【CrowdStrike】Discoverを用いたセンサー未導入端末の発見について

» 技術 » CrowdStrike
sobar sobar

はじめに

こんにちは、 ネクストモード株式会社 の sobar です。

企業内でセキュリティを強固に保つためには、「自社のネットワーク内にどのようなデバイスが存在しているか」を100%把握することが不可欠です。しかし、テレワークの普及や拠点の拡大に伴い、管理者の知らない「未導入端末（アンマネージドデバイスやシャドーIT）」がネットワークに接続されるリスクが高まっています。

今回は、CrowdStrike FalconプラットフォームのITハイジーンモジュールである「Falcon Discover」を活用し、どのようにネットワーク内のセンサー未導入端末を自動発見できるのか、その仕組みとメリットを解説します。

CrowdStrike Falcon Discover とは

Falcon Discoverは、CrowdStrike Falconプラットフォームで提供される「ITハイジーン（IT衛生管理）とアセット可視化」のためのモジュールです。

ネットワーク内に存在する「デバイス」「アプリケーション」「アカウント（ユーザー）」の情報をリアルタイムに可視化し、セキュリティの穴（管理の行き届いていない資産）を無くすことを目的としています。

Falcon Discoverの主な3つの可視化機能

  1. アセット（デバイス）管理: ネットワークに接続されている全端末の管理状態を可視化。

  2. アプリケーション管理: 端末内で実行されているアプリケーションとそのバージョン、脆弱性の把握。

  3. アカウント管理: ドメインアカウントやローカルアカウントの利用状況、特権IDの管理状態の可視化。

追加のハードウェアや専用スキャナーを導入することなく、既存のEDRセンサー（Falcon Sensor）を活用してこれらを実現できる点が大きな特徴です。

Falcon Discoverを用いたセンサー未導入端末の発見について

組織にとって最大のセキュリティリスクの1つは、「管理者が存在すら認識していない端末」です。EDRや防ウイルスソフトが未導入の端末が1台でもネットワーク内に存在すると、そこが攻撃の侵入経路（足がかり）となってしまいます。

Falcon Discoverは、この「EDRセンサー未導入端末」を以下の仕組みで自動的に発見・可視化します。

センサー未導入端末を発見する仕組み（アーキテクチャ）

Falcon Discoverによる未導入端末の発見は、「Zero-Touch Discovery（ゼロタッチディスカバリー）」と呼ばれるアーキテクチャで動作します。

crowdstrike_discovery-of-unmanaged-devices-using-discover_03

  • 既存センサーによるパッシブ監視：導入済みのFalconセンサーが、同じネットワークセグメント内を流れる通信（ARPテーブルやブロードキャスト等）をパッシブ（受動的）に監視します。ネットワークにアクティブな負荷（スキャン処理）をかけないため、帯域圧迫や他機器への誤作動のリスクがありません。
  • クラウドへの情報送信とインベントリ照合：センサーが拾ったネットワーク上のデバイス情報（MACアドレス、IPアドレス等）はクラウドへ送られ、登録済みの管理端末リストとリアルタイムに自動照合されます。
  • 未導入端末の自動分類：「通信は存在するが、Falconセンサーがインストールされていない端末」が、即座に「Unmanaged（未管理デバイス）」としてダッシュボードにリストアップされます。

Discoverダッシュボードで確認できること

Discoverの画面上では、検出されたデバイスが以下のように分類・管理されます。

  • 管理対象アセット（Managed）：Falconセンサーが正常に導入・稼働している端末。
  • 管理対象外アセット（Unmanaged）：センサー未導入だが、インストール可能なWindows/Mac/Linux端末（最優先で導入対応が必要）。
  • サポート対象外アセット（Unsupported）：プリンター、ルーター、IoT機器、スマートデバイスなど、そもそもFalconセンサーの導入対象外である機器。

これにより、管理者は「どこに未導入のPCがあり、どの機器がIoTなのか」を一目で識別できます。

ダッシュボード参考イメージ
（※ダッシュボード参考イメージ）

管理対象外アセット確認参考イメージ
（※管理対象外アセット確認参考イメージ）

発見後の推奨アクション

未導入端末が発見された場合、管理者は以下のようなセキュリティ対策を迅速に行うことができます。

  • センサーのプッシュインストール：資産管理ツール（SCCMやIntuneなど）やActive Directoryと連携し、発見された端末へFalconセンサーをリモート展開する。
  • ネットワーク隔離・接続拒否：許可されていない持ち込み端末（BYOD）などの場合、スイッチやNACと連携してネットワークから隔離する。

必要なサブスクリプションについて

Falcon Discover（Falcon Insight XDRアドオン）またはFalcon Exposure Managementのフル機能が必要となります。※ライセンスの詳細につきましては弊社までお問い合わせください。 

参考

さいごに

CrowdStrike Falcon Discoverを活用することで、以下のようなメリットが得られます。

  • ネットワークスキャナーなどの追加インフラ構築が不要
  • アクティブスキャンを行わないため、ネットワーク負荷が極めて低い
  • 「存在すら知らなかったシャドーIT」を自動で継続的に可視化できる

セキュリティの基本は「守るべき資産を正しく把握すること」から始まります。すでにCrowdStrikeを導入されている企業様であれば、Discoverモジュールを有効化するだけで、すぐにネットワーク内の死角を無くす第一歩を踏み出すことができます。

本記事が、皆様のシャドーIT対策や、CrowdStrike Falcon Discoverの運用の一助となれば幸いです。

CrowdStrike についてのお問い合わせ

ネクストモードでは、CrowdStrikeをはじめ、OktaやNetskopeを活用したSaaS・生成AIの包括的なセキュリティ対策をご支援しています 。ご興味のある方は、ぜひお気軽にご相談ください！

SaaSバナー_CrowdStrike