Identity Threat Detection and Response (ITDR) ガイド

ITDR の概要

Gartnerは、2022年以降の主要なセキュリティおよびリスク管理のトレンドの1つとして identity threat detection and response (ITDR) を挙げており、研究の積み重ねによって効果的な ITDR 戦略の重要性が継続的に裏付けられています。たとえば、the Identity Defined Security Alliance (IDSA)は、調査対象となった組織の90%以上が2023年に身元（Identity）に関連する攻撃を受けたことを明らかにしており、a 2024 IBM reportでは、盗まれた資格情報（stolen credentials）を使った攻撃が前年比で71%増加したことが判明しました。

歴史的には、セキュリティは「城が要塞化された城壁と堀によって守られていた」ように、明確に定義されたネットワーク境界を防護することに依存していました。しかし、クラウド コンピューティングやリモートワークの普及により、こうした境界は崩れ、従来の perimeter（防御境界）は時代遅れになりました。現在では、攻撃者は周辺防御（perimeter）のコントロールを回避するために、ユーザーの Identity を直接狙うことがよくあります。これにより、正規のユーザーになりすまして、長期間にわたり検知されないままネットワーク内で横方向に移動できるようになります。そのため、ユーザーの Identity が侵害されないように保護することが極めて重要になっています。Identity Threat Detection & Response（ITDR）は、要求がどこから発せられたとしても、ユーザーの Identity を検証し、アクセス アクティビティを継続的に監視することを重視します。

ITDRの定義：意味、正式名称、目的

では、ITDRとは何でしょうか。ITDR は Identity Threat Detection and Response の略です。ITDR は、identity and access management（IAM）システムを標的とする脅威を検知、分析し、対応するために設計されたセキュリティ ツール、プロセス、ベストプラクティスの組み合わせです。Identity Threat Detection & Response（ITDR）のセキュリティは、次の中核となる原則に基づいています：

• ユーザーおよびアカウントのアクティビティを追跡するための継続的な監視
• 行動分析と異常検知
• リアルタイム検知と対応
• SIEM のような、より幅広いセキュリティプラットフォームとの統合SIEM, PAM、および EDR
• 文脈の理解
• 自動化とAI

Identity は攻撃者の主要なターゲットになっており、セキュリティチームが最優先で保護すべき課題となっています。さらに、組織は複数のプラットフォームやクラウド提供事業者にまたがって、数千もの人と機械の Identity を管理しなければなりません。この複雑さにより、大きな攻撃対象領域が生まれ、従来のツールだけでは監視や防御を行いにくくなっています。規制要求の高まりと、攻撃手法の変化が進む中で、Identity に焦点を当てたセキュリティアプローチを採用することが不可欠です。

サイバーセキュリティにおける ITDR の役割

従来のセキュリティ手法は、ファイアウォール、アンチウイルス、ネットワーク監視などの境界防御に依存していました。重点は、外部からの脅威を遮断することにありました。 しかし現在では、脅威はネットワーク内部からも発生し得ます。エンドポイントやマルウェアだけに集中するのではなく、ITDR は場所に関係なく Identity の振る舞いとアクセスパターンを重視します。疑わしい、または通常と異なる活動が検知された場合、ITDR ソリューションは、追加の認証を求める、アクセスを取り消す、またはセキュリティチームに通知することで自動的に対応できます。ITDR は、完全な可視性を提供する Identity のセキュリティだと考えてください。

ITDR は多彩な機能を備えているため、脅威の検知と対応のプロセスで不可欠です。

• Identity システムを継続的に監視し、不審な活動を検出します
• 通常のユーザー行動の基準値を設定し、逸脱を検知して通知します
• アイデンティティ（identity）イベントを他のセキュリティデータと関連付ける能力
• 疑わしい活動を検知すると、自動化された対応をトリガーできます
• インシデント調査を支援するために、詳細なログとフォレンジックデータを提供します
• 過去のインシデントから学び、時間とともに進化して改善できます

