公的機関向け 
Keeper Securityがカリフォルニア州のソ
元連邦CISOとして、何十年も企業インフラの設計とセキュリティに携わってきた私にとって、別の時代のために設計された従来の特権アクセス管理 (PAM) ソリューションに組織が依存し続けていることに、ますます懸念を抱くようになりました。
これらのシステムは、かつてはセキュリティの最も信頼できる基準であったものの、現代のクラウドネイティブな世界では危険な負の資産になっています。 従来型PAMソリューションが単に効果がないだけでなく、組織を危険にさらしている理由をご説明します。
境界ベースのセキュリティに対する誤った考え方
従来型PAMソリューションの根本的な問題は、そのアーキテクチャのDNAにあります。 これらのシステムが構築された時期は、ネットワーク境界が明確で、強力な境界があれば脅威を寄せ付けないという時代でした。 ハイブリッドクラウド、リモートワーク、相互接続されたシステムといった今日の環境において、このモデルは時代遅れであるだけでなく、重大な脅威をもたらします。
私たちは、セキュリティ制御に縛られた「信頼できる」ネットワークと「信頼できない」ネットワークという考えに固執し続けています。 Keeperは、シークレットとパスワードをライフサイクルのどこにあっても保護することで、境界のない環境を実現します。
典型的な連邦政府の従来型PAMのデプロイメントを考察してみましょう。基本的な機能のためだけに、多数のファイアウォールポート (443、80、8080、22、23、1434) を開く必要があります。 各ポートは攻撃者の潜在的な侵入口となり、必要不可欠な穴だらけの境界線でできた「スイスチーズのセキュリティ」を作り出し、企業を危険にさらす可能性があります。
対照的に、Keeperのような現代のソリューションは、ゼロトラストモデルで動作し、すべてのアクセス要求がデバイスレベルで認証および暗号化されるため、永続的なファイアウォールの開口部を必要としません。
実装の悪夢
私が眠れないほど懸念する原因は、構造上の弱点だけではありません。これらのシステムがどのように使用されているかという現実です。 これまでの経験の中で、組織が従来型PAMソリューションの機能の20～30%しか実装していないのを常に目にしてきました。 理由は簡単です。これらのシステムは非常に複雑で扱いにくいため、完全な実装は事実上不可能なのです。
この部分的な実装が、危険な誤った安心感を生み出します。 組織はPAMソリューションがあるから守られていると思っていますが、うっかりシャドーITの悪夢を作り出してしまっています。 正式に採用されているシステムが扱いづらいと感じたユーザーは、承認されていない場所にパスワードを保存したり、非公式な経路で認証情報を共有したり、監視を受けない管理者アカウントを作成するなど、仕事を完了するための回避策を取り始めます。
クラウドネイティブの断絶
従来型PAMソリューションの最大の失敗は、最新のクラウドネイティブな運用をサポートできないことです。 従来型のシステムは、今日のインフラのように、コンテナが数秒で起動・停止し、インフラがハードウェアではなくコードによって定義されるといった動的な性質に合わせて設計されたものではありません。
従来型PAMソリューションに実装されていない機能があると、攻撃対象領域が拡大し、企業のセキュリティが低下します。 機能の肥大化はバグであり、特徴ではありません。
その影響は深刻です。CI/CDパイプラインと統合できない、または動的なシークレットの挿入を処理できないPAMソリューションに直面したDevOpsチームは、セキュリティ対策を完全に回避してしまうことがよくあります。
最新のソリューションは、APIファーストの設計と開発ワークフローとのネイティブ統合を通じてこれに対処します。 たとえば、Keeperのシークレットマネージャーを使うと、CI/CDパイプラインとシームレスに統合しながら、ゼロ知識暗号化が提供されます。 セキュリティや開発速度を損なうことなく、自動でシークレットの注入とローテーションが可能になります。
ゼロトラストの必要性
今日の脅威の状況では、ネットワークの境界内に入った時点で信頼できると思い込むことは、もはや許容できない贅沢な世界です。 しかし、従来型PAMソリューションは、あいかわらずこの時代遅れの原則に基づいて動作しています。 一旦PAMシステムで認証されると、継続的な検証は限定され、多くの場合でユーザーは広範なアクセスを得ることができます。
現代のセキュリティでは、すべてのアクセス要求が認証、承認、暗号化のプロセスを通るゼロトラストアプローチが必要です。 これには、レコードレベルの暗号化、デバイスレベルのセキュリティ、セキュリティ態勢の継続的な検証を実装する必要があります。 たとえば、Keeperのアーキテクチャは、保存されている各ボルトレコードをAES-256 Galois/Counter Mode (GCM) を使用して個別に暗号化し、暗号化と復号化はデバイス上でローカルに行われ、クラウドやセントラルサーバーでは行われません。
コンプライアンスの窮地
従来型PAMソリューションのコンプライアンスへの影響は、ますます問題視されています。 現代の脅威に対処するために規制要件が進化するにつれて、多くのレガシーシステムは必要な制御と可視性を提供するのに苦労しています。 レガシーシステムのログ記録と監査機能は重要なアクセスイベントを見逃すことが多く、コンプライアンスの検証は手作業で間違いが起こりやすいプロセスになっています。
最新のPAMソリューションは、SIEMシステムと直接統合された包括的なログ記録とレポート機能によってこの問題に対処しています。 たとえば、Keeperの高度なレポート機能とアラート機能は、ゼロ知識暗号化を維持してデータのプライバシーを確保しながら、すべてのアクセス試行と変更について詳細な監査証跡を提供します。
