認証情報だけでは不十分になったとき：AI時代のデバイス・トラスト

IDセキュリティはますます厳しい状況に直面しています。組織が従来、ログインの正当性を判断するために使用してきたパスワード、多要素認証（MFA）の応答、IPレピュテーション、地理的位置情報、ブラウザの特性などは、攻撃者にとって盗み出したり、模倣したり、回避したりすることがますます容易になってきています。

AIは、まったく新しい種類の攻撃を生み出すのではなく、既知のID攻撃をより迅速かつ効率的にすることで、そのプレッシャーをさらに強めています。一方、IPアドレスのローテーションや使い捨てのブラウザプロファイルにより、悪意のあるログインと正当なログインの区別が難しくなっています。

このように急速に進化する脅威の状況に対し、組織には、攻撃者が制御するインフラからの「正当な」ログインから防御する効果的なゼロトラスト対策が必要です。ここで役立つのが「デバイス信頼」であり、本来使用されるべきデバイスコンテキストがなければ、有効な認証情報だけでは不十分であることを保証します。

アカウント乗っ取り攻撃の「産業化」

AIによって、アカウント乗っ取りの根本的に新しい形態が生まれたわけではありません。攻撃者は依然として、フィッシング、認証情報の窃取、多要素認証（MFA）の悪用、セッションハイジャック、ソーシャルエンジニアリングといったお馴染みの手法に依存しています。変化したのは、これらの攻撃を効果的に実行するために必要な手作業の量です。

脅威アクターは、わずかな労力で数千通もの説得力のあるフィッシングメールを作成・送信できます。よりパーソナライズされたメッセージが必要な場合、AIはインターネット上の公開情報を収集して、標的の詳細なプロファイルを構築することができます。

これにより、攻撃者はターゲットの言語や業務上の文脈に合わせてメッセージを調整できます。例えば、財務部門の従業員にはサプライヤー関連の依頼が送られ、管理者にはクラウドへのアクセスに関する問題が持ちかけられるといった具合です。

しかし、これらはいずれも、AIが侵入の全過程を自律的に実行していることを意味するものではありません。ほとんどの場合、標的の選定、インフラの制御、そしてアクセスに成功した後の対応の決定は、依然として人間が行っています。

この変化をより正確に表現すると、AIは情報の取得からそれに基づく行動に至るまでの人間の作業を効率化していると言えます。これにより、パーソナライゼーションや優先順位付けのコストが削減され、チームはより多くのキャンペーンを実行し、期待値が最も高いアカウントに注力できるようになります。

従来の信頼シグナルが不十分である理由

IDプラットフォームでは、ログインを信頼すべきかどうかを判断するために、複数のシグナルを組み合わせて評価することが一般的です。それぞれのシグナルには依然として価値がありますが、攻撃者は、これらの制御が依存する証拠を盗み出したり、模倣したり、回避したりする方法をますます熟知しています。

認証情報

パスワードレス認証の選択肢が普及しつつあるものの、ほとんどの認証フローでは依然として認証情報が必要です。そのため、フィッシングや、情報窃取型マルウェア（インフォスティラーなど）による認証情報の収集は、多くのアカウント乗っ取り攻撃における第一段階となっています。

また、攻撃者は過去の情報漏洩事件で流出した認証情報をそのまま再利用することも可能です。今年初めに発生したインシデントでは、IGNのTwitch配信が、Restream.ioの認証情報を悪用した正体不明の攻撃者に乗っ取られました。この認証情報は、悪用される約1か月前から情報窃取型マルウェアのダンプデータに含まれていました。

この攻撃は、漏洩した認証情報をスキャンすることの重要性を浮き彫りにしています。Specops Password Auditorなどのソリューションは、Active Directory に対して読み取り専用のスキャンを実行し、漏洩したパスワードや関連する脆弱性を特定します。

その後、修正の優先順位付けに役立つ、わかりやすいレポートを受け取ることができます。Specops Password Auditorはこちらから無料でダウンロードできます。

MFA

MFAはセキュリティを大幅に向上させますが、その強度は採用する方式や周囲の認証フローに依存します。

ワンタイムコードはフィッシングによって傍受される可能性があります。プッシュ通知は、繰り返しのプロンプトやソーシャルエンジニアリングによって悪用される恐れがあります。中間者フィッシング（Adversary-in-the-middle）では、認証情報やMFAの応答がリアルタイムで正規のサービスに中継される可能性があります。

