適応型アクセス制御とは何ですか？

適応型アクセス制御は、アクセス要求に関連するリスクのレベルに応じてアクセス要件を調整します。例えば、未知のデバイスや異常な場所からログインするユーザーは、追加の認証ステップを実行する必要があるかもしれません。また、初回ログイン後にコンテキストが変化した場合、アクセスの決定が再評価され、特定のチェックポイントでの追加認証が強制されることがあります。

適応型アクセス制御は、デバイスの姿勢、ユーザーの行動、アイデンティティリスク、リソースの感度、位置情報のコンテキストなど、リスクを評価するためにさまざまな信号を使用できます。アクセス要求がリスクがあると評価された場合、システムはステップアップ検証を要求したり、ユーザーのアクセス権や権限を制限したり、セッションを完全にブロックまたは終了させることがあります。

適応型アクセス制御は従来のアクセス制御とどのように異なるのか

従来のアクセス制御は、ユーザーのセッションの開始時に単一のアクセス決定を伴うことが多かったです。アクセスが承認されると、継続的な監視は行われず、ユーザーは自分のアカウントに割り当てられたアクセス権と特権によってのみ制約されます。

このアイデンティティとアクセス管理 (IAM)へのアプローチは、攻撃者が初期の認証を欺いたり、承認されたセッションを乗っ取ったりすることができる場合、重大なリスクをもたらします。適応型アクセス制御は、継続的でコンテキストを考慮した監視を行い、ユーザーのセッション全体にわたってアクセス決定を行うことを可能にします。

アクセスがリスクベースになると何が変わるのか？

従来のアクセス管理は、しばしば役割とグループのみに依存していました。役割ベースのアクセス制御 (RBAC) は、特定の役割に特権を割り当て、その役割にユーザーを割り当てます。認証されたユーザーがリクエストを行う場合、それはその役割に割り当てられた特権に基づいて評価されます。

リスクベースのアクセス決定では、追加の信号とコンテキストがアクセス決定に含まれます。未知のデバイスからのような高リスクのアクセス要求は、既知のデバイスと通常の場所からの同じ要求よりも追加の検証を必要とする場合があります。

適応型制御はRBACおよびABACとどのように関連しているのか？

RBACおよび属性ベースのアクセス制御 (ABAC) は、アクセス管理のための基本的なポリシーモデルを定義します。システムがユーザーのアイデンティティに自信を持っている場合、ユーザーがアクセスを持つべきかどうかを指定します。

適応型アクセス制御は、誤認識のリスクを考慮することによってこれを構築します。要求がより異常でリスクが高いほど、ユーザーの身元に対する信頼を得るための証明の負担は大きくなります。

適応型アクセス制御の決定に使用されるリスク信号

適応型アクセス制御は、アクセス要求に関連するリスクを評価するために、さまざまな信号を使用できます。最も一般的な信号の種類には、以下が含まれます：

• デバイスポスチャ
• ユーザーの行動
• 位置情報の文脈
• 身元リスク
• リソースの感度

これらの信号は、要求が特にリスクが高いかどうか、またユーザーが主張する人物である可能性があるかどうかを判断するのに役立ちます。しかし、信号の質とカバレッジは重要であり、低品質または不完全なデータは不正確なリスクスコアをもたらす可能性があります。

デバイス信号は、信頼が高いか低いかを示す情報を含んでいますか？

デバイス信号には、ビジネスにリスクをもたらすかどうか、また正当なデバイスである可能性があるかどうかを示すデバイス自体に関する情報が含まれます。考慮すべき重要事項は以下のとおりです。

• 管理されたデバイスと未管理のデバイス
• 企業のセキュリティエージェントの存在
• パッチの状態
• ルート化または脱獄されたデバイスの指標
• 証明書の状態

利用可能な場合、この情報はアクセス要求を行っているデバイスのセキュリティレベルに関する洞察を提供します。この情報を収集できない場合、追加の認証アクションが必要になるか、システムがそのデバイスでユーザーが実行できるアクションのセットを制限する可能性があります。例えば、認証されたユーザーが未知のデバイスで特定の種類のデータに対して読み取り専用アクセスを許可されることがあります。

