アイデンティティ脅威検知／対応：サイバー攻撃対策としての新たな施策

主要な所見

• 2021年に発生したセキュリティ侵害の40%は、認証情報 (クレデンシャル) の悪用を伴うものであった。最新のアイデンティティ脅威は、多要素認証 (MFA) など従来のアイデンティティ／アクセス管理 (IAM) による防御コントロールを覆す可能性がある。こうしたことから、アイデンティティ脅威検知／対応 (ITDR) が2022年以降のサイバーセキュリティの最優先事項となっている。

• 従来の主要な取り組みとして、IAMとインフラストラクチャ・セキュリティがある。しかし、IAMは主に防御のためのコントロールであり、インフラストラクチャ・セキュリティはインフラ全体をカバーするものの、アイデンティティ固有の脅威の検知に関しては対象外となっている。

• ITDR機能は新しいため、不正アクセスを可能にする手段や、アイデンティティ・インフラストラクチャ自体への攻撃に対応するための定義済みのアイデンティティ脅威固有のプレイブックといったものがほとんどない。

• アイデンティティ脅威は多面的である。アイデンティティ・インフラストラクチャに構成ミスや脆弱性があると、そこを突かれる可能性がある。攻撃者は認証情報を窃取または悪用しようと、企業やアイデンティティ・プロバイダーの従業員にソーシャル・エンジニアリング攻撃を仕掛ける場合もあれば、単純にダークWeb内のイニシャル・アクセス・ブローカー (IAB) から認証情報を買い取る場合もある。

推奨事項

IAMへの取り組みを検討しているセキュリティ／リスク・マネジメント (SRM) のリーダーは、以下を行う。

• 既存の防御コントロールをまずは洗い出し、さらに、IAMインフラストラクチャに構成ミス、脆弱性、エクスポージャがないかを監査することから始める。

• アイデンティティを狙う攻撃の戦術／手法／手順 (TTP: Tactics, Techniques and Procedures) の分析を他の検知メカニズムよりも優先させる。アイデンティティ侵害に関するアラート相関付け／検知ロジックに重点を置くことで、検知コントロールを強化する。

• アイデンティティ脅威を解消／報告／是正し、アイデンティティ脅威から回復するためのステップにIAMの施行を含めるよう、プレイブックやオートメーションを構築／更新する。セキュリティ・オペレーション・センター (SOC) 内の既存のセキュリティ・コントロールを用いて、対応プロセスや脅威ハンティング・プロセスにIAMインシデントを組み込む。

• 対象となる攻撃ベクトルとテレメトリをすべてアセスメントすることで、ITDRにおけるギャップを埋める。包括的なITDRイニシアティブの要件を満たすべく、互いに補完する (場合によっては重複する) ツール群を用いるよう計画する。