ID(アイデンティティ)セキュリティは、いま大きな重圧にさらされています。組織がログインの正当性を判断するために従来使ってきたパスワード、多要素認証(MFA)の応答、IPレピュテーション、位置情報、ブラウザの特徴といった要素は、攻撃者にとって窃取や模倣、回避がどんどん容易になっているのです。
AIはこの圧力にさらに拍車をかけています。まったく新しい種類の攻撃を生み出しているわけではなく、従来からあるID関連の攻撃を高速化し、効率化しているのです。加えて、ローテーションするIPアドレスや使い捨てのブラウザプロファイルによって、悪意あるログインを正規のものと見分けることがますます難しくなっています。
この急速に変化する脅威の状況に対抗するには、攻撃者が管理するインフラからの「正当な」ログインを防ぐ、実効性のあるゼロトラスト対策が組織に求められます。ここで役立つのがデバイス信頼です。デバイス信頼を導入すれば、有効な認証情報だけでは不十分で、本来使われるべきデバイスの文脈がなければアクセスできないようにできます。
アカウント乗っ取り攻撃の「工業化」
AIは根本的に新しい形態のアカウント乗っ取りを生み出したわけではありません。攻撃者は依然として、フィッシング、認証情報の窃取、MFA悪用、セッションハイジャック、ソーシャルエンジニアリングといった従来型の手口に頼っています。変わったのは、これらの攻撃を効果的に実行するために必要な手作業の量です。
脅威アクターは、ほとんど手間をかけずに数千通もの説得力あるフィッシングメールを作成・送信できるようになりました。より個別化されたメッセージが必要な場合、AIはインターネット上の公開情報を収集し、標的の詳細なプロファイルを構築できます。
攻撃者はその後、標的の言語やビジネスの文脈に合わせてメッセージを調整できます。経理担当の従業員には取引先を装った依頼が、管理者にはクラウドアクセスに関する問い合わせが送られる、といった具合です。
だからといって、AIが侵入プロセス全体を自律的に実行しているわけではありません。多くの場合、標的の選定やインフラの管理、侵入成功後の対応判断は依然として人間が行っています。
より正確な表現をするなら、AIは情報の取得と、それに基づく行動との間にある「人間の作業」を圧縮していると言えます。パーソナライズや振り分けにかかるコストを下げることで、攻撃者はより多くのキャンペーンを展開し、期待価値の高いアカウントに労力を集中させられるようになっているのです。
従来型の信頼シグナルが機能しなくなりつつある理由
IDプラットフォームの多くは、ログインを信頼すべきかどうかを判断するために複数のシグナルを組み合わせています。それぞれのシグナルには依然として一定の価値がありますが、攻撃者はこれらの対策が根拠とする証拠を盗み出し、模倣し、あるいは回避する方法をますます熟知しつつあります。
認証情報
パスワードレス方式が普及しつつある一方で、ほとんどの認証フローでは依然として認証情報が必要とされます。そのため、フィッシングやインフォスティーラーのような認証情報窃取型マルウェアは、多くのアカウント乗っ取り攻撃において最初のステップとなっています。
攻撃者は、過去の侵害で流出した認証情報をそのまま再利用することもあります。今年発生したある事案では、IGNのTwitch配信が何者かの攻撃者によって乗っ取られました。使われたのはRestream.ioの認証情報で、悪用される約1カ月前からインフォスティーラーのダンプデータの中に放置されていたものでした。
この攻撃は、流出した認証情報をスキャンすることの重要性を浮き彫りにしています。Specops Password Auditorのようなソリューションは、Active Directoryを読み取り専用でスキャンし、流出したパスワードや関連する脆弱性を特定します。
スキャン後には、修正の優先順位付けに役立つ分かりやすいレポートが提供されます。Specops Password Auditorはこちらから無料でダウンロードできます。
MFA
MFAはセキュリティを大幅に向上させますが、その強度は採用する方式や認証フロー全体の設計に左右されます。
ワンタイムコードはフィッシングによって窃取される可能性があります。プッシュ通知は、繰り返し通知を送りつける手口やソーシャルエンジニアリングによって悪用されることがあります。中間者(Adversary-in-the-Middle)型フィッシングでは、認証情報とMFAの応答をリアルタイムで正規サービスへ中継されてしまいます。
