインベントリ、セキュリティポスチャ、リモートアクセス制御、監査記録、インシデント対応の要件をサポートします。組織はデバイスとサーバーの信頼状態をライブシグナルで文書化することで監査プロセスをより測定可能にできます。
GDPR第32条
個人データのセキュリティのための技術的措置をサポートします。デバイス信頼状態、セキュリティエージェント制御、リモート介入、監査トレイルでデータセキュリティプロセスに証明可能な貢献を提供します。
EBA Guidelines on ICT Risk / DORA
リモートアクセス、デバイスインベントリ、ロギング、第三者アクセス、運用監査可能性のニーズをサポートします。ETMはこれらの要件をライブ信頼シグナルに変換します。
NIS2指令
重要システムにアクセスするデバイスの監視、信頼制御、インシデント対応のために追加の制御レイヤーを提供します。
PCI DSS 4.0.1
カード保有者データ環境にアクセスするデバイスでセキュリティエージェント、構成、アクセス制御、監査要件をサポートします。
HIPAAおよび医療データ規制
医療データにアクセスするモバイルおよび個人デバイスで作業プロファイル、選択的削除、デバイスコンプライアンスチェックでデータ分離を強化します。
プレミアムアドオン — エンドポイントあたり
ETMはTR7のBase、Geo、Secure、Enterpriseパッケージにプレミアムアドオンとして追加できます。ライセンスモデルはエンドポイントあたりです;クライアント、モバイル、サーバーデバイスは同じ容量プールで評価されます。別個のMDM、別個のエンドポイント管理、または別個のサーバー可観測性製品を取得する必要性を減らします。
- エンドポイントあたりのライセンス — クライアント、モバイル、サーバーが一緒に
- Base、Geo、Secure、Enterpriseパッケージすべてに追加できます
- ハードウェアアプライアンスまたは仮想マシンで実行できます
- マルチリージョン構成のためにTR7 Central Managementと統合します
- 別個のMDM、別個のエンドポイント管理、別個のサーバー可観測性製品の必要性を減らします
企業デバイス信頼をTR7決定に接続する
ETMデモであなた自身の環境を一緒にモデル化しましょう:何のエンドポイントが管理されるか、どのデバイスグループがパイロットになるか、どのサーバーシグナルがADC決定に接続されるか、AAMアクセスポリシーがデバイス信頼でどう強化されるか。