Privileged Access Management (PAM)
特権アクセス管理 (PAM) のベストプラクティスは、セキュリティを強化するために時間とともに発展してきました。従来、多くの組織は、管理者が不可欠なタスクを完了できるようにするため、数十、あるいは数百もの特権アカウントを維持していました。これらの特権認証情報は、所有者によって悪用されたり、攻撃者に乗っ取られたりし得るため、深刻なセキュリティリスクとなります。
リスクを低減するために、PAM ツールは当初、資格情報ボールト（credential vaults）のような手法を使って、対象のアカウントをロックダウンすることに注力していました。その結果、複雑で終わりのない管理上の苦労が生じました。現代の Privileged Access Management はまったく異なるアプローチを取ります。常設の特権（standing privileges）を、特定のタスクを実行するために必要な分だけのアクセスを、必要な間だけ提供する just-in-time privileges に置き換えてください。 この戦略により、同時にセキュリティ上のリスクと管理の負担を大幅に削減できます。
従来型の特権アカウント管理のベストプラクティス
従来型の PAM アプローチに従う組織は、以下を含め、多くのベストプラクティスを実装して多数の特権アカウントを保護する必要があります。
- すべての特権アカウントの棚卸し（インベントリ）を維持します。 インベントリには、各特権アカウントの所有者、連絡先情報、オフィスでの主な所在地、およびそのアカウントが持つすべてのアクセス権限を含める必要があります。以下の種類のアカウントはすべて含めるようにしてください：
- Domain Admins や Enterprise Admins のような強力な Active Directory グループのすべてのメンバー
- 「*nix」サーバーのすべての root アカウント
- メインフレーム システム、データベース、主要アプリケーションのすべてのシステム管理者
- ファイアウォール、ルーター、電話スイッチなど、ネットワーク機器のすべてのシステム管理者
- データ、リソース、インフラに対して昇格されたアクセス権を持つすべてのサービス アカウント
- ソーシャル メディア、SaaS アプリケーション、パートナー、請負業者、顧客に関連するアカウントを含む、ファイアウォールの外にあるすべての特権アカウント
- Microsoft Entra（旧 Azure Active Directory）を管理するためのアカウントなどの、クラウドベースの特権アカウント
- 特権アクセス権を定期的に見直してください。 少なくとも月に1回はレビューして、特権アカウントの棚卸しを常に最新の状態に保ちましょう。不要になった特権アカウントや、残しているアカウントに対して不要な権限があれば、速やかに削除し、すべての変更内容を詳細に記録してください。
- 管理者がアカウントを共有することを許可しないでください。 この特権アカウント管理のベストプラクティスでは、個人ごとに別々の特権アカウントを割り当てることで、管理者が自分の行動に責任を負う状態を作ります。既定の管理者、root、および同様のアカウントは、どうしても必要な場合にのみ使用し、名前を変更するか無効化するのが望ましいです。
- 特権アカウントの数を最小限にしてください。 理想的には、各管理者がすべてのシステムに対して使用する特権アカウントは1つだけにします。
- パスワードポリシーを作成し、厳格に適用してください。 以下を含むパスワードのベストプラクティスに従ってください：
- 各デバイスでパスワードを変更し、デフォルトまたは一時的なパスワードを使用しないようにしてください。
- アプリケーションやアプライアンスにハードコードされたパスワードは使用しないでください。
- 退職した従業員がシステムを侵害するリスクを減らすため、特権アカウントのパスワードを定期的に変更することを求めてください。
- 特権アカウントに対して多要素認証（MFA）を必須にしてください。 オプションには、ハードトークン、ソフトトークン、プッシュして認証/承認する方式、近距離無線（NFC）のBluetoothビーコン、GPS/位置情報、指紋などがあります。パスワード単体では不十分です。
- 各特権アカウントの権限を制限してください。少数の特権アカウントに、すべてへの完全なアクセス権を与えてはいけません。むしろ、リスクを最小化するために、次の2つの重要な原則の両方を徹底してください：
- 職務の分離： 特定のシステムまたはアプリケーションに対して、どの従業員もすべての特権アクションを実行できません。これにより、すべての権限を1人が持つことがないようにします。
- 最小権限： 各ユーザーには、業務を遂行するために必要な最小限の権限だけが付与されます。これにより、ユーザーが故意または誤って引き起こしうる被害と、アカウントを侵害された攻撃者が得る権限の大きさを抑えられます。
権限を制限するための有効な戦略として、 Active Directory での権限委任 と ロールベースのアクセス制御（RBAC） を、利用するすべてのシステムに対して設定することが挙げられます。
