2026/08/28 09:54

【CrowdStrike】ゼロトラストアセスメント（ZTA）について

はじめに

ゼロトラストセキュリティを推進する上で、エンドポイントが安全な状態を保っているか（セキュリティポスチャ）を継続的に把握することは不可欠です。本記事では、CrowdStrikeが提供するFalcon ZTA（ゼロトラストアセスメント）について、その概要とメリット、そして強力な連携機能をご紹介します。

Falcon ZTA（ゼロトラストアセスメント）とは？

Falcon ZTAは、組織内のホストのOS設定やFalconセンサーの設定を常時モニタリングし、各ホストのセキュリティポスチャ（安全性の度合い）をスコア化して可視化する機能です。

主な対応OSと要件は以下の通りです。

対応OS：Windows 10/Server 2016以降、macOS、Linux、Android、iOS
評価ソース：
- OS設定：セキュアブートやFileVaultの有効化など、OSネイティブのセキュリティ設定（※Linuxは対象外）。
- センサー設定：防止ポリシーや機能制限モード（RFM）のステータスなど。

セキュリティスコアの詳細と更新の仕組み

ゼロトラストアセスメントは、各ホストのセキュリティポスチャを「1〜100」のセキュリティスコアとして算出します。スコアが高いほど、ホストのセキュリティポスチャが優れていることを意味します。 ZTAでは「何点以上が良いスコアか」を一律に定義するのではなく、環境特有の設定に起こりうるリスクを可視化し、改善に向けたインサイトを提供することに重点を置いています。また、スコアの計算方法はZTAのバージョンに依存しており、新しい防止ポリシーが利用可能になった場合などは要件が更新され、ホストは新しい基準で再評価されます。

スコアが更新されるタイミングはOSによって異なります。

Windows：OSの設定変更をZTAが検知するには、Falconセンサーを再起動する必要があります。
macOS：24時間ごとに変更を自動的に評価するため、センサーの再起動は必要ありません（即座に更新を反映させたい場合は再起動します）。
モバイル（Android / iOS）：信号に応じて、24時間ごとかそれより短い間隔で変更を評価します。
※ZTAダッシュボードの表示自体は、1時間ごとに自動更新されます。

ZTAダッシュボードを活用する主なメリットは以下の3点です。

リスクの可視化：脆弱性を招く可能性のあるOS・センサー設定のホストを瞬時に特定できる。
監査対応のサポート：管理対象ホストの設定状況をレポート出力し、監査要件の証明に活用できる。
優先度の明確化：改善すべき評価項目が「即時（レッド）」から「低（ブラウン）」までのカラーコード付きで提示され、対応の優先順位をつけやすい。

ホストのセットアップおよび管理 > エンドポイント管理 > ゼロトラストアセスメントよりダッシュボードが確認できます。

ゼロトラストアセスメントダッシュボードイメージ①
ゼロトラストアセスメントダッシュボードイメージ②
（※ゼロトラストアセスメントダッシュボードイメージ）

「OS評価」「センサー評価」「全体的な評価」の違い

ZTAのダッシュボード（ホスト別評価など）では、セキュリティポスチャをより正確に把握するために、評価ソースが分かれています。

OS評価<zta.os>：OSに組み込まれたセキュリティオプション（セキュアブートやFileVaultなど）、ファームウェアの可用性、共通の脆弱性と露出（CVE）の緩和策が正しく設定されているかを追跡・評価します。（※LinuxはOS設定の対象外です）
センサー評価<zta.sensorConfig>：Falconセンサーの機能制限モード（RFM）のステータスや、防止ポリシー、リアルタイムレスポンスポリシーなどを追跡し、センサー側の設定を評価します。
全体的な評価（総合評価）<zta.overall>：OS評価とセンサー評価を含む、ホストごとの包括的なセキュリティポスチャの概要を把握するための評価です。

Falcon Fusion SOARを利用して自動化のワークフローを組む際は、「OSスコアのみが下がった時」や「センサースコアが下がった時」、「総合スコアの変更時」など、目的に応じてこれらの評価を使い分けてトリガーを設定することができます。

セキュリティスコアのキャッシュ概要

ZTAスコアはデバイス側にも保持されますが、macOSとWindowsシステムではキャッシュの仕組みが異なります。

Windowsシステムの場合：キャッシュが有効な状態であれば、クラウドからスコアを受信した際に data.zta に書き込みます。センサーの再起動時は、クラウドから新しいスコアが提供されるまでの間、この data.zta ファイルを使用してスコアが提供されます。キャッシュが無効な場合はシャットダウン時にファイルが削除され、起動直後はクラウドから新しいファイルが提供されるまでスコアは報告されません。
macOSシステムの場合：クラウドからスコアが送信されると、センサーは data.zta ファイルに保存します。センサーはシャットダウン時にこのファイルを削除し、再起動時はクラウドからのスコアを待ってからファイルを作成します。ただし、キャッシュが有効な場合は、センサーは内部データベースに格納されたスコアをコピーして再起動時に data.zta に書き込みます。
※ZTAのキャッシュの有効化・無効化の切り替えは、CrowdStrikeのサポートにチケットを切るか、テクニカルアカウントマネージャーへの連絡が必要です。

SOAR連携とサードパーティ統合による自動化

ZTAの真価は、他のシステムと連携した自動化（レスポンス）にあります。

パートナーアプリとの統合：アイデンティティプロバイダー（IdP）やネットワークアクセスコントロール（NAC）と連携し、ZTAスコアを条件付きアクセスの判定基準として利用できます。
Falcon Fusion SOARとの連携：SOARを利用し以下のような柔軟なワークフローを実現できます。
- 全体的な評価スコアが60を下回ったら自動的にホストをネットワークから隔離する
- OS評価スコアが40を下回ったらSOARから自動的にユーザーのSlackやTeams宛てに「あなたのPCのセキュリティスコアが低下しています。Windowsアップデートを実施してください」とDMを送信する