特権アクセス: 戦略

Microsoft では、特権アクセスに対する高い影響と可能性の高い攻撃から組織へのリスクを迅速に軽減するために、この特権アクセス戦略を採用することをお勧めします。

特権アクセスは、すべての組織で最もセキュリティ上の優先順位である必要があります。 これらのユーザーの侵害は、組織に重大な悪影響を及ぼす可能性が高くなります。 特権ユーザーは組織内のビジネスクリティカルな資産にアクセスできます。攻撃者がアカウントを侵害すると、ほとんどの場合、大きな影響を与えます。

この戦略は、明示的な検証、最小限の特権、侵害の想定というゼロ トラスト原則に基づいて構築されています。 Microsoft では、この戦略に基づいて保護を迅速に展開するのに役立つ 実装ガイダンス が提供されています

大事な

特権アクセス リスクを魔法のように軽減する単一の "silver Bullet" 技術ソリューションはありません。複数の攻撃者のエントリ ポイントから保護する包括的なソリューションに複数のテクノロジを組み合わせる必要があります。 組織は、ジョブの各部分に適したツールを持ち込む必要があります。

特権アクセスが重要な理由

特権アクセスのセキュリティは、他のすべてのセキュリティ保証に基づくため、非常に重要です。特権アカウントを制御する攻撃者は、他のすべてのセキュリティ保証を損なう可能性があります。 リスクの観点から見ると、特権アクセスの損失は影響の大きいイベントであり、業界全体で驚くべき速度で増加している可能性が高くなります。

これらの攻撃手法は、当初、ターゲットデータ盗難攻撃で使用されていました。これにより、使い慣れたブランド (および多くの報告されていないインシデント) で多くの注目度の高い侵害が発生しました。 最近では、これらの手法がランサムウェアの攻撃者によって採用され、業界全体の業務を意図的に中断する、非常に有益な人間が運用するランサムウェア攻撃が爆発的に増加しています。

大事な

人間が操作するランサムウェア は、単一のワークステーションまたはデバイスを対象とする一次的な単一のコンピューターランサムウェア攻撃とは異なります。

この図では、特権アクセスを使用して、この強要ベースの攻撃が影響を及ぼし、可能性が高まっている方法について説明します。

PLACEHOLDER

  • ビジネスへの影響が大きい
    • 特権アクセスに対する損失の潜在的なビジネスへの影響と損害を過大評価することは困難です。 特権アクセス権を持つ攻撃者は、実質的にすべてのエンタープライズ資産とリソースを完全に制御し、機密データを開示したり、すべてのビジネス プロセスを停止したり、ビジネス プロセスやマシンを無効にして、財産を損なったり、人を傷つけたり、悪化させたりする機能を与えます。 次のように、あらゆる業界で大きなビジネスへの影響が見られています。
      • 標的型データの盗難 - 攻撃者は特権アクセスを使用して、機密の知的財産にアクセスして盗み、自分で使用したり、競合他社や外部政府に販売/譲渡したりします。
      • 人間が操作するランサムウェア (HumOR) - 攻撃者は特権アクセスを使用して、企業内のすべてのデータとシステムを盗んだり暗号化したりし、多くの場合、すべてのビジネス操作を停止します。 その後、データを開示しないようにお金を要求したり、ロックを解除するためのキーを提供したりして、ターゲット組織を強要します。
  • 発生の可能性が高い
    • 特権アクセス攻撃の普及は、 ハッシュ手法を渡すことから始まる現代の資格情報盗難攻撃の出現以降、拡大しています。 これらの手法は、2008 年の攻撃ツール "Pass-the-Hash Toolkit" のリリース以降、犯罪者に人気が高まり、信頼性の高い攻撃手法のスイート (主に Mimikatz ツールキットに基づく) に成長しました。 この武器化と手法の自動化により、攻撃 (およびその後の影響) は急速に増加し、攻撃に対するターゲット組織の脆弱性と攻撃者の収益化/インセンティブ モデルによってのみ制限されます。
      • 人間が操作するランサムウェア (HumOR) が出現する前は、これらの攻撃は一般的でしたが、次の理由により、多くの場合、目に見えない、または誤解されていませんでした。
        • 攻撃者の収益化の制限 - ターゲット組織から機密性の高い知的財産を収益化する方法を知っているグループと個人のみが、これらの攻撃から利益を得る可能性があります。
        • サイレント インパクト - 組織は検出ツールを持っていないため、これらの攻撃を見逃すことがよくあります。また、ビジネスへの影響を見て見積もるのにも苦労しました (たとえば、競合他社が盗まれた知的財産をどのように使用していたか、その影響が価格や市場にどのような影響を与えたかなど)。 さらに、攻撃を見た組織は、多くの場合、自分の評判を保護するために、攻撃について黙っていました。
      • これらの攻撃に対するサイレント 影響と攻撃者の収益化の両方の制限は、人間が操作するランサムウェアの出現によって解消され、ボリューム、影響、認識が増加しています。
        • 大声で破壊的 - 強要要求の支払いに対するビジネス プロセス。
        • ユニバーサルに適用できる - すべての業界のすべての組織は、中断なく運用を継続する金銭的な動機を持っています。

