コンテンツ
アカウントの種類
①非特権アカウント
最小権限の原則により、ほとんどのユーザーは90％以上の時間、非特権アカウントで操作しています。
最小特権アカウント(LUA：Least-privileged User Account)とも呼ばれる非特権アカウントは、次の2つのタイプで構成されます。
標準ユーザーアカウント
標準ユーザーアカウントは、「インターネット接続」「オフィスアプリケーション」などの通常業務で最低限度必要なアクセスが許可されます。
ロールベースアクセスポリシーによって定義される「限られたリソースへのアクセス」など、制限された一部特権も保有します。
ゲストユーザーアカウント
ゲストユーザーアカウントは、通常、「インターネット接続」と「基本的なアプリケーションアクセス」のみに制限されているため、標準ユーザーアカウントよりも、さらに特権が少なくなります。
②特権アカウント
特権アカウントは、「スーパーユーザーアカウント」とも呼ばれる特別な種類のアカウントです。
管理用アカウントとして「非特権アカウントの制限を超えてのアクセス」と「最大級の権限」が付与されます。
「特権アカウント」とは
概要
特権アカウント(スーパーユーザーアカウント)は、主に専門のITスタッフによる管理に使用され、コマンドを実行してシステムを変更するためなどに使用されます。
実質的に無制限の権限を有しています。
OS別特権アカウント(スーパーユーザーアカウント)
UNIX(Linux)
UNIX(Linux)でのスーパーユーザーアカウントは「root」と呼ばれます。
自己システムを破壊できるほどの最大権限を有しています。
Windows
Windowsでのスーパーユーザーアカウントは「Administrator」と呼ばれます。
Windowsシステムでは、各Windowsコンピューターに少なくとも1つの管理者アカウントがあります。
ユーザーは管理者アカウントを使用することで、「ソフトウェアインストール」や「ローカル構成設定」などの操作を実行できます。
権限
・「ファイル」「ディレクトリ」「リソース」への無制限アクセス
・完全な「読み取り権限」「書き込み権限」「実行権限」
・ソフトウェアインストール
・完全なシステム変更権限
・ネットワーク全体に体系的な変更をレンダリングする権限 など
リスク
特権アカウントは、非特権アカウントよりも大幅に強力な権限による操作が許可されているため、非常に大きなリスクをもたらす危険性があります。
「操作ミス」「悪意のある操作」などが発生した場合、「システム完全停止」「機密情報流出」などにより、企業存続にまで影響を与える可能性があります。
そのため、特権アカウント管理は、ID管理の中でも最も重点的に管理しなければならない対象とされています。
保護されていない場合に致命的となる「特権アカウント」の例
①ドメイン管理者アカウント
概要
ドメイン管理者アカウントは、ほとんどすべてを実行できる「非常に強力な権限を有するアカウント」です。
ADドメインに対する「完全なアクセス権限+制御権限」
ドメイン管理者アカウントは、デフォルトでは、ドメインに参加している時点で、「すべてのドメインコントローラー」「すべてのドメインワークステーション」「すべてのドメインメンバーサーバー」のAdministratorsグループのメンバーとなっています。
ドメインを完全に制御できてしまうため、ユーザー追加には、常に細心の注意を払い、完全な監査+承認プロセスが必要です。
可能な限りの制限設定が必要
攻撃者は通常、ネットワーク内を簡単に移動できるようにするために、不正な手法を使用してドメイン管理者アカウントを悪用しようとするため、可能な限り制限する必要があります。
不正使用を防ぐために追加のセキュリティ制御を実施して、厳密に「オンデマンドベース」で許可する必要があります。
また、すべてのアクティビティを完全に監視(監査)する必要があります。
②ドメインサービスアカウント
概要
ドメインサービスアカウントは、複数のシステムとアプリケーションをまとめて、「レポート実行」「データベースへのアクセス」「APIの呼び出し」などの処理のために通信する「必要なリソースにアクセスするためのアカウント」です。