攻撃者は認証後のセッションクッキーを窃取し、MFAによる認証チャレンジ自体を完全に回避することもあります。
IPアドレスと位置情報
IPレピュテーションは既知の悪意あるインフラからの接続を特定でき、位置情報は想定外の地域からのアクティビティにフラグを立てることができます。
しかし攻撃者は、住宅用プロキシやモバイルネットワーク、侵害済みのシステムを経由してトラフィックをルーティングできます。被害者の近くにある出口ノードを選ぶことで、ログインを地理的にもっともらしく見せかけることも可能です。
正当な活動についても、判断は同じくらい難しいのが実情です。リモートワークや企業のVPNは、見慣れない場所からの接続を発生させます。より厳格なポリシーを設定すればより多くの攻撃をブロックできますが、同時に誤検知やサポート業務も増加します。
NISTのゼロトラストアーキテクチャに関するガイダンスも、この限界を反映しています。SP 800-207では、組織は物理的な位置やネットワーク上の位置のみに基づいて暗黙の信頼を与えるべきではないとされています。
同ガイダンスでは、ユーザー認証とデバイス認証を別個の機能として扱い、企業リソースへのアクセスが確立される前にそれぞれ実施すべきだとしています。
デバイスバインディングが加える新たな信頼レイヤー
大半のIDに関する対策は、ほぼどこからでも提示できてしまう認証情報に依然として依存しています。だからこそ組織は、信頼の判断基準を従来のIDシグナルの枠を超えて拡張する必要があるのです。
Specops Device Trustのようなソリューションは、攻撃者が正規のログイン試行になりすます能力を制限し、以下の方法でアカウント乗っ取りのリスクを軽減します。
1. アクセスを承認済みハードウェアに紐付ける
組織は、信頼できるデバイスを登録・制限できるようにし、社用機、個人所有機、サードパーティ製ハードウェアに対してそれぞれ異なるポリシーを適用できるようにすべきです。
未知のデバイスからのログインがあった場合、IDプラットフォームはそれをリスクの重大な変化として扱う必要があります。認証情報とMFAが成功しただけで、アクセスを許可すべきではありません。
2. ユーザーとデバイスを継続的に評価する
ログインの成功は、そのセッションの残り時間すべてにわたって恒久的な信頼を生み出すべきではありません。アクセスの可否は、ユーザーのIDとデバイスの健全性の両方に継続的に依存すべきです。
エンドポイント保護の無効化やデバイスがコンプライアンス基準から外れるといった状態変化があれば、それに応じてアクセスレベルも変更されるべきです。
3. リスクの度合いに応じた対応を行う
セキュリティチームが摩擦を増やすことに慎重になるのは当然のことであり、デバイスの状態に関するポリシーは、あらゆる問題を一律にアクセスブロックの対象とする必要はありません。
アプリケーションの種類や問題の深刻度に応じて、組織は権限を縮小したり、ユーザーにデバイスを修正するための猶予期間を与えたりすることができます。
このアプローチにより、対策を状況に見合ったものに保てます。アップデートの未適用と、エンドポイント保護の無効化やルート化(root化)されたデバイスとを、常に同列に扱うべきではありません。
4. ユーザーが容易に信頼を回復できるようにする
アクセスの可否がデバイスの健全性に依存する以上、ユーザーには問題を解決するための明確な手段が必要です。セルフガイド型の修復手段があれば、従業員は問題を迅速に解消でき、必要なセキュリティ水準を維持しながら業務への支障を抑えられます。
SpecopsでAIによるアカウント乗っ取りのリスクを軽減する
AIによってアカウント乗っ取りの速度とパーソナライズ精度が向上していくなかで、ITチームにはこうした攻撃の効果を鈍らせるソリューションが必要です。
ネットワーク上のシグナルだけであらゆる悪意あるログインを見分けるのは難しいかもしれませんが、組織は、有効な認証情報であっても本来使われるべきデバイスの文脈がなければ不十分となる仕組みを作ることができます。
デバイス信頼をアクセス判断に組み込むことで、Specopsが貴社のIDセキュリティ戦略の進化をどのように支援できるかにご関心がある方は、本日ぜひお問い合わせください。