ITDR の仕組み

ITDR は単一のプロセスやソフトウェアではありません。むしろ、 privilege escalation の試行や、繰り返し失敗するログインなどの疑わしい「アイデンティティ（身元）」に関連する活動を検出し、対応することを目的としたフレームワークです。したがって、効果的な ITDR 戦略では、プロセス、ツール、ポリシーを組み合わせて、アイデンティティとそれらを保持するシステムを保護します。

ITDR は privileged access management (PAM)、脆弱性スキャン、そして data loss prevention (DLP) など、他の中核となるセキュリティ分野に代わるものではありません。代わりに、既存のツールやプロセスを強化するための追加のセキュリティ層を提供します。

ユーザーのアイデンティティのライフサイクルに関わるすべてを考慮してください。ITDR はアイデンティティの作成、変更、削除を追跡するだけでなく、 group membership changes のような活動や、権限の更新も監視します。たとえば、過剰な権限を持つ、または古くなったアカウントを特定して修正したり、機密データを含むフォルダーへのアクセス権を見直したりできます。このような先回りのアプローチは、脆弱性を減らし、アイデンティティシステムを強化することで脅威の発生を防ぐことを目的としています。

ただし、ITDR を単体のソリューションとして考えないでください。ITDR は、SIEM（Security Information and Event Management）、SOAR（Security Orchestration, Automation, and Response）、XDR（Extended Detection and Response）などの既存フレームワークと統合できます。これにより、現在急増している進化するアイデンティティベースの攻撃に対応できる、より統一されたセキュリティ態勢を構築しやすくなります。

ITDRとEDRの違い：核心ポイントを解説

ITDRは、どちらも脅威の特定と対応に注力しているため、エンドポイント検知・対応（EDR）と混同されることがあります。しかし、以下の表に示すように、ITDRとEDRはより広いサイバーセキュリティ計画の中で異なる役割を担います。

ITDRとIAM：補完関係？それとも冗長？

ITDRとIAMは補完関係にあります。従来、組織におけるIAMの責任は、誰がシステムやデータにアクセスできるかを判断し、利用条件を設定することです。一方で、ITDRの責任はアクセス制御を超えます。ITDRには、ハッキングされた認証情報、インサイダーの不正行為、特権の昇格などの「アイデンティティ（Identity）に関する脅威」を特定し、対応することが含まれます。IAMはユーザーが正しい権限を持てるようにし、MFAやRBACのようなポリシーを強制します。これに対してITDRは、アイデンティティ活動を継続的に監視して異常を検知し、脅威を検出し、対応を整理してリスク低減に役立てます。

Identity Threat Detection & Response(ITDR) ソリューションの主要ユースケース

2024 年 Verizon Data Breach 調査報告書（Investigations Report）によると、データ侵害の 68% はアイデンティティベースの攻撃によって発生しています。これは、アイデンティティを狙う方法が数多く存在するためです。Identity Threat Detection & Response（ITDR） ソリューションの主なユースケースは以下のとおりです：

• フィッシング、クレデンシャル・スタッフィング、または データ漏えい によって侵害された認証情報を検知し、対応します。
• サービスアカウント、API キー、ボットなどの非人間のアイデンティティを保護する
• 権限のマッピングとアクセスパターンの監視によって、特権昇格を防止し検知します。
• 詳細な監査証跡とアイデンティティ活動の監視により、コンプライアンスと監査対応の準備を確実にします。
• 通常の行動からの逸脱を内部不正の脅威として特定し、検知します。

ITDR が対処する Identity の脆弱性の種類

ITDR は、深刻なアイデンティティ関連の脆弱性を低減することを目的としています。代表的なものには次のようなものがあります：

• 意図しない権限昇格を持つ shadow admins や、TLS 1.0 のような脆弱な暗号化プロトコルといった誤設定は、セキュリティ上のリスクとなります。たとえば 2023 年の調査では、誤設定または shadow admin アカウントの最大 40% が簡単に悪用でき、さらにそれらのアカウントの 13% はすでにドメイン管理者権限を持っていることが明らかになりました。
• 侵害された、または漏えいした認証情報（credentials）とセッショントークン（session tokens）は、攻撃者が用いる標準的な手口です。ITDR は行動分析（behavior analytics）を活用し、通常とは異なる場所からのログインなど、あらゆる異常を検知します。さらに、各種システムにキャッシュされた認証情報（cached credentials）、エンドポイント上のクラウドアクセス・トークン（cloud access tokens）、開かれたリモートアクセス・セッション（open remote access sessions）も特定します。これらはいずれも、悪用され得る脆弱性を生み出す可能性があります。
• 従業員の退職・異動などによって生じる、未管理または孤立した特権アカウント（orphaned privilege accounts）、忘れられたサービスアカウント、そして一度も変更されていないデフォルト認証情報（default credentials）。

