出典: Aleksey Funtap via Alamy Stock Photo
コメント
Secure Shell (SSH)キーは、安全なリモートアクセスの基盤です。彼らはどこにでも存在し、DevOpsパイプラインを動かし、サーバー管理を可能にし、デプロイメントからパッチ適用までを自動化します。しかし、その普及にもかかわらず、SSHキーは企業のセキュリティにおいて盲点となることが多いです。なぜでしょうか？パスワードとは異なり、期限が切れないからです。作成が簡単で、追跡が難しく、驚くほど簡単に忘れられてしまいます。
大企業では、数十万、さらには数百万の管理されていないSSHキーが見つかることは珍しくありません。これらの多くは機密システムへのアクセスを許可しますが、明確な所有権やライフサイクルの監視が欠けており、本来は安全な認証方法であるべきものが大きなリスク要因となっています。
組織が「誰がどのキーを使ってどこにログインできるのか」を答えられない場合、それは盲目的に飛んでいるようなものです。
SSHキー管理の無法地帯
正直に言いましょう：ほとんどの組織では、SSHキーの作成はDIYのようなものです。開発者はその場でキーを作成します。公開鍵をサーバーにコピーします。リクエストチケットも承認もなく、もちろん有効期限もありません。
最初のステップはシンプルですが、ゲームチェンジャーです：アクセスガバナンスを適用します。SSHキーをVPNアクセスや管理者権限と同じリクエストと承認プロセスの対象にします。CyberArk、SSH UKM、さらにはAnsibleのような自動化プラットフォームを使用して、キーを制御された監査可能な方法でプロビジョニングすることができます。これをメタデータと組み合わせ、キーの所有者、発行理由、期限を設定すれば、ほとんどの組織よりも一歩先を行くことができます。
関連記事:合成データはここに留まるが、それはどれほど安全か？
知らなかったキーを見つける
レガシーキー。内部で作成されたキー。忘れられたトラブルシューティングキー。すべての環境に存在します。
CyberArkやSSH UKMのようなSSHディスカバリーツールは、サーバーをスキャンし、authorized_keysファイルを検出できます。どのキーがどのアカウントに接続しているかを教えてくれ、明確な所有者や使用履歴がないものをフラグします。
あるケースでは、クリーンアップの取り組みで40%のキーが削除され、そのほとんどが未使用で追跡されていませんでした。ディスカバリーは単なる在庫管理ではありません。それは静かなバックドアを排除することです。
ローテーション: 誰もが嫌うセキュリティ習慣
パスワードは期限が切れます。SSHキーは？それほどではありません。
それが問題です。エンジニアが退職したり、ラップトップが侵害された場合、静的なキーは時限爆弾になります。高特権アカウントの場合、90日ごとのキーのローテーションは基本的な衛生です。そして、はい、自動化なしでは痛みを伴いますが、だからこそツールが存在します。
CyberArkはキーをローテーションし、フリート全体に展開できます。さらに良いのは、ローテーションをCI/CDパイプラインと統合することです。ローテーションするたびに、大きな質問をしてください：このアクセスはまだ必要ですか？
関連記事:SecOpsチームはAIの幻覚に対処して精度を向上させる必要があります
孤立したキーの脅威
孤立したキー、つまりアクティブな所有者がいないキーは、攻撃者にとっては魅力的です。誰もそれを監視しておらず、それでも動作します。
IGAプラットフォーム（例：SailPoint）は、SSHキーをアイデンティティに結びつけるべきです。誰かが退職したとき、そのキーも消えるべきです。キーが所有されていない、正当化されていない、または追跡できない場合、それを脆弱性として扱います。それを脆弱性として修正します。
秘密鍵を忘れないでください
公開鍵はサーバーに配置され、あなたの王冠の宝石です。それらが暗号化されずに保存されたり、一時フォルダにコピーされたりすると、ゲームオーバーです。
最低限の保護策：強力なパスフレーズ、chmod 600、共有フォルダなし。サービスアカウントや高リスクのキーの場合、それらを保管します。CyberArkはエフェメラルキーを使用してアクセスを仲介できるため、ユーザーは秘密の半分に触れることはありません。
そして、はい、奇妙な動作を監視します。もしキーが午前2時に見慣れないIPから使用され始めたら、何かがおかしいです。
未来: エフェメラルSSHアクセス
永続的なauthorized_keysファイルがない世界を想像してください。代わりに、ユーザーはアクセスをリクエストし、中央サービス（Netflix BLESSやHashiCorp Vaultのような）が短期間の証明書を発行します。アクセスは15分間許可されます。そして、ポフッと消えます。
これがエフェメラルSSHです。これはゼロスタンディング特権に向かう方法であり、業界が向かっている方向です。
なぜガバナンスが今重要なのか
関連記事:CiscoがAWS、Azure、Oracle Cloudでの認証情報の脆弱性を警告
SSHキーは認証情報です — それ以上でもそれ以下でもありません。他のアクセスと同様にガバナンスが必要です。つまり、アクセスレビュー、自動クリーンアップ、監査トレイル、施行が必要です。
正しく行えば、ガバナンスは可視性を提供します。コンプライアンスを容易にします。それは次に何が来るかに備えます。エフェメラル認証、ポスト量子暗号、または次の監査が何であれ。
侵害は待ってくれません
実際の事件は、管理されていないSSHキーの危険性を示しています。2020年、GoDaddyは攻撃者がSSH認証情報にアクセスし、28,000のホスティングアカウントに影響を与えた侵害を経験しました。さらに、MITRE ATT&CKフレームワークは、敵が安全でない秘密鍵をどのように利用してシステムに侵入するかを示しています。これらのケースは、強力なSSHキー管理の実践が必要であることを強調しています。
最後に
SSHキーはどこにも行きません。しかし、管理されていないキーは、組織が取る必要のないリスクです。それらを本来の姿として扱うことから始めましょう：真剣な監視が必要な強力な認証情報です。
それらを管理し、ローテーションし、監視し、侵害が発生するのを待たないでください。