Liteというツールを使ってみたいと思います。Liteというツールを使うことで、OSに限定してですが、調査することが可能です。興味がある方はこの記事を読んで頂ければ幸いでございます。内容については個人的な見解もありますので、予めご了承ください。Liteのダウンロードまずはこちらが無いと話になりませんので、ダウンロードします。こちらのサイトに行くことで以下のような画面が表示されるかと思います。こちら英語ですが、そんなに難しいことは書いてありませんので、Google翻訳に頼りつつ必要事項を入力していきます。CIS-CAT」ボタンを押すと、入力したメールアドレス宛にリンクが記載されたメールが飛んできます。メールのリンクをクリックするといきなりダウンロードが始まりますのが、標的型攻撃のリンク型ではないので大丈夫です。※念のためアクセス先が「learn.cisecurity.org」となっているかちゃんと確認しましょう!ダウンロードしたらzipファイルですので、まずは解凍してください。メール本文に書いてありますが、ダウンロードするファイルがバージョン3とバージョン4があります。今回はバージョン3を使用します。(正直バージョン4の使い方がわかりませんでした・・・GUIで動く感じではなく、CUIで動かすやつなのではという感じです。)解凍バージョン3のフォルダを開くと以下のようになっているかと思います。)その中の「CISCAT.jar」を起動します。(プロファイル等の覗くので管理者権限がないとダメだと思います。)起動すると以下の画面が上がりますので、今回のOSであるWIndows10を選択します。)Windows10を選択したら「Next」で次に進みます。use」のProfleを選択し、「Next」で次に進みます。英語の個所についてはとりあえずこれを使っておけばOK的な内容が書いてあります。次に出力する箇所や形式の個所ですが、Pro版だと色々選べるのでしょうか、Lite版ですので選択できる個所が以下のように限られています。デフォルトのままでOKなので、「Next」を押して次に行きます。ファイルの保存先も指定できるので、そこはご自由にどうぞ。POSTで送ることもできるみたいなのですが、こちらは実施したことがありません。Assessment」を押して実行します。実行すると以下のように300を超える項目を順番にスキャンするので、少し待ちます。(1、2分もかからないかと思います。)物凄く「Fali」(不合格)というのが出てきていますが、落ち込まないように。Reports」を押して見てみましょう。以下のようにとてもきれいな形式のファイルが出来上がります。形式がHTML形式なのも良いところですね。(ツールで拾いやすそう)中身を見てみるとCISのWindows10のベンチマークに合わせた項目に対して自分のPCがどの程度適合しているのかが分かります。私のPCは私用のものですので、全然ダメダメなことが分かります・・・CISに要件を合わせたいとか、セキュリティの基準としてCISを採用したいと考えている人は一度使用してみては如何でしょうか。できると噂のPro版もありますが、有償ですので私は使ったことがありません。Liteを使用して自分のPCであるWindows10がどの程度CISに適合しているか見てみました。(全然ダメだということは分かってましたが・・・)組織として導入の際に気を付けることとしては、あくまでも「基準」であるということです。組織によってはCISに合わせると業務が回らなくなる可能性があります。社内の実態をよく知らない経営層が最近の流行りとしてこれを取り入れた場合、現場が混乱してしまい大ダメージを受ける可能性もあります。自分たちの組織の状況と合わせて上手く運用していくことが必要です。LiteではOSの調査はできますが、NW関係の調査は行うことができません。現状のアクセスルールやサーバ関係・ファイル関係の権限の付与や管理は別で行う必要があります。OSのベンチマークとの比較であることを念頭に置かなければいけません。Controls」と整合性が取れているというわけではないので気を付けてください。中身ついて軽く検討をしたいですが、それは次回時間ができた際に行おうと思います。(忘れてたらプッシュしていただけると頑張ります!)不明点や要望やこういったこともやって欲しいとの要望があれば、お問い合わせページやコメント、ツイッターからでも結構ですので、気軽にご連絡ください。Controlsについて解説していきたいと思います。書かれた文章なので、読み解くのに時間がかかりますね。力にはなるので、興味がある方は是非ともこの記事と実際の本文も読んでみてください。1について解説を行いました。2について解説を行っていきます。内容については個人的な見解も含まれていますので、認識が異なる場合はご教示いただけますと幸いです。7について2019/6/12にISACA東京支部の情報セキュリティ研究会にお試し参加をしてきました。Controlsに対して議論をさせていただき、個人的にも纏めたいな~という思いに駆られましたので、記事にしていきます。3に「継続的な脆弱性管理」というものがあります。それを調べていた際に「OpenSCAP」という面白そうなツールを見つけたのでそれについて記事にしていきます。3についてCISの投稿が続き、今回はControl3についてです。20まであるので、まだまだ先は長いですが頑張ります。内容については個人的な見解も含まれていますので、認識が異なる場合はご教示いただけますと幸いです。4について少し期間が空きましたが続きをやっていきます。今回はControl4についてです。Controlsには多少触れるのでは?と思っています。コメントをキャンセルメールアドレスが公開されることはありません。コメント名前メールアドレスサイト上に表示された文字を入力してください。29tokoroten0813猫が大好きなセキュリティエンジニアです。この業界に入って8年目になりました。妻と子供が二人います。秋葉原でやっているセキュリティの勉強会に毎月参加していますので、興味がある方はご連絡ください。猫の話やセキュリティに関わる話、IT業界、育児等特にこだわりを持たずに記事にしていく予定です。現在前職を退職し、絶賛個人で活動中です。セキュリティ関連で困ったことがあれば気軽に相談いただければ喜びます。Controls7ISMS3ニュース19資格10勉強会44家庭・育児20息抜き11猫20運動4。