妥協や誤用を示唆する行動信号は何ですか？

行動信号は、ユーザーアカウントまたはデバイスが攻撃者によって侵害されたことを示す兆候に焦点を当てています。一般的な信号には以下が含まれます：

• 不可能な旅行
• 異常なアクセス時間
• 異常なリソースアクセスパターン
• 繰り返し失敗した検証

これらの種類の信号は、ステップアップ認証またはセッション制御が必要かどうかを判断するために一般的に使用されます。例えば、通常の営業時間外のアクセス要求は、追加の認証手順を必要とする場合があります。

どの位置情報とネットワークコンテキスト信号が最も重要ですか？

適応型認証システムは、アクセス決定のために位置情報とネットワークコンテキストを使用することもできます。これには以下が含まれる場合があります：

• 不明な地理的位置
• リスクのある自律システム（ASN）
• リスクのあるホスティング/プロバイダーの足跡
• 匿名化ツールの使用
• 予期しないネットワークタイプ

位置情報はしばしば不完全ですが、アカウントが攻撃者によって侵害された可能性を示す手がかりを提供することがあります。このため、このデータはリスク決定を行うために他の信号と組み合わせるべきです。例えば、異常な場所からのアクセス要求は、攻撃の試みやリモートで働く出張中の従業員によるものである可能性があります。

どのアイデンティティリスク信号が重要ですか？ 

アイデンティティリスク信号は、攻撃者によって侵害される可能性が高いアカウントを特定するのに役立ちます。例としては：

• 過去の侵害に含まれるパスワード
• MFA疲労の指標
• リスクの高い認証方法の使用
• 認証トークンの異常な使用
• 悪意のあるIPアドレスからのアクセス要求
• 繰り返される失敗した認証要求

これらの信号は、高リスクのアカウントを特定するのに役立ちます。これらの信号は、デバイスの姿勢ではなく、アカウントと資格情報のセキュリティに焦点を当てています。

リソースの感度は、どのように施行を変更しますか？

リスク評価は、要求された資産の感度によっても影響を受ける可能性があります。高リスクの資産の例には：

• 給与データ
• 管理コンソール
• 顧客の個人情報
• 財務行動
• 大量データのエクスポート

これらのアクションのリクエストは、ビジネスに対する追加のリスクのため、追加の認証を必要とする場合があります。これには、リスクの低いリクエストと同じユーザーおよびデバイスに対しても、より厳格な管理を適用することが含まれます。

適応型アクセス制御の仕組み

適応型アクセス制御は、組織のリソースへのアクセスを継続的に管理します。それは信号を収集し、リスクスコアを計算し、必要な強制措置を講じ、このプロセスをユーザーのセッション全体にわたって繰り返します。

信号はどのように収集され、正規化されるのか？

信号はさまざまな異なるソースから収集されます。一部はユーザーのデバイスから発生し、他はそのアイデンティティに関する情報を追跡するか、サードパーティのソースから来ます。

適応型アクセス制御システムは、このデータを正規化し、複数のソースからの情報をポリシーエンジンへの一貫した入力に変換します。データが欠落している場合、これらのギャップは明示的に処理され、安全であると仮定されることはありません。

リスクの決定はどのように行われるのか？

リスクの決定は、いくつかの異なる方法で行うことができます。一部はリスクの閾値やレベルを含む場合があり、他は特定のシナリオに対する要件を持つ場合があります。例えば、非常に機密性の高いリソースへのアクセスは、全体のリスクスコアが比較的低い場合でも、常にステップアップ認証を引き起こす可能性があります。

これらのリスクは、ユーザー、デバイス、セッション、またはリソースごとに評価することもできます。これには、さまざまな状況と必要な強制措置を定義するためのポリシーマトリックスや閾値を生成することが含まれる場合があります。

強制措置はどこで行われるのか？

強制措置は、ログイン時またはユーザーのセッション全体のさまざまなポイントで行われる可能性があります。例えば、システムはセッション中にステップアップ認証を要求したり、ユーザーがセッション全体で行えるアクションを制限したりする場合があります。

