証跡管理を実施している企業さんも多いと思いますが、弊社もMOTEXさんの製品の「LANSCOPE Endpoint Manager」を利用しております。
LanScope Cat時代から利用しているので、かなり長く利用している企業の一つと思われます。
※MOTEXさんのプロダクト・サービスのすべての名称が2022年10月より「LANSCOPE」へ統一されております。
弊社の利用場面としては主に以下が該当します。
・管理端末の証跡管理
・管理端末のデバイス制御
・その他
新型コロナウイルス感染症の影響により、弊社もオフィスへの出社対応を取りやめ、テレワーク主体の業務に移行しておりましたが、現状は出社とテレワークのハイブリッドで業務にあたっております。
テレワーク主体となった時期はLANSCOPEの様な証跡管理はそのまま継続利用して、弊社情シスではより強固なセキュリティ対策を取るべく、土台の仕組みから見直しを行ってまいりました。これがOktaによるID管理であったり、PPAP対策のBox利用だったり、それ以外でもデーターセンターに設置している仕組みのクラウド化であったりと様々です。
前置きはこの辺にして本題
さて、今まで利用していたLANSCOPEですがオンプレミス版となります。
オンプレミス版はその名の通り、サーバーを立てて中にLANSCOPEをインストールして利用するもので、クライアント端末からはオフィスや自宅からVPN通信を利用して管理サーバーとやり取りを行います。
そこで問題になっていたのはテレワークを行っている方の証跡ログがクライアントVPNを利用した際しか管理サーバーに送信されない点です。もちろん管理サーバーに通信がされない状態の場合はクライアントPCに証跡ログが蓄積され、通信が正常に行われた際に管理サーバーへ送信されます。
端末利用者は意識せずに業務にあたっているのですが、証跡ログを管理する管理者(情シス)はそうでもありません。
なぜなら見たい証跡ログが管理サーバーへ送信されないとそもそものログ確認が取れないからです。
また、管理者(情シス)が新たにポリシーを変更したとしても、前述の様にクライアントVPNの接続がされない状態ですと、該当するPCにポリシーが行き届かない状態となります。
『でもまぁ、機密に関わる業務はVPN張らないと出来ないから大丈夫でしょ』と安易に考えてた時期もありましたが、見えないコストをあまり考えてませんでした。
「見えないコスト」とは、管理サーバーのバージョンアップなどに関わる工数となります。
オンプレミス版である限り、管理サーバーは管理者(情シス)で行う必要があります。幸いLANSCOPEオンプレミス版のバージョンアップは初期に比べ近年はバージョンアップが簡単に行える状態になっています。
問題はクライアントPCにて動作しているエージェントのバージョンアップです。
管理サーバーからクライアントへバージョンアップの指示を出しても、クライアント側がVPNを繋げてくれないとエージェントはバージョンアップされず、その内リトライ回数上限を過ぎてしまうことも。
クライアント全台対応し終える状態にするには、各利用者へ何度もリマインド告知し、その都度バージョンアップ指示を出し続けるという面倒な作業。全台完了するのに1か月とかそれ以上掛かるとかバージョンアップの度にその繰り返しとなります。
もう面倒作業から離れたい
ということで、面倒な作業から離れるために、真っ先に浮かんだのはLANSCOPE自体のクラウド化です。以前までのLANSCOPEクラウド版はスマホなどモバイルデバイス管理に特化しておりましたが、近年からWindows端末の他にMac端末も対応するするようになったので、そのままLANSCOPEを利用し続けることにしました。
製品機能もそうですが、オンプレミス版のポリシーなどもクラウド版に移行できるのが便利です。
どうせならMac端末もLANSCOPEにするか!?
弊社には数は少ないのですが、Mac端末利用者がいます。こちらの証跡管理は「MaLionCloud」を利用してます。
どうせならMacもLANSCOPEで証跡管理をしようと検証してみましたが、ここで問題が発生しました。
弊社の管理端末にはすでにMicrosoft IntuneがMDM(モバイルデバイス管理)として動作してます。Mac端末は複数のMDMを登録できないので、すでに他MDMを利用している状態では、Mac端末にLANSCOPEはインストールできません。
※おそらくJamfとか利用している企業も同様と思われます。
Mac端末のLANSCOPE利用は諦めました。。。
Windows端末への導入検証を進めるが割とあっさり終わる
土台としてLANSCOPEオンプレミス版の知識があったので、クラウド版へのポリシー移行、機能や操作の再確認程度です。
無料体験版も2か月ありますので、検証項目が整理されていれば難なく進められます。
※無料体験版から設定内容そのままで本番利用開始も可。
全Windows端末への展開実施
これはMicrosoft Intuneのおかげで楽です。
LANSCOPEクラウド版のエージェントを配布し、インストールが正常に行われたらついでにオンプレミス版のエージェントのアンインストールを行う、という指示をIntuneに行うだけ。
ただこれだけなので非常に楽です。
このようにオンプレミス版からクラウド版への移行はIntuneという土台を揃えていたおかげで現場負荷をあまりかけずに行うことができました。
操作ログやUSBデバイス制御などもオフィスや自宅関係なく、ネットさえ繋がっていれば通信可能状態となり、よりスムーズな管理が可能となりました。
投稿者プロフィール
最新の投稿
- 情シス2024年2月26日LANSCOPEをオンプレ版からクラウド版に移行してみよう
- BCP2021年10月27日費用を掛けずに安否確認ツールを実装
- クラウド2021年10月6日SSO(シングルサインオン)をOktaに変更した話
- クラウドネイティブ2021年9月30日ゼロトラストの基本