社員のPCのディスクの暗号化、画面ロック、ウイルス対策のソフトウェアなどの状態は、多くのフレームワークで確かめる対象になります。Drataでは、MDMやEDRの製品と連携して端末の状態を集め、脆弱性スキャンの製品と連携して脆弱性の対応を追えます。このページでは、MDM、EDR、脆弱性スキャンの製品との連携として、端末の状態をMDMから集める場合とDrata Agentを使う場合の違い、複数のMDMの併用、脆弱性の取り込みを説明します。
端末の状態の集め方
Drataが社員の端末の状態を集める方法は、次の3つです。どの方法を使うかは、Settings → Personnel complianceのInternal Securityタブにある、Automationの欄のWorkstation configuration monitoringで選びます。方法は、1つだけでも、複数を組み合わせても選べます。この設定を変えられるのは、Adminのロールのユーザーです。
| 方法 | 画面の選択肢 | 内容 |
|---|---|---|
| MDM | Automated via Intune MDM、Automated via Kandji MDMなど、MDMごとの選択肢 | MDMに登録済みの端末の情報を、つないだMDMから毎晩同期する。社員の端末にDrataのアプリを入れる必要はない |
| Drata Agent | Automated via Drata Agent | 社員の端末に入れる読み取り専用のアプリ。毎日端末の設定を読み取って送る |
| 社員による手作業のアップロード | Manual uploads (My Drata) | 社員がMy Drataで、端末の設定の証跡をアップロードする |
選んだらSave changesで保存します。
設定には、次の性質があります。
- 自動の方法（MDMやDrata Agent）を選んでも、手作業のアップロードはできなくなりません。
- 手作業のアップロードの選択肢が変えるのは、社員のMy Drataの表示だけです。
- 管理者は、必要に応じて、いつでも要員の記録に証跡を直接アップロードできます。
【注意】 手作業のアップロードだけを選ぶ場合は、社員に何をアップロードするかを明確に伝えてください。また、MDMやDrata Agentをつないでも、つなぐ前の期間の証跡がさかのぼって集まるわけではありません。
MDMとDrata Agentの両方から同じ端末の情報が届く場合は、Drata Agentの情報が優先されます。どちらからも情報が届かない端末は、社員の手作業のアップロードで補います。
集めた端末の情報は、画面ロック、パスワードマネージャー、ウイルス対策のソフトウェア、OSの自動更新、ディスクの暗号化などを確かめるテストに使われます。Drata Agentの配布はDrata Agentの配布、MDMで集めた情報の見方はMDMで端末の状態を集めるで説明します。
MDMとの連携
ConnectionsのAvailableタブでMDMのカテゴリーに絞り込むと、連携できるMDMを確かめられます。Jamf、Microsoft Intune、Kandji、JumpCloud、Hexnode、Workspace ONE、NinjaOneなどがあります。端末は、つなぐ前にMDMに登録されている必要があります。Microsoft Intuneとの連携では、Intuneの端末の準拠の結果を要員に対応付けるために、IDプロバイダーとの連携と、Drataに要員の記録があることが必要です。
MDMとの連携では、DrataはMDMの設定を変えず、MDMが集めた情報や判定を読み取ります。MDMの側で、Drataが確かめる項目を評価できるように設定しておく必要があります。例として、Microsoft IntuneとNinjaOneの場合を示します。
Microsoft Intuneの場合
Microsoft Intuneとの連携は、Microsoft Entra IDに登録したアプリを通じて行います。Microsoft Entra IDかIntuneのGlobal Administratorのアカウントが必要で、対応する端末はmacOSとWindowsです。
- Microsoft Entraの管理センターでアプリを登録し、アプリケーション（クライアント）ID、ディレクトリー（テナント）ID、クライアントシークレットの値を控えます。
- Microsoft Graphのアプリケーションの権限として、
DeviceManagementManagedDevices.Read.AllとDeviceManagementConfiguration.Read.Allを加え、管理者の同意を与えます。パスワードマネージャーの導入を確かめる場合は、DeviceManagementApps.Read.Allも加えます。 - Intuneのコンプライアンスポリシーで、画面ロック、最低限のOSの版、暗号化、ウイルス対策などを評価するように設定します。既存のポリシーで評価していれば、Drataのために作り直す必要はありません。
- Drataで、控えた値を入れてIntuneとの連携をつなぎます。
DrataはIntuneがデバイスとユーザーを準拠と評価した結果を読み取ります。Intuneのポリシーが全ての端末に行き渡るまで数日かかることがあり、その間はDrataにも反映されません。
【注意】 クライアントシークレットの有効期限が近づいても、Drataからは知らせが届きません。期限が切れると連携が切れるため、期限を管理し、切れる前に作り直してください。
