Netwrix Innovation Week：アイデンティティセキュリティのイノベーション

条件付きアクセスポリシーの緩和やユーザー属性の編集といった、わずかな構成変更でも、侵害された Entra ID の管理者アカウントが長期的なアクセス手段になり得ます。これらの変更では MFA は有効なままで、何も壊れているようには見えないため、見逃しやすいのが実情です。こうした変更と、その周辺にあるリスクの高い設定やサービスアカウントを捉えることが、Netwrix Threat Manager と Netwrix PingCastle の最新アップデートで私たちの製品チームが注力した点です。

PingCastleのシニアプロダクトマネージャーであるJoe Dibleyとの最近の対談では、攻撃者によるEntra IDの悪用の手口、チームがサービスアカウントを可視化する方法、そして両製品がどのように対応しているかを掘り下げました。

Innovation Weekのすべての対談で、Netwrixのリーダーと業界の専門家が語るデータセキュリティとアイデンティティセキュリティの話をお聞きください。

Netwrix Threat Manager の新しい Entra ID 検知

Threat Manager に追加する検知には、トークン有効期間の延長、監査の縮小、バックドアを作り得るカスタムロールなど、Entra ID を管理するルールの変更が含まれます。これらの変更は膨大なログの中のごく少数のイベントなので、現実的に監視できます。今後数四半期で合計 30 以上を追加する予定で、対象は、制御の改ざん、権限昇格と永続化、認証情報への攻撃、アプリケーションとワークロード ID の変更という 4 つの領域です。

このセットの中でも比較的まれな手法である動的グループインジェクションは、この種の変更がいかに見逃されやすいかを示しています。動的グループはアカウント属性に基づいてメンバーを自動的に追加するため、アカウントの編集権限を持つ攻撃者は、たとえば部署を財務に設定して財務グループに参加し、それに伴うすべての権限を引き継ぐことができます。グループ自体は変更されないため、承認ステップは一度も実行されません。Threat Manager はすでに属性の変更を検知しており、その変更が機密性の高いグループやロールの動的グループルールに一致する場合を認識できるよう強化する予定です。

Threat Manager のサービスアカウントダッシュボード

私たちが扱う環境では、サービスアカウントは通常、過剰な権限を持ち、人間のユーザーではないため MFA の対象外になっています。有効期限のないパスワードで動作していることも多く、プログラムによって認証されるため、そのログインは人のログインほど注目されません。

Threat Manager の新しいサービスアカウントダッシュボードでは、環境内のすべてのサービスアカウントを 1 つのビューで確認でき、最近のアクティビティ、脅威、脆弱な暗号化タイプへすぐに移動できます。サービスアカウントは標準で識別され、見逃したものは命名規則や組織単位で追加できます。

現在、ダッシュボードが対象とするのはオンプレミスのアカウントですが、サービスアカウントは Entra ID にも同じように存在します。最新リリースではすでに Entra ID のエージェント ID を識別しており、サービスプリンシパル、エージェント ID、その他の非人間 ID を 1 つのビューに表示できるよう、ダッシュボードを Entra ID に拡張する予定です。

PingCastle 4.0 に Entra ID リスク評価を追加

新しい評価は 102 のリスクを対象とし、Active Directory の評価と同等の水準を目指しています。対象には、拡張権限を持つディレクトリ同期アカウントなどのハイブリッド構成に加え、ユーザー同意の設定、MFA 方式、SharePoint の共有リンク、Azure Key Vault の構成が含まれます。

各リスクには専用の定義ファイルがあり、脅威リサーチチームは JSON でプロトタイプを作成できます。お客様はバージョン間でリスクがどう変わるかを確認したり、編集したり、独自のリスクをリリースしたりできます。

両製品を支える脅威リサーチ

両製品は同じ情報源に基づいています。脅威リサーチチームは、実際の攻撃や Entra ID に対して使われる手法を研究しており、Joe と私はそれぞれチームと定期的に連携して、今後のバージョンに盛り込む内容の優先順位を決めています。

セキュリティリサーチのニュースレター Threat Lab Quarterly で、この取り組みを追うことができます。各号では、チームが追跡している内容と、それが防御側にとって何を意味し得るかを取り上げます。創刊号を公開中です。

Netwrix の Innovation Week

Netwrix Innovation Week は 10 月 19 日から 23 日まで開催され、技術の専門家と防御担当者が集まり、アイデンティティとデータのセキュリティを深く掘り下げます。期間中は、動画インタビュー、デモ、ライブストリーム、エキスパートパネル、AI ベースのキャプチャ・ザ・フラッグ・チャレンジが行われます。