アクセスリクエストが完全にブロックされるか、セッションが早期に終了する可能性もあります。しかし、これは高リスクスコアや非常に敏感なリソースへのリスクの高いリクエストに最も一般的です。

一般的な適応的強制措置

適応的強制措置は、認証の強化からアクセスリクエストの完全な拒否まで幅広く行われる可能性があります。ポリシーは、さまざまなシナリオに対する適切な強制措置を定義する必要があります。

ポリシーはいつステップアップ検証をトリガーすべきか？

ステップアップ検証には、MFAの実施など、追加の認証ステップが必要です。これは、リスクスコアがそれを正当化する場合にのみ、これらの追加ステップを要求することで、ユーザー体験の摩擦を制限するように設計されています。 

例えば、新しいデバイスからのアクセスリクエストや敏感なアクションには、追加の検証が必要な場合があります。これは、ユーザー体験に追加の害を及ぼすことなくリスクを管理するための低影響な方法を提供します。

ポリシーはいつアクセスをブロックするのではなく、アクションを制限すべきか？

ユーザーがセッション内で取ることができるアクションを制限することは、完全なアクセスとセッションの終了の間の中間的な選択肢を提供します。例えば、読み取り専用アクセスを提供したり、ダウンロードをブロックしたり、管理者操作を制限したりすることは、侵害されたアカウントの潜在的な影響を管理する方法です。

これらの制限は、一般的に非常に敏感なリソースに対して、またはセッション中にリスク信号が観察された場合に適用されます。彼らは、完全なブロックよりもビジネスへの混乱を少なくしながら、組織のリスクエクスポージャーを管理します。

セッションの制限はいつ正しい選択か？

セッションの制限は、リスクのあるセッションによって引き起こされる潜在的な脅威を制限するためのツールです。これには、短いセッションの寿命を実装したり、再認証を強制したり、必要に応じてセッションを終了したりすることが含まれます。

しばしば、セッションの制限は、セッションの途中でリスクスコアが上昇する状況で使用されます。これらの制御は、攻撃の潜在的な影響を減少させ、インシデント対応を簡素化します。

適応型アクセス制御が最も価値を提供する場所

適応型アクセス制御は、最小特権の原則を実装し、誤用やアカウント乗っ取り攻撃のリスクを減少させるために設計されています。適切に実装されると、セキュリティとユーザー体験のバランスを取り、ITヘルプデスクやセキュリティチームの負担を軽減します。

アカウント乗っ取りの影響をどのように軽減するのか？

適応型アクセス制御は、ユーザーセッションを継続的に監視し、ユーザーセッションの途中で強制措置を講じることができます。ユーザーのアカウントが侵害された場合、検出の可能性が高まり、攻撃者の悪意のある行動を取る能力やネットワーク内での横移動を制限します。

契約者や第三者のアクセスをどのように改善するのか？

契約者や第三者のアクセスは、未知の管理されていないデバイスから企業リソースへのアクセスを許可するため、リスクを伴います。適応型アクセス制御は、第三者のユーザーとデバイスの身元を確認し、リスクを評価するのに役立ちます。さらに、組織はアクセスと特権を制限し、これらのセッションのリスクを管理するために時間制限付きのアクセスを実装できます。

一般的な落とし穴とそれを避ける方法

適応型アクセス制御は、成功するために高品質のデータと慎重な設定が必要です。そうでなければ、ユーザー体験や企業のセキュリティに害を及ぼす誤検知のリスクがあります。

誤検知とユーザーの摩擦の原因は何か？

誤検知は、ユーザーに追加の確認を求めるため、不要な摩擦を引き起こす可能性があります。ユーザーは要求された機能にアクセスできない場合があります。これらの問題の一般的な原因には、以下が含まれます：

• ノイズの多い信号
• 不一致なベースライン
• 過度に厳しい閾値

例えば、出張中またはリモートの従業員のリスクスコアが追加の強制措置を引き起こす可能性があります。この場合、生産性に悪影響を及ぼし、ソリューションの採用を妨げたり、ユーザーがビジネスに追加のリスクをもたらす回避策を探す原因となる可能性があります。