- 特権昇格（privilege-elevation）のベストプラクティスを使用してください。 ユーザーが追加のアクセス権を必要とする場合は、紙面であっても、privileged access management system のチケットを使用する場合であっても、文書化された申請・承認プロセスに従うべきです。承認後は、指定されたタスクを実行するために必要な期間に限ってユーザーの権限を昇格させます。IT 管理者も同様に、特定のタスクで昇格された権限が必要な場合のみ特権アカウントを使用し、それ以外では通常のアカウントを使用してください。
- すべての特権アクティビティをログに記録してください。 費用のかかるデータ侵害やダウンタイムのリスクを下げるために、さまざまなログ記録・監視手法を用いて、特権ユーザーがどのような操作を行っているかに注意を払ってください。ファイアウォール、ネットワークアクセス制御ツール、ならびにシステムへのアクセスを制限するその他のシステム—特に侵入検知システム（IDS）や identity and access management（IAM）ソリューションのような重要なシステム—でログを有効にします。さらに、ログオン／ログオフ（logon/logoff）イベントおよび特権ユーザーが行うその他の操作についても、システムログを有効にする必要があります。
- 特権アクティビティの監視とアラートを実装します。 さらに、特権ユーザーのアクティビティをリアルタイムで監視し、重要なアクションが行われた際に適切な担当者へ通知できる必要があります。これらのアラートを作成するには、ログ内の情報が明確で理解しやすいことが求められます。これは多くの計算プラットフォームではネイティブに提供されていませんが、サードパーティの IT 監査ソフトウェアからこの情報を入手することができます。
- 各特権ユーザーのリスクを分析します。 特権ユーザーごとに定期的にリスクを評価し、リスクの最も高いアカウントから調査と保護を優先して行います。
- ユーザーを教育します。 すべての人——管理者だけでなく、すべてのユーザー——が、特権クレデンシャルを適切に管理し、使用する方法を理解している必要があります。スタッフが成功できるように必要な情報を提供し、責任が変わるたびに関連するポリシーや手順について確実に更新してください。
- アカウント管理ポリシーと実務を文書化します。 そして何よりも大切なのは、ルールとプロセスを明確に書面化し、経営チームが署名して承認していることを確認することです。これにより、すべてが明確で執行可能になります。これは、コンプライアンスの対象が含まれる場合に特に重要です。
モダン Privileged Access Management
多数（数十〜数百）の特権アカウントに対して、これらのベストプラクティスをすべて厳格に実施することは、非常に大きな課題です。さらに、仮にこの目標を達成できたとしても、存在するすべての特権アカウントは、攻撃者に乗っ取られたり、その所有者によって悪用されたりするリスクがあるため、依然として非常に大きな攻撃対象領域が残ります。
第三世代の Privileged Access Management に移行しましょう。この現代的なアプローチには、次の実践が含まれます。
- ゼロ常駐特権（ZSP）を強制します。 可能な限り、常時有効な特権をジャストインタイムの特権に置き換え、作業に必要な最小限のアクセス権だけを付与して、直後に特権をすぐに取り除きます。 ZSP は、特権の資格情報が内部者によって悪用されたり、攻撃者によって侵害されたりするリスクを最小化します。
- 特権セッション要求に対する承認プロセスを実装します。 ほとんどの重要なタスクでは、特権セッション要求を適切な担当者が承認または却下しなければならない承認ワークフローを用意すべきです。適切な PAM solution を使えば、効果的でありながら便利なワークフローを簡単に構築できます。
- すべての特権セッションについて監査証跡（audit trail）と記録を保持します。 組織は、管理者が行っているすべての行為を追跡する必要があります。最新の一部の PAM solution では、特権ユーザーの活動をリアルタイムで監視する機能に加え、セッションの録画および再生機能も提供しています。
次のステップ：Netwrix Privileged Access Management ソリューションで攻撃対象領域を大幅に削減
Netwrix の privileged access management ソリューション は、機密データや重要なシステムを保護し、業界および政府の規制に準拠するための支援をします。リスクの高い常駐（standing）権限を、作業に必要な分だけを提供する just-in-time 権限に、管理者の生産性を損なうことなく簡単に置き換えられます。さらに、申請/承認のワークフローを素早く構築できるため、Zero Standing Privilege の実現が簡単かつ便利になります。加えて、Netwrix PAM ソリューションは、特権アカウントのすべてのアクティビティに関する詳細な監査証跡を維持し、疑わしい挙動をすぐに通知して迅速な対応を可能にし、記録済みの特権セッションを容易に再生できるため、調査の促進と説明責任の強化に役立ちます。
さらに、Netwrix PAM ソリューションはユーザーフレンドリーなインターフェースとカスタマイズ可能なダッシュボードを備えており、導入・利用が容易です。また、今日から将来にわたって組織のニーズに対応できる拡張性があり、強固なセキュリティへの道を切り開きます。
共有する