このような理由から、特権アクセスは、すべての組織で最もセキュリティ上の優先順位である必要があります。

特権アクセス戦略の構築

特権アクセス戦略は、迅速な勝利と段階的な進行状況で構成する必要がある体験です。 特権アクセス戦略の各ステップでは、特権アクセスから永続的で柔軟な攻撃者を"封印" する近くにいる必要があります。これは、使用可能な弱点を通じて環境に侵入しようとしている水のようなものです。

このガイダンスは、既に移動中の場所に関係なく、すべてのエンタープライズ組織向けに設計されています。

包括的な実用的な戦略

特権アクセスによるリスクを減らすには、複数のテクノロジにまたがるリスク軽減策の、思慮深く包括的で優先順位の高い組み合わせが必要です。

この戦略を構築するには、攻撃者が悪用できるオプションが多数あるため、攻撃者は水のようなものであることが認識される必要があります (一部のオプションは最初は重要ではないようです)、攻撃者は柔軟に使用でき、一般に目標の達成に対する抵抗が最も少ないパスを取ります。

Attackers are like water and can appear insignificant at first but, flood over time

攻撃者が実際に優先順位を付けるパスは、次の組み合わせです。

  • 確立された手法 (多くの場合、攻撃ツールに自動化)
  • 悪用しやすい新しい手法

関連するテクノロジの多様性のため、この戦略には、複数のテクノロジを組み合わせ、ゼロ トラスト原則に従う完全な戦略が必要です。

大事な

これらの攻撃から防御する複数のテクノロジを含む戦略を採用する必要があります。 特権を持つ ID 管理/特権アクセス管理 (PIM/PAM) ソリューションを実装するだけでは十分ではありません。 詳細については、「 Privileged access Intermediaries」を参照してください。

  • 攻撃者は、動作するあらゆる種類の攻撃を使用して、目標指向であり、テクノロジに依存しません。
  • 保護しているアクセス制御バックボーンは、エンタープライズ環境のほとんどのシステムまたはすべてのシステムに統合されます。

ネットワーク制御または単一の特権アクセス ソリューションだけでこれらの脅威を検出または防止できることを期待すると、他の多くの種類の攻撃に対して脆弱になります。

戦略的前提 - クラウドはセキュリティのソースです

この戦略では、いくつかの理由から、クラウド サービスをオンプレミスの分離手法ではなく、セキュリティと管理機能の主要なソースとして使用します。

  • クラウドは、より優れた機能を備えています 。現在利用できる最も強力なセキュリティと管理機能は、高度なツール、ネイティブ統合、Microsoft がセキュリティ ツールに使用する 1 日に 8 兆を超えるセキュリティシグナルなどの大量のセキュリティ インテリジェンスを含むクラウド サービスから得られます。
  • クラウドの導入は簡単で迅速です 。クラウド サービスの導入には、実装とスケールアップのためのインフラストラクチャはほとんど必要ありません。これにより、チームはテクノロジ統合ではなく、セキュリティミッションに集中できます。
  • クラウドのメンテナンスが少なくて済みます 。クラウドは、何千もの顧客組織に対してその単一の目的に専念するチームを持つベンダー組織によっても一貫して管理、保守、セキュリティ保護され、チームが機能を厳密に維持するための時間と労力を削減します。
  • クラウドは改善を続けています 。クラウド サービスの機能は、組織が継続的に投資する必要なく、絶えず更新されています。

Microsoft の推奨戦略は、特権アクセスのための "クローズド ループ" システムを段階的に構築することです。これにより、信頼できる "クリーン" なデバイス、アカウント、中間システムのみをビジネス機密システムへの特権アクセスに使用できます。

ボートのような実際の生活の中で複雑なものを防ぐためと同様に、意図的な結果でこの戦略を設計し、基準を慎重に確立して従い、漏えいを修復できるように結果を継続的に監視し、監査する必要があります。 ボートの形で一緒にくぎを打ち、魔法のように船が打ち上がることを期待することはありません。 まず、エンジンやハンドル 機構などの重要なコンポーネント (人が乗り込む方法を残しながら) などの重要なアイテムを構築し、その後、ラジオ、シートなどの快適性アイテムを防いでいく作業に重点を置きます。 また、最も完璧なシステムでも後でリークが発生する可能性があるため、時間の経過と共にそれを維持するため、予防メンテナンスに追いつき、漏れを監視し、シンクしないように修正する必要があります。