利用ケース
・バックアップソリューション
・分析ソリューション
・ソフトウェア展開
・セキュリティパッチ更新 など
パスワード変更に関する問題
ドメインサービスアカウントは、パスワードを変更する場合に問題となる傾向があります。
パスワード変更を実施すると、対象アカウントが環境全体で同期されるまで、システムが停止することになります。
そのため、『ドメインサービスアカウントのパスワードには触れない(変更しない)』という、暗黙的なポリシーが成立してしまう状態になりがちです。
③ローカル管理者アカウント
概要
ローカル管理者アカウントは、組織が「多くの従業員に提供するアカウント」であり、「忘れられた特権アカウント」と呼ばれることもあります。
Windowsのローカル管理者アカウント
ローカル管理者アカウント(システム管理者のユーザーアカウント)は、すべての「WindowsサーバOS」および「WindowsクライアントOS」のインストール中に作成される最初のアカウントです。
「WindowsサーバOS」の場合、管理者アカウントを使用すると、ローカルサーバの制御下にある「ファイル」「ディレクトリ」「サービス」「その他のリソース」を完全に制御できます。
また、ローカルユーザーを作成し、ユーザー権限とアクセス制御権限を割り当てることもできます。
特権過剰な共有特権アカウント
ローカル管理者アカウントは、「特権過剰な共有特権アカウント」でもあります。
そのため、多くのサイバー犯罪者に狙われる特権アカウントとなります。
④緊急アカウント
概要
緊急アカウントは、通常のサービスが利用できない緊急シナリオ(サイバーインシデント)状況のみで使用されるアカウントです。
通常、重大インシデントが発生するまでデフォルトで無効になっています。
利用ケース
・デジタルフォレンジック(デジタルデバイスに記録された情報の回収と分析調査)実施
・侵害されたアカウントが継続的に悪用されることを制限 など
⑤サービスアカウント
概要
サービスアカウントは、「OS内でのアプリケーション(プログラム)実行」のために使用されるアカウントです。
通常はソフトウェアのインストール中に自動的に作成されます。
リモートアクセスのために悪用されるリスク
サービスアカウントは、攻撃者がリモートアクセスできるように「侵入用バイナリを高い特権で実行できるようにする」などで悪用されるリスクがあります。
⑥アプリケーションアカウント
概要
アプリケーションアカウントは、「アプリケーションが機能するために必要なリソースにアクセスするためのアカウント」として日常的に使用されます。
「パスワードを構成ファイルに保持」もしくは「ローカルアカウントまたはサービスアカウントを使用」により、必要なアクセスを取得します。
利用ケース
・データベースアクセス
・ネットワークアクセス
・自動化タスク実行 ：「ソフトウェア展開」「自動化パッチ適用」「構成変更機能」 など
悪用されるリスク
アプリケーションアカウントも、サイバー犯罪者の標的になります。
・リモートアクセス取得
・システムバイナリ変更
・標準アカウントを特権昇格
アプリケーションに対して適切にパッチを適用できていない場合、攻撃者に既知の脆弱性を使用され、簡単に悪用されてしまう可能性があります。
⑦特権データユーザーアカウント
概要
特権データユーザーアカウントは「機密性の高い特権データにアクセスできるアカウント」です。
監視対象外となってしまっているケース
特権データユーザーアカウントは、機密データに直接アクセス可能な大変重要なアカウントですが、他の特権アカウントのように監視(保護)されていないケースがあります。
データリスク評価実施の必要性
組織は、すべての特権データを検出し、データリスク評価を実行することで、対象データにアクセス可能なすべてのアカウントを厳格に保護する必要があります。
日本企業向けクラウドID管理サービス「Keyspider」とは？
Keyspiderオフィシャルサイトでは、Keyspiderに関する情報を紹介しています。
「日本企業向けである理由」「Keyspiderが必要である理由」「JSOX法対応」「業務自動化」などについて参照できます。
参考元サイト