盲点は何を生み出すのか？

適応型アクセス制御には、デバイスの不完全な可視性、欠落したテレメトリ、特定のアプリに対する未定義のポリシーなど、いくつかの信号の盲点が存在する可能性があります。さらに、環境やシステムが変化するにつれて、ポリシーは時代遅れになる可能性があります。

データが欠落している場合、これらの未知の要素は無視されるのではなく、潜在的なリスクの兆候として考慮されるべきです。さもなければ、信号のギャップや盲点は、警告の兆候を隠し、企業のポリシーを打破するために意図的に悪用される可能性があります。

ポリシーはどのように展開し、調整すべきか？

ポリシーは段階的に展開されるべきであり、次の段階に進む前に監視、テスト、調整が可能である必要があります。このプロセスに関するすべての情報も文書化され、将来のトラブルシューティングをサポートする必要があります。

システムが展開された後、定期的なレビューを実施して潜在的な問題や時代遅れのポリシーを特定する必要があります。さらに、組織は例外を管理するためのポリシーと手順を定義し、それらが時間制限付きで必要であり、セキュリティを損なわないことを保証する必要があります。

適応型アクセス制御に関するFAQ

適応型アクセス制御は条件付きアクセスと同じですか？

適応型アクセス制御と条件付きアクセスは、どちらもログイン中のアクセス決定を助けるためにコンテキストを使用します。しかし、適応型アクセス制御はアクティブなセッション全体で機能し、リスクスコアの変化に基づいて必要に応じて再評価します。

適応型アクセス制御は常にMFAを必要としますか？

MFAは適応型アクセス制御のための一つの強制措置ですが、唯一の選択肢ではありません。他の可能な措置には、セッション中のアクションの制限、セッションの期間の短縮、または高リスクのアクセス試行を完全にブロックすることが含まれます。

デバイスの姿勢が不明な場合、どの信号が最も重要ですか？

不明なデバイスの姿勢は、高リスクとして扱われるべきであり、非常にリスクの高い信号を隠す可能性があります。これらの問題を補うために、適応型認証はステップアップ認証を要求したり、権限を減少させたり、機密情報へのアクセスを制限したりする必要があるかもしれません。デバイストラストは、アクセス管理の基盤となることが多いです。なぜなら、侵害されたデバイスは、正当で信頼できるユーザーの手にあっても、組織を危険にさらす可能性があるからです。

ポリシーは、常にロックアウトされることなく旅行をどのように扱うべきですか？

ポリシーは、旅行をさまざまな方法で扱うことができ、必要に応じて執行や課題をエスカレートさせる可能性があります。例えば、ポリシーはステップアップ認証を要求したり、旅行中のデバイスのアクセスを制限したりすることがあります。リスクは、位置情報と他の信号を組み合わせ、仮のポリシー例外の使用を厳格に管理することによっても管理できます。

組織は、適応型アクセス制御ポリシーをどのように実施すべきですか？

適応型アクセス制御ポリシーは、段階的で制御されたプロセスを通じて実施されるべきです。重要なステップは以下の通りです：

• 保護すべき敏感なリソースを特定すること
• 収集し分析する信号を選択すること
• 収集した信号に基づいてリスク状態を定義すること
• リスク状態に対する執行アクションをマッピングすること
• 展開前のテストを実施すること
• 徐々に展開すること
• 本番環境でポリシーをテストし調整すること

このプロセス全体を通じて、ガバナンスはセキュリティにとって重要です。組織はすべてのアクションを記録し、定期的なレビューを行い、すべてのポリシーの説明可能性を確保し、例外を制限し管理するべきです。

展開後、適応型アクセス制御は、予測可能な執行アクションを持ち、偽陽性率が低いべきです。さらに、効果的なシステムは、脅威の抑制、ユーザー体験、ログイン関連のITヘルプデスクリクエストに関して測定可能な改善を持つべきです。