Privileged Access のセキュリティ保護には、2 つの簡単な目標があります

  1. 特権アクションを実行する機能を、いくつかの承認された経路に厳密に制限する
  2. これらの経路を保護し、注意深く監視する

システムへのアクセスには、ユーザー アクセス (機能を使用する) と特権アクセス (機能の管理または機密性の高い機能へのアクセス) の 2 種類があります。

Two pathways to systems user and privileged access

  • ユーザー アクセス - 図の下部の明るい青いパスは、電子メール、コラボレーション、Web 閲覧、基幹業務アプリケーションや Web サイトの使用などの一般的な生産性タスクを実行する標準的なユーザー アカウントを示しています。 このパスには、デバイスまたはワークステーションにログオンするアカウントが含まれます。場合によっては、リモート アクセス ソリューションなどの中間を通過し、エンタープライズ システムと対話します。
  • Privileged Access - 図の上部の濃い青色のパスは、特権アクセスを示しています。IT 管理者や他の機密アカウントなどの特権アカウントは、ビジネス クリティカルなシステムやデータにアクセスしたり、エンタープライズ システムで管理タスクを実行したりします。 技術的なコンポーネントは本質的に似ていますが、敵対者が特権アクセスを与える被害ははるかに高くなります。

フル アクセス管理システムには、ID システムと承認された昇格パスも含まれます。

Two pathways plus identity systems and elevation paths

  • ID システム - アカウントと管理グループ、同期とフェデレーション機能、およびその他の ID サポート機能をホストする ID ディレクトリを標準ユーザーと特権ユーザーに提供します。
  • 承認された昇格パス - 標準ユーザーが特権アクセス管理/Privileged Identity 管理システムの Just In Time (JIT) プロセスを通じて機密システムに対する管理者権限の要求を承認するマネージャーやピアなど、特権のあるワークフローを操作するための手段を提供します。

これらのコンポーネントは、敵対者が企業への昇格されたアクセスを試みるのを対象とする特権アクセス攻撃の表面を一括して構成します。

Attack surface unprotected

メモ

カスタマー マネージド オペレーティング システムでホストされるオンプレミスおよびサービスとしてのインフラストラクチャ (IaaS) システムの場合、管理エージェントとセキュリティ エージェント、サービス アカウント、および潜在的な構成の問題により、攻撃面が大幅に増加します。

持続可能で管理可能な特権アクセス戦略を作成するには、アクセスする唯一の方法を表すセキュリティで保護されたシステムに物理的に接続されたコントロール コンソールと同等の仮想ベクトルを作成するために、承認されていないすべてのベクトルを終了する必要があります。

この戦略には、次の組み合わせが必要です。

  • 迅速な最新化計画 (RAMP) を含め、このガイダンス全体で説明されているゼロ トラストアクセス制御
  • これらのシステムに適切なセキュリティの検疫プラクティスを適用することで、直接資産攻撃から保護するための資産保護。 リソースの資産保護 (アクセス制御コンポーネントを超える) は、このガイダンスの範囲外ですが、通常は、セキュリティ更新プログラム/パッチの迅速な適用、製造元/業界のセキュリティ ベースラインを使用したオペレーティング システムの構成、保存および転送中のデータの保護、開発/DevOps プロセスへのセキュリティのベスト プラクティスの統合が含まれます。

Reduce the attack surface

体験における戦略的イニシアチブ

この戦略を実装するには、それぞれが明確な結果と成功基準を持つ 4 つの補完的なイニシアチブが必要です

  1. エンドツーエンドのセッション セキュリティ - 特権セッション、ユーザー セッション、および承認された昇格パスの明示的なゼロ トラスト検証を確立します。
    1. 成功基準: 各セッションは、アクセスを許可する前に、各ユーザー アカウントとデバイスが十分なレベルで信頼されていることを検証します。
  2. ディレクトリ、ID 管理、管理者アカウント、同意許可などの監視 ID システムを保護 & する
    1. 成功基準: これらの各システムは、ホストされているアカウントの潜在的なビジネスへの影響に適したレベルで保護されます。
  3. ローカル アカウントのパスワード、サービス アカウントのパスワード、またはその他のシークレットを使用して横トラバーサルから保護するために横トラバーサルを軽減する
    1. 成功基準: 1 台のデバイスを侵害しても、環境内の多くのデバイスまたは他のすべてのデバイスをすぐに制御することはできません
  4. 環境内の敵対的なアクセスと時間を制限する迅速な脅威対応
    1. 成功基準: インシデント対応プロセスは、敵対者が環境内で多段階の攻撃を確実に行い、特権アクセスが失われることを妨げてしまいます。 (特権アクセスを含むインシデントの平均修復時間 (MTTR) をほぼゼロに減らし、すべてのインシデントの MTTR を数分に減らして、敵対者が特権アクセスをターゲットにする時間を持たないようにすることで測定されます)

次の手順