ITDR ツールに必須の機能

ID の脅威検知と対応（identity threat detection and response）ツールを評価する際は、次の機能を確認してください：

• 包括的な予防的コントロール — アイデンティティの脅威アクターがシステムを侵害するのを止めるには、ITDR ソリューションは、多要素認証（multifactor authentication、MFA）、ロールベースのアクセス制御（role-based access control、RBAC）、厳格なアクセス ポリシー（strict access policies）などの、アイデンティティおよびアクセス管理（identity and access management、IAM）機能を提供するか、シームレスに統合できる必要があります。Netwrix は、重要なディレクトリ資産（critical directory assets）の周囲にセキュリティ境界（security perimeter）を作成し、Tier 0 資産への不正な変更（unauthorized modifications）をブロックすることで、アイデンティティ侵害を防ぐのに役立ちます。特権昇格（privilege escalation attempts）を発生源で止めることで、攻撃者が AD 環境を侵害するのを防ぎ、横方向への移動（lateral movement）のリスクを低減します。
• 継続的なアイデンティティの発見 — どのような現代的な IT 環境でも、アイデンティティは頻繁に作成・削除・変更されます。すべてのアイデンティティとそのアクセス権限の最新のインベントリを維持し、疑わしい変更を検知してアラートすることで、変化の速度に追随できる ITDR ソリューションを探してください。継続的なアイデンティティの発見がないと、孤立アカウント、影の管理者（shadow admins）、気づかれない権限のじわじわした増加（privilege creep）などの盲点が生まれます。強力な ITDR ソリューションは、攻撃者が管理されていない隙間をすり抜けないように、すべてのアイデンティティと変更を自動的に追跡する必要があります。
• リアルタイムの脅威検出 — 深刻な被害を防ぐために、アイデンティティの脅威を十分に素早く特定するには、ITDR ソリューションにリアルタイムの検出機能が必要です。セキュリティチームが本当に重要な脅威に集中できるようにするため、機械学習（ML）や人工知能（AI）などの技術により強化された高度な分析とユーザー行動分析（UBA）を探してください。
• 自動化された復旧（是正） — アイデンティティの脅威を素早く無力化するには、自動化が重要です。候補となるソリューションが、包括的な自動応答アクションのセットを備えているか、またそれらを起動する基準を定義するための使いやすいインターフェイスがあるかを確認してください。
• 欺まん（デセプション）に基づく権限昇格の検出 — 脅威アクターは、通常のユーザーの認証情報を侵害してネットワークに侵入することが多い一方で、機密性の高いシステムやデータに到達するには、通常より高い権限が必要です。選定する ITDR ソリューションが、一般的な権限昇格（privilege escalation）の手法を特定できることを確認してください。さらに強力な保護のために、ハニーポット（honeypots）やデコイアカウント（decoy accounts）のような欺まんベースの機能を含み、悪意のある攻撃者を引きつけてその活動を事前に止められるツールを探してください。
• 復旧とレジリエンス — 検出と対応の能力が強力であっても、アイデンティティ関連のインシデントは依然として発生し得ます。だからこそ、復旧はあらゆる ITDR ソリューションにおける重要な要素です。侵害されたアイデンティティを迅速に復元し、未承認の変更をロールバックし、削除または変更されたディレクトリオブジェクトを復旧できるツールを探してください。これにより業務継続性が確保され、ダウンタイムが最小化されます。さらに、フォレンジック調査やコンプライアンス報告の支援にもつながります。