また、攻撃者は認証後にセッション Cookie を盗み出し、MFA のチャレンジを完全に回避することも可能です。

IP アドレスと地理位置情報

IPレピュテーションにより、既知の悪意のあるインフラからの接続を特定でき、位置情報により、予期しない地域からのアクティビティをフラグ付けできます。

しかし、攻撃者は住宅用プロキシ、モバイルネットワーク、または侵害されたシステムを経由してトラフィックをルーティングすることができます。また、被害者の近くにある出口ノードを選択することで、ログインが地理的に妥当であるかのように見せかけることも可能です。

正当なアクティビティの解釈も同様に困難です。リモートワークや企業のVPNにより、見慣れない場所からの接続が発生することがあります。ポリシーを厳格化すれば、より多くの攻撃をブロックできるかもしれませんが、誤検知が増加し、対応作業も増大します。

NISTの「ゼロトラスト・アーキテクチャ」ガイダンスは、この限界を反映しています。SP 800-207では、組織は物理的またはネットワーク上の位置情報のみに基づいて暗黙の信頼を付与すべきではないと規定されています。

このガイダンスでは、ユーザー認証とデバイス認証を別個の機能として扱い、企業リソースへのアクセスが確立される前にこれらを実行すべきであると規定している。

デバイスバインディングによる新たな信頼層の追加

アイデンティティ制御の多くは、依然としてほぼどこからでも提示可能な認証情報に依存しています。そのため、組織は信頼の判断を従来のアイデンティティ信号の範囲を超えて拡張する必要があります。

Specops Device Trustのようなソリューションは、以下の方法により、攻撃者が正当なログイン試行を偽装する能力を制限し、アカウント乗っ取りのリスクを低減します。

1. アクセスを承認済みハードウェアに紐付ける

組織は、信頼できるデバイスを登録・制限し、企業所有、個人所有、サードパーティ製のハードウェアごとに異なるポリシーを適用できるようにすべきです。

未知のデバイスからのログインがあった場合、IDプラットフォームはそれをリスクの有意な変化として扱う必要があります。認証情報と多要素認証（MFA）が成功したからといって、安易にアクセスを許可すべきではありません。

2. ユーザーとデバイスの継続的な評価

ログインに成功したからといって、そのセッションの残りの期間を通じて恒久的な信頼が確立されるべきではありません。アクセスは、ユーザーの身元とデバイスの健全性の両方に引き続き依存すべきです。

エンドポイント保護の無効化やデバイスのコンプライアンス違反など、セキュリティ状態が変化した場合は、アクセス権限のレベルを変更する必要があります。

3. リスクレベルに応じた適用

セキュリティチームが「摩擦」の増加に慎重になるのは当然であり、デバイスのセキュリティ状態に関するポリシーにおいて、すべての問題をアクセス拒否事由とする必要はありません。

アプリケーションや問題の深刻度に応じて、組織は権限を制限したり、ユーザーがデバイスを修復するための短い猶予期間を与えたりすることができます。

このアプローチにより、制御は適切なバランスを保つことができます。更新プログラムの未適用は、エンドポイント保護の無効化やルート化されたデバイスと常に同じように扱われるべきではありません。

4. ユーザーが信頼を回復しやすい環境づくり

アクセスがデバイスの健全性に依存する場合、ユーザーには問題を解決するための明確な手段が必要です。自己主導型の是正措置により、従業員は問題を迅速に修正できるため、必要なセキュリティ基準を維持しつつ、業務への支障を軽減できます。

SpecopsでAIを活用したアカウント乗っ取りのリスクを軽減

AIによってアカウント乗っ取りの速度とパーソナライゼーションが向上する中、ITチームには、こうした攻撃の効果を鈍らせるソリューションが必要です。

ネットワーク信号のみからすべての悪意のあるログインを特定することは困難かもしれませんが、組織は、その認証情報が本来使用されるはずだったデバイスのコンテキストがなければ、有効な認証情報であっても無効にすることができます。

Specopsが、アクセス決定にデバイスの信頼性を組み込むことで、アイデンティティセキュリティ戦略の進化をどのように支援できるかご興味をお持ちの方は、今すぐお問い合わせください。

本記事はSpecops Softwareによる提供・執筆です。