SERIES

Series 03｜Identity Security ― 認証突破から始まる攻撃をどう防ぐか

全3回中3回・更新中

攻撃者はファイアウォールを破りません。正規のアカウントでログインしてきます。業務がクラウドへ移り、IDが実質的な境界になった環境では、認証を突破されるかどうかが防御の分かれ目です。本シリーズは全3回で、Password Sprayから始まる攻撃の全体像、認証の結果を横取りされないフィッシング耐性認証の使い分け、そして侵入されたあと特権までの距離をどう長くするかを扱います。MITRE ATT&CKとNIST SP 800-63-4を軸に、技術と設計の両面から整理します。

このシリーズの記事

第1Password Sprayから始まる侵入 ― Valid Account攻撃を理解する攻撃者はもはやファイアウォールを破りません。正規のアカウントでログインしてきます。IDが実質的な境界になった環境では、Password SprayやCredential Stuffingで入り口を探り、AiTMフィッシングやMFA疲労でMFAを迂回し、正規の認証情報として振る舞いながら横展開するという流れが定着しています。本稿では、この一連の動きをMITRE ATT&CKの技術IDに対応づけて整理し、正規アカウントゆえに「異常」が残りにくいという検知上の難しさと、それでも痕跡が出る5つの着眼点を解説します。
第2Passkey・フィッシング耐性MFAは金融機関をどう変えるかMFAを入れれば安全、という前提はすでに崩れています。AiTMフィッシングもMFA疲労も、認証そのものではなく認証の結果を横取りする攻撃だからです。2025年8月に最終版となったNIST SP 800-63-4は、フィッシング耐性のある認証を公開鍵暗号と検証者の限定という要件で定義し、同期可能なパスキーはAAL3では使えないという線を引きました。本稿では認証方式ごとの耐性を整理し、同期パスキーとデバイス束縛型の使い分け、そして導入の最大の弱点であるアカウント回復の設計を解説します。
第3ITDRとAttack Path管理で特権ID侵害を止める認証の入口を固めても、侵入後に残る権限の経路は消えません。一般利用者のアカウントから数ステップで管理者権限に到達できる経路は、ほとんどの組織に存在します。しかもそれは設定ミスではなく、長年の運用で積み上がった正規の権限委任の結果です。本稿では、Active DirectoryとEntra IDにまたがるAttack Pathがどう生まれるのかを整理し、経路を洗い出す6つの観点、ITDRが検知すべきID基盤そのものへの攻撃、そして経路のどこを制御点として断つかという設計を解説します。