NinjaOneの場合
NinjaOneとの連携で対象になるのはコンピューターで、スマートフォンとタブレットは対象外です。NinjaOneは、ディスクの暗号化と画面ロックの状態を既定では集めないため、NinjaOneのデバイスのカスタムフィールドと、それを書き込むスクリプトを用意します。
| 準備すること | 内容 |
|---|---|
| NinjaOneのアカウント | 管理者のアクセス。NinjaOneのAPI（v2）を使えること。デバイスのカスタムフィールドとスクリプトを作れること |
| カスタムフィールド | ディスクの暗号化の状態と根拠、画面ロックの状態と根拠、画面がロックされるまでの時間（分）を入れるフィールド。APIのキーの名前は、ヘルプセンターの記事の通りに正確に付ける |
| スクリプト | ヘルプセンターの記事にあるスクリプトを、NinjaOneのスクリプトライブラリーに登録し、システムの権限で実行する |
Drataでは、ConnectionsでNinjaOneを選び、NinjaOneの地域かドメインを入れてつなぎます。つないだ後に、Workstation configuration monitoringでMDMの選択肢を有効にします。
複数のMDMを併用する
チームやOSごとに別のMDMを使っている場合、MDMを移行している途中の場合、業務委託者や子会社が別のMDMを使っている場合は、複数のMDMをつなげます。既存のMDMの連携を止めずに、追加のMDMをつなげます。DrataはつないだMDMの全てから毎晩同期し、端末の情報を要員に対応付けます。
【注意】 1台の端末の情報は、1つのMDMから集めます。DrataはMDMごとに別の端末として取り込み、ディスクの暗号化の状態は一方のMDMから、画面ロックの状態はもう一方のMDMから、のように組み合わせることはできません。
EDRとの連携
CrowdStrikeやSentinelOneなどのEDRの製品をつなぐと、ウイルス対策のソフトウェアが端末に入って動いているかを、EDRの情報で確かめられます。CrowdStrikeの場合は次の通りです。
| 項目 | 内容 |
|---|---|
| 準備 | 監視する端末にCrowdStrike Falconを入れる。CrowdStrikeでAPIクライアントを作り、Hostsの読み取りの権限を与える |
| 前提の連携 | MDMとの連携か、Drata Agentが必要。EDRの端末とDrataの端末を、シリアル番号で対応付けるため |
| つなげる数 | 1つのワークスペースにつき、CrowdStrikeのアカウントは1つ |
| つないだ後 | ウイルス対策のソフトウェアを確かめるテスト（Malware Detection Software Installed on Employee Computers）が自動で有効になる |
シリアル番号で対応付けられなかった端末は、連携の画面で手作業で対応付けられます。テストは、端末が対応付けられていない場合や、防御のポリシーが有効でない場合に失敗します。SentinelOneの場合は、SentinelOneでサービスユーザーとAPIトークンを作ってつなぎ、Drata AgentやMDMの端末と対応付けます。
脆弱性スキャンの製品との連携
脆弱性スキャンは、多くのフレームワークで重要なコントロールとされています。Drataでは、脆弱性スキャンの製品がつながっていることを確かめるテスト（Vulnerability Scanning）があり、連携を確かめられると成功します。
連携できる製品には、Aikido、Arnica、AWS Inspector、CrowdStrike Falcon Exposure Management、GitLab VMS、Microsoft Defender Vulnerability Management、Orca Security、Qualys、Rapid7 InsightVM、Semgrep、SentinelOne Singularity Vulnerability Management、Snyk、Tenable Vulnerability Management、Upwind、Wiz、Wiz Codeがあります。
脆弱性の製品をつなぐと、次のように取り込まれます。
| 項目 | 内容 |
|---|---|
| 取り込む情報 | 検出された脆弱性を継続的に同期する。状態は連携先の最新のデータに合わせて更新される |
| 対応の期限（SLA） | 深刻度ごとに期限が付く。脆弱性の管理のポリシーがあればその期限、なければ既定の期限（Criticalは7日、Highは30日、Mediumは90日、Lowは180日）を使う |
| テスト | 連携先ごとに、Critical Vulnerabilities AddressedとHigh Vulnerabilities Addressedのテストが作られ、深刻度がCriticalかHighの脆弱性が残っていると失敗する |
| 件数 | Drataは、脆弱性をリソースごとの検出事項として数えるため、連携先の画面より件数が多く見えることがある |
Drataは脆弱性を直しません。状態、期限、コンプライアンスへの影響を追い、是正は連携先のツールで行います。取り込んだ脆弱性はRisk → Vulnerabilitiesで確かめます。見方と期限の設定は、資産と脆弱性の管理で説明します。