外部からの攻撃や内部不正のリスクを
低減させるカギは「特権ID管理」にあり

　「コロナ禍に伴うニューノーマルへの移行は、企業の情報システムにも大きな変化をもたらしました。その特徴として、『リモートワークの推進』『非対面コミュニケーション機会の増加』『クラウド活用の推進』の3点が挙げられます」と説明するのは、ＮＲＩセキュアテクノロジーズの大谷 佳裕氏だ。

　在宅勤務が一般化したことで、VPN接続を用いたリモートアクセスが急増。ネットワーク帯域のひっ迫を避けるために、特定の通信はデータセンターを経由させないローカルブレイクアウトを行うケースも増えている。また、社内外のコミュニケーションについても、Web会議システムの利用が一般的になった。さらに、以前から進められてきたクラウド活用が加速し、各種の業務データやメールなど、多くの情報が企業の外に置かれるようになっている。

　このような変化は、企業のセキュリティー対策にも大きな影響を与えることになる。従来型のセキュリティー対策では、外部と企業ネットワークの間に境界を設けて、脅威の侵入を防止してきた。しかし、テレワークやクラウド活用が進んだことで、守るべき境界があいまいになり、脅威に狙われる攻撃面も増加している。実際に近年の攻撃を見ても、企業が利用するクラウドやVPN機器、リモートワーカーを狙った攻撃が多発している。

　「一般に、内部への侵入を果たした攻撃者は、ネットワーク内を水平移動して権限の奪取や昇格を試み、さらに中枢へと入り込んで目的の達成を図ります。これを防ぐためには、まず初期フェーズでの対策をしっかりと行うことが肝心です」と大谷氏は続ける。

　例えば、クラウドを狙う攻撃に対しては、CWPP／CSPM／CASBなどのクラウド用ソリューションで対抗。VPN機器についても、パッチの確実な適用や多要素認証の導入などを実施し、脆弱性が放置されたままになるような事態を防止する。加えてテレワークを行う社員の端末にも、EDRツールなどを導入しておくことが望ましい。

　「もちろん、これだけで完全に被害を防げるわけではありません。特に、不正な権限奪取／昇格を防ぐには、後述する特権ID管理の強化が非常に重要です。また、サーバーへのEDR導入や暗号化、バックアップの取得なども行っておく必要があります」と大谷氏は指摘する。

　さらに、こうした外部からの攻撃だけでなく、内部不正に対しても目配りが必要だ。テレワーク環境においては、オフィスのように防犯カメラやほかの社員の目などを意識することがなくなる。これが不正へのハードルを引き下げることにもつながりかねない。

　「そこで着目したいのが、『不正のトライアングル』と呼ばれる内部不正発生のメカニズムです。ここでは、『動機』『正当化』『機会』の3要素がすべて揃った際に不正が起きるとされています。例えば、『組織に不満がある（動機）』『十分な報酬を得られていない（正当化）』『不正を行う権限を有している（機会）』といった条件が揃った時に不正が起きるわけです」と大谷氏は説明する。

　逆に考えれば、このトライアングルを崩せれば、不正の発生を抑止できるということだ。「動機や正当化の根拠については、人それぞれの感じ方もありますので、システム的な対応は難しい面もあります。しかし、機会については、システムでできることも多い。その1つが、特権ID管理です」と大谷氏は説く。

　特権IDの利用時に申請・承認プロセスを組み込めば、不必要なアクセスを未然に防げる。また、特権IDを利用した作業を記録・確認できるようにすれば、不正を後から見つけることもできる。このように、特権IDを必要なとき以外使わせないようにする予防的統制と、不正を行った想定外の利用があったことに気付くことのできる発見的統制を行うことで、不正のトライアングルを崩すことができるわけだ。

　これまで触れてきた特権IDとは、システムの維持・管理に用いられる特別なIDのことを指す。Linuxならroot、Microsoft WindowsならAdministratorといった管理者権限がこれに相当する。OSのすべての操作が可能なため、システムやデータを改ざん／破壊することも可能だ。利便性の高いIDであることから、システムにビルトインされている特権IDを複数ユーザーで使い廻すケースも少なくない。こうなると、誰がどのような操作を行ったか、後から追跡することが困難になってしまう。

　「特権IDを適切に管理するには、『利用者の特定』『承認申請』『作業の記録』『妥当性の確認』の4つのステップを踏むことが肝心です。誰が特権IDを使用したのか分かるようにすると同時に、使用前には作業内容の申請と承認権限者による承認を実施。実際に行われた作業の内容もきちんと記録し、申請した内容と異なっていないか後で確認を行います」と大谷氏は説明する（図1）。 　とはいえ、こうしたプロセスを実装するのは容易ではない。手作業だと運用管理工数が膨大になってしまう上に、人為的なミスや作業漏れも起きやすい。また特権IDの管理者自身による不正リスクなども懸念される。

　「こうした課題を解決するために、当社では特権ID管理ソリューション『SecureCube Access Check』を提供しています」と大谷氏は話す（図2）。同社はNRIグループのセキュリティー専門企業であり、情報セキュリティーの課題を解消するトータルソリューションを展開している。世界中のNRIグループ拠点を活用したグローバルサポートを提供しているほか、継続的な調査研究も行っている。今回のSecureCube Access Checkも、そんな同社の有力ソリューションの1つだ。 　「製品の大きな特長としては、まず導入・運用が容易なゲートウエイ型であることが挙げられます。利用者とシステムリソースの間にゲートウエイを設けてアクセス制御やログ管理を行いますので、エージェント型ソリューションのように端末や管理対象機器に手を加える必要がありません」と大谷氏は話す。

　また、制約条件が少なく多様な環境で利用できる点も大きな強みだ。クライアントツールは現在使っているものをそのまま利用可能。またサーバーだけでなく、ネットワーク機器やクラウドサービスも管理対象にすることができる。通信プロトコルも、SSHやRDPなど一般にメンテナンスに利用されるものだけでなく、ファイル転送なども含めた10種類のプロトコルに対応している。

　「導入時にIDの棚卸しやパスワード変更を必要とする製品もありますが、SecureCube Access Checkにはそうした制約もありません。さらに、最初はアクセス制御から始めて、次にID・パスワード管理、さらにパスワード定期変更と、徐々に統制レベルを上げていくこともできます」と大谷氏は続ける。これにより、4つのステップを確実に実装できるほか、多要素認証やAD連携などの多彩なオプションも用意されている。

　こうしたメリットが評価され、外部ベンダーがリモートメンテナンスを行う際のアクセス制御や、オンプレミス／クラウドの一元的な特権アクセス管理など、様々な用途で活用されているとのこと。外部からの攻撃や内部不正による被害を防ぐためにも、特権ID管理について今一度見直す必要がありそうだ。