最適な Identity Threat Detection and Response ソリューション

Identity Threat Detection and Response（ITDR）は、あらゆるセキュリティ計画において欠かせない要素であり、ほかの要素と同様に一度きりの作業ではありません。IT 環境や脅威の状況が変わるにつれて、ツールやプロセスの有効性を定期的に評価し、ITDR のベストプラクティスを常に最新の状態に保つ必要があります。もちろん、ID インフラを守るための最適な ITDR ツールがほしいはずです。

Netwrix は、最も重要なもの—あなたの identity—を保護するために設計された包括的な ITDR ソリューションを提供します。高度な行動分析、継続的な監視、自動化された脅威対応により、Netwrix ITDR Solution は、オンプレミスの Active Directory からハイブリッドおよびクラウドの identity まで、環境全体で疑わしいアクティビティを迅速に検知できるようにします。honeytokens、シームレスな SIEM 連携、リアルタイム アラートといった強力な機能によって、最もステルス性の高い攻撃者であっても被害を与える前に発見されます。さらに、豊富な監査証跡と直感的なコンプライアンス レポーティングにより、Netwrix ITDR は脅威の阻止にとどまらず、セキュリティと規制順守への安心につながる道のりも効率化します。

マネージド ITDR サービス：いつ、なぜ外部委託するのか

多くの組織では、managed identity threat detection and response に関する専門知識が不足しており、これらの重要なサービスを外部委託することを選ぶ場合があります。managed ITDR solutions 提供業者の支援を求めるには、十分な理由があります。

• 現場の ITDR 専門家にアクセスできる
• 社内でのツール導入および研修にかかるコストを削減
• 時間外のセキュリティを 24/7 でカバー
• 組織の成長に合わせてスケールできる managed ITDR サービス
• 本来のビジネスに集中できるようにします

このルートを選ぶ場合は、identity threat detection and response において実績が実証され、関連する業界認証を持つ提供事業者を見つけてください。組織固有のニーズに合わせてサービスをカスタマイズでき、24/7 の監視と対応を提供し、レポートと請求における完全な透明性を提供できる事業者を選びましょう。

適切な ITDR ベンダーの選び方

ITDR ベンダーを選ぶ際にも、同じくらい慎重に判断するべきです。まず自社（組織）のニーズを明確にして、それに合う適切なベンダーを見つける必要があるため、最初にある程度の調査が必要になります。適切なソリューションは、セキュリティを向上させるだけでなく、既存のツールとも統合できるものでなければなりません。さらに、組織が対応すべき規制上の要件を満たし、事業の成長に合わせて拡張できる必要があります。

適切な ITDR（Identity Threat Detection and Response）ベンダーを選ぶことは、ますます高度化する脅威から自社のアイデンティティ基盤を守りたい組織にとって不可欠です。理想的なソリューションは、セキュリティを強化するだけでなく、現在のツールともスムーズに統合でき、コンプライアンスにも対応し、事業の成長に合わせて拡張していける必要があります。オンプレミス、クラウド、ハイブリッド基盤など、レガシー環境と現代的な環境の両方をカバーするソリューションを開発しているベンダーを探してください。

効果的な導入のための ITDR ベストプラクティス

ITDR ソリューションをある朝導入して「完了」とするだけでは不十分です。適切な導入には、慎重に計画された戦略的アプローチが必要で、ITDR のベストプラクティスに従う必要があります。たとえば、次のような内容が含まれます：

• 最小権限ポリシーを確立し、ユーザーが職務タスクを完了するために必要なアクセスのみを持つようにします。
• ユーザー権限を定期的に見直し、現在の役割と責任に一致していることを確認します。
• 個々のユーザーではなく、事前に定義された役割に基づいて権限を割り当て、ロールベースのアクセス制御（RBAC）を適用することで、管理を簡素化し、過剰な権限を持つアカウントのリスクを低減します。
• 自動化ツールを使用して、過剰な権限、古いアカウント、またはシャドウ管理者を特定して修正してください。
• 特権昇格（privilege elevation）イベントを監視し、記録して、その正当性を確認してください。

ITDR ソリューションを最大限に活用するには、潜在的な攻撃に対して組織が迅速に対応できるよう導く、十分に準備されたインシデント対応計画（incident response plan）が必要です。インシデント対応担当者の役割を明確に定義し、周知して、誰もが自分の責任を理解できるようにしてください。

