企業のユーザは一般的にアカウントとパスワードでサービスにアクセスして、PCやデバイスを管理します。これらアカウントのセキュリティは重要な課題になります。特にシステムの基本設定などを変更できる特権アカウントの保護は決して手を緩めてはいけません。
パスワード管理についてもPAM (Privileged Access Management) のような仕組みで組織のアカウントとパスワードを統括管理する必要があります。一般的にパスワード数はユーザ数の5倍やそれ以上になるので、適切な管理や変更がなされない場合は情報漏えいのリスクになりえます。
セキュリティ部門でパスワードシステムを組む時は、通常は他の形式で別途保存することはなく変更することもしません。故に、特権アカウントを別途保護する手段がないと、侵入などで被害を受ける可能性は決して少なくありません。
テレワークの普及などで個人デバイスが勤務に使われる可能性が増え、PC上のアカウントが社内の管理から抜けるリスクも同時に増えました。さらにPC自体が社内の管理システムから外れることもあり、ますますセキュリティの維持が難しくなっていきます。
有効なセキュリティ対策としては特権アカウントのライフサイクルやパスワードの作成変更周期などを確実に保守して、アカウントの操作記録を追跡し、多重認証を導入することになります。
特権アカウントとは？その潜在リスク
特権アカウントは以下の7種類があります。
- Local Administrative Accounts ローカルシステム管理者
これらのアカウントはローカル端末の重要サービスや機能を管理する権限があります。一般的にサーバの保守やデータベースの管理などシステムインフラ作業で使用されます。 - Privileged User Accounts 特権ユーザ
これらのアカウントは機密データや取引記録にアクセスできます。一般的に組織の特定ユーザに付与されます。「スーパーユーザ」とも呼ばれます。 - Domain Administrative Accounts ドメイン管理アカウント
これらは組織管理専用のアカウントで、ドメインサーバとワークステーションにアクセスでき、他管理者アカウント・ユーザアカウントやサーバ・ワークステーションの設定を変更するのに使用されます。 - Emergency Accounts 緊急アカウント
これらは緊急時に使用するフェイルセーフ（fail-safe）アカウントで、非特権ユーザアカウントを管理者權限に引き上げてシステム問題や外部攻撃に対処します。break-glassやfire-callアカウントとも呼ばれます。 - Service Accounts システムサービスアカウント
これらはアプリケーション/サービスとOS間通信に使用する特権ドメインとローカルアカウントです。操作が複雑でほとんどは使用期限がないので、潜在的なリスクになります。大多数の組織はサービスアカウントを有効的に監査できず、適切な配置設定もしていません。一部はその存在さえ認知しておらずアカウントは有効になっているので、一度も使われてない場合もあります。パスワードの使用期限や強度がなく、そもそもパスワード自体がないなどのケースも散見されます。ランサムウェアやハッカー、内部攻撃者にとっては格好の標的です。 - Active Directory or Domain Service Accounts ADやドメインサービスアカウント
これらのアカウントはドメインリソースをロジックレイヤー構造に組み換え、組織システムを円滑に運用するのに使用されます。 - Application Accounts アプリケーションアカウント
これらのアカウントはバッチ作業やデータベースへのアクセス権限など、アプリケーションのアクセスに使用されます。これらアカウントのパスワードは平文のファイル(ini, cfg)やコード(code, script, bat, shell )に保存される場合があり、悪用されやすい重大リスクになります。
特権アカウント管理への挑戦
組織は生き物であり、アカウント認証とアクセスのハードルは少ない方が理想ですが、パスワード数がユーザ数の5倍ともなるとアクセス管理は厳しい仕事になります。
パスワード認証自体はそもそも信頼性が低いです。ほとんどのセキュリティ部署はパスワード管理の現場事務に尽力していますが、ユーザが不適切なパスワードを使用したり、組織内パスワードを使いまわしたりすると、その努力は一瞬で水泡に帰します。人間の記憶力で管理できるパスワード数に限りがある以上、この状況の改善は望めず、どうしてもユーザ認証やアクセス管理のセキュリティホールになります。
特権アカウントと一般アカウントの根本的な違いは扱える機能の数と範囲にあります。それゆえ、特権アカウントにはより強いセキュリティ保護が求められます。
アカウントとアクセス権限の有效管理
特権アカウント管理（PAM）を強化するには厳密な計画と適切なITインフラが必要になります。セキュリティ制御、ユーザ認証、イベント監査、活動監視など、専用PAMシステムのあるなしにかかわらず実務的な実践方法をリストアップします。
パスワード複雑さのポリシーを強化
パスワードの複雑さポリシーはネットワークアクセスセキュリティの基本であり、ユーザ認証に不可欠な要素です。特権アカウントはパスワード管理ポリシーを守り、パスワードを定期的に変更して、共有もすべきでありません。パスワード強度分析と安全保存ができるLastPassなどのパスワード管理ツールも管理を補助できます。
アクセス権限と職務と分ける
一番安全なのは適切なメンバーにのみ特権アカウントを付与することです。職務ごとではなく、個人に適切に付与することが理想です。特権アカウントはあくまで一部ユーザが所有することが最適状況になります。さらに一歩進んで、ロールと機能を分けられるとさらに良いです。例えば入力・出力・編集・実行権限をロールごとに個別に付与できれば、不適切な操作を防止してセキュリティルールをしっかり守らせた上、インシデント調査時のログの完全性も確保できます。
システム隔離とネットワーク隔離
システム隔離とネットワーク隔離は、前述の特権と職務の分離と同じように作業の需要と安全性を考慮して、端末とネットワークを物的・ロジック的に隔離させるべきです。
特権アカウントの活動監視と監査
セキュリティ脅威は外部からだけでなく、内部からの情報漏洩も大きな問題点になります。漏洩は通常特権アカウントによるものが多く、適切な監視と活動記録は必要不可欠で、操作ログやキャプチャなどでユーザの活動をしっかり把握することが重要です。
その他
監視と監査ログがある前提で、さらに活動検知による制御も有効な手段です。特権アカウントの活動ログを解析して疑わしいイベントを記録し、セキュリティ対策に反映できれば、潜在的な漏洩リスクや攻撃にも対応できるようになります。