今日のセキュリティ環境において ITDR が重要である理由

企業環境で ITDR ソリューションを導入する理由は、かなりシンプルです。アイデンティティ（identity）に基づく攻撃の数は引き続き増加しており、サイバーインシデントからの復旧コストも急速に上がっています。さらに、攻撃の猶予時間（attack windows）も短くなっている一方で、コンプライアンス要件（compliance requirements）の数は増え続けています。今日のアイデンティティ（Identity）は、資産であると同時にリスク（liability）でもあります。すべてのアイデンティティは、有効なユーザーを表すだけでなく、潜在的な脆弱性でもあります。攻撃者は、技術的な欠陥よりもアイデンティティを標的にする傾向がますます強まっているため、アイデンティティ主導のセキュリティ（identity-driven security）を目的に設計されたセキュリティソリューションが必要です。

Identity threat detection & response (ITDR) に関するよくある質問

Identity threat detection & response (ITDR) は何のためですか？

ITDR は Identity Threat Detection and Response の略です。ユーザーの行動を監視して疑わしい認証パターンを検知し、潜在的に侵害されたアカウントに対して対応することで、アイデンティティ（Identity）に基づく攻撃からの防御に役立ちます。Response ITDR ソリューションは、特にアイデンティティのセキュリティ課題に焦点を当てています。

IAM があれば、Identity threat detection & response (ITDR) も必要ですか？

はい、実際には両方が必要です。IAM はアクセス権限と認証を管理し、Identity threat detection & response (ITDR) はそれらの Identity を狙う脅威を検知して対応します。IAM は予防的なアプローチであり、Identity threat detection & response (ITDR) は検知と対応の両方を行います。

ITDR は XDR とどう違いますか？

ITDR は、アイデンティティとユーザーの行動分析に関連する脅威にのみ焦点を当てます。XDR（Extended Detection and Response）は、エンドポイント、ネットワーク、アプリケーション全体にわたって、より広範な脅威検出を提供します。ITDR はアイデンティティに関するより深いインサイトを提供する一方で、XDR はより幅広いセキュリティ領域をカバーします。

ITDR はフィッシングによる認証情報の窃取を止められますか？

ITDR は、認証情報が盗まれて使用された後に不審なログインパターンを特定できますが、最初のフィッシング攻撃が発生すること自体は防げません。このような脅威を発生源で止めるには、組織は専用のアンチフィッシング（anti-phishing）ソリューションが必要です。

ITDR のテストには何が含まれますか？

ITDR テストでは、資格情報の窃取、権限昇格、横方向への移動（lateral movement）、内部者による不正利用などのシナリオを模擬します。これらのシミュレーションにより、ITDR システムが疑わしい Identity 関連の活動をどれだけ適切に検知し、対応できるかを評価することができます。

ITDR を最優先にした Identity セキュリティ戦略の構築

ITDR は Zero Trust と整合します。これは、最小権限の徹底と継続的な検証を行うことで実現されます。Zero Trust は、ユーザーやデバイスは本来的に信頼できるとは想定せず、誰であっても、どこにいても、すべてのアクセス試行を検証する必要があると考えます。この「決して信頼せず、常に検証する」というアプローチにより、ITDR は Zero Trust に自然に適合します。

強力な ITDR ソリューションは重要な第一歩ですが、ソリューションを最大限に活用するには、さらに追加のアクションが必要です。ITDR の取り組みは、ビジネス目標やリスク管理の優先事項と密接に連携している必要があります。導入後は、Mean Time to Detect（MTTD）や誤検知（false positives）の割合などの主要パフォーマンス指標（KPI）を監視して、ITDR ソリューションの有効性を評価できます。

Identity に対する脅威の検知と対応の未来

攻撃手法が進化するにつれて、セキュリティ戦略もそれに合わせて適応する必要があります。組織は、変化し続けるサイバーセキュリティ環境を見据え、予測して対応することで、レジリエンスを維持し、リスクを低減し、新たな脅威に先回りして備えることが求められます。ITDR 分野も同様に急速に進展しています。たとえば、欺 deception（ディセプション）技術が、従来の ITDR ソリューションに対する現実的な追加要素として登場しつつあります。ディセプション技術では、攻撃者がそれらとやり取りしたときにセキュリティチームへ通知を行う「トリップワイヤー（tripwires）」の役割を果たす、偽のユーザーアカウント、コンピューター、ドメインを用います。今後を見据えると、AI ベースの行動（ふるまい）モデリングと非人間の Identity Management が、今後 5 年でさらに大きな役割を担うようになることはほとんど疑いの余地がありません。

結論

Identity Threat Detection and Response (ITDR) は、現代のサイバーセキュリティにおける基本的な要素となっており、組織のセキュリティ計画における重要なコンポーネントであるべきです。アイデンティティに関連する攻撃は、あらゆるオンライン組織にとって現実の脅威となっており、これらの脅威を見過ごすことはできません。継続的なサイバー脅威が常態化する時代において、ITDR は「任意」ではなく「必須」です。本稿が、ITDR についての理解に加えて実践にも役立つ内容になっていれば幸いです。

よくある質問

サイバーセキュリティにおける ITDR とは？

TDR は Identity Threat Detection and Response の略です。ITDR は、ユーザーのアイデンティティおよびアイデンティティシステムを標的とする脅威を検知、調査し、対応することに焦点を当てたフレームワークと一連のツールです。これは、アイデンティティの活動を継続的に監視し、アクセスのパターンを分析し、侵害されたアイデンティティを攻撃者が悪用できないように適切なアクションを取ることで実現します。これらすべてにより、Identity が新しいセキュリティ境界になった時代において ITDR は組織を守るうえで不可欠です。

ITDR と XDR の違いは何ですか？

ITDR（Identity Threat Detection and Response）は、資格情報の窃取、特権昇格、Active Directory の攻撃など、ユーザーのアイデンティティやアイデンティティシステムを狙った脅威の検知と対応に特化しています。攻撃者がアイデンティティに基づく脆弱性を悪用できないようにするため、認証パターン、アクセスの振る舞い、アイデンティティ関連の異常を継続的に監視し、アイデンティティのセキュリティに全面的に注力します。

一方で、XDR（Extended Detection and Response）は、組織全体のインフラにわたってより幅広い脅威の検知と対応機能を提供します。これにはエンドポイント、ネットワーク、サーバー、クラウドのワークロード、メールシステムなどが含まれます。XDR は複数のセキュリティレイヤーから得たデータを相関分析し、脅威を統一的に可視化できるようにするとともに、環境全体でより迅速かつより連携した対応を可能にします。

ITDR と IAM の違いは何ですか？

ITDR と IAM（Identity and Access Management）はどちらもアイデンティティのセキュリティに焦点を当てていますが、役割は異なります。IAM は認証と認可を使って、不正な侵入を防ぎ、「誰が何にアクセスできるか」を管理・制御します。次に ITDR は、資格情報の窃取やインサイダーによる不正使用など、アイデンティティを標的とする脅威を継続的に監視することで、アイデンティティのセキュリティを強化します。また ITDR は、不審な活動を検知し、IAM の制御を回避する攻撃をリアルタイムで止めるために即時対応することもできます。

アイデンティティの脅威への対応（identity threat responses）とは何ですか？

アイデンティティの脅威への対応（identity threat responses）には、ユーザーまたはマシンのアイデンティティに対する脅威を特定し、封じ込め、被害を減らすために取る行動が含まれます。こうした対応には、疑わしい活動の監視や、行動分析による異常の検知を通じて、侵害されたアカウントを自動的にブロック／ロックすることがよく含まれます。その他の対策としては、追加認証を要求すること、セッションを無効化すること、さらなる調査のためにセキュリティチームへアラートを出すことなどがあります。

脅威の検知と対応（threat detection and response）とは何ですか？

脅威の検知と対応（Threat detection and response、TDR）では、組織のシステムとネットワークを継続的に監視し、潜在的なサイバー脅威をいち早く見つけて迅速に対応します。これにより、脅威が被害を引き起こす前に、その影響を軽減または排除できます。このプロセスでは、ユーザーの行動、ネットワークトラフィック、その他のデータを分析するためのツールと手法を用い、不審な活動の兆候を確認します。