ゼロ知識アーキテクチャの再構築
現代のPAMの中核は、従来の脆弱性を排除するゼロ知識アーキテクチャです。 Keeperの実装では、多層暗号化モデルを用いて、これを次のレベルに引き上げます。
各ボルトレコードは、クライアントデバイスで生成されたGalois/Counter Mode (GCM) の一意の256ビットAESキーを使用して暗号化されます。 このレコードレベルの暗号化により、1つのレコードが漏洩しても、他のレコードは安全に保たれます。 暗号化と復号化のプロセスは、クラウドやKeeperのサーバーではなく、完全にユーザーのデバイス上で実行されます。
PAMをオンプレミスに導入するということは、ネットワーク、ハイパーバイザー、オペレーティングシステムなど、すでに安全でないとわかっているインフラのすべてのレイヤーを信頼することになります。
このモデルはエンタープライズデプロイメント向けにさらに拡張されています。共有フォルダ内のレコードキーは256ビットAES共有フォルダキーでラップされ、レコードキーとフォルダキーはデータキーと呼ばれる別の256ビットAESキーで暗号化されます。 これにより、1つの情報にアクセスするには突破しなければならない複数の暗号化層が作成され、ラテラルムーブメントやさらなる侵害を防ぎます。
認証の改革
最新のPAMは、認証の扱い方を見直す必要があります。 Keeperのアプローチでは、高度な複数段階のプロセスを通じて従来の脆弱性が排除されます。
- デバイス認証: ユーザーがログインする前に、デバイスの承認と認証のステップを通過する必要があります。 これにより、列挙攻撃を防ぎ、ブルートフォース攻撃から保護します。
- ゼロ知識シングルサインオン (SSO): Keeperでは、企業のIDプロバイダと統合してもゼロ知識セキュリティを維持しつつ、シームレスなシングルサインオン認証を可能にします。 これは独自のアプローチによって実現されます。楕円曲線の秘密鍵が生成され、各デバイスにローカルに保存されます。 鍵は、最新のブラウザではエクスポート不可能なCryptoKeyとして、iOS/macOSデバイスではキーチェーンに、AndroidデバイスではAndroid Keystoreで暗号化されて保存されます。
- 多要素認証 (MFA): KeeperはFIDO2 WebAuthnハードウェアキー、生体認証、時間に基づく1度限りのパスワード (TOTP) など、多くのMFAオプションをサポートしています。 ユニークなのは、多要素認証がデバイスの検証後、マスターパスワードの入力前に実行されるため、複数のセキュリティ層が作成され、順々に通過しなければならない点です。
クラウドネイティブのセキュリティを正しく実践
Keeperは、従来のアーキテクチャにクラウド機能を後付けするのではなく、現代の環境に合わせてゼロから構築されています。 プラットフォームには、複数の地域のAWS (米国、米国GovCloud、欧州、オーストラリア、カナダ、日本) を利用してITインフラをホストおよび運用し、組織が高可用性を確保しながらデータ主権を維持できるようにします。
保存されているすべてのデータは、ユーザーのデバイス上でAES-256 GCMを使用して暗号化され、転送中のデータはTLS 1.3で保護され、ペイロードには追加の暗号化レイヤーが加えられます。 この二重暗号化アプローチにより、TLSが何らかの理由で侵害された場合でも保護が提供されます。
真に機能するDevOps統合
Keeperシークレットマネージャーは、セキュリティを損なうことなく、開発チームに適切なDevOps統合を提供し、 次のような内容で実装されます。
- ゼロ知識APIアクセス: アプリケーションは、クライアント側で生成された256ビットのAES暗号化キーをGCMモードで使用してシークレットを取得します。 各シークレットは個別に暗号化され、暗号化と復号化はデバイス上でローカルに行われます。
- 安全な鍵配送: シークレットをユーザーやアプリケーション間で共有する必要がある場合、Keeperは楕円曲線暗号を使用して鍵を安全に配送し、鍵交換プロセスにおいてもゼロ知識を維持します。
- 自動化されたシークレットのローテーション: 顧客の環境に独自のゲートウェイがインストールされ、Keeperのインフラへの安全なアウトバウンド接続が確立されます。 これにより、内部システムを公開することなく、パスワードローテーションが可能になります。
リアルタイムの侵害保護
最新のPAMは、パスワードの侵害に対して積極的に保護することが不可欠です。 KeeperのBreachWatch®機能はその仕組みの理想的な例で、システムによって、侵害検出を処理するための独立した自己完結型のアーキテクチャがAWS上に維持されます。 パスワードは、エクスポート不可能なキーを使用して、Hardware Security Module (HSM) によるHMAC_SHA512ハッシュを使用して処理されます。 侵害されたパスワードをチェックすると、HMAC_SHA512ハッシュがクライアントデバイスで生成され、2番目のハッシュがHSMを介してサーバー側で作成されます。 この「ハッシュ・オブ・ハッシュ」アプローチにより、侵害検出プロセス中に実際のパスワードが公開されることはありません。
セッションセキュリティの再考
リモートアクセスのシナリオでは、Keeperコネクションマネージャーが安全なセッション管理を再考します。
- ゼロトラスト接続: リモートセッションを確立する際、ボルトクライアントは、関連するKeeperレコードに保存されているECDH対称鍵で保護されたWebRTC接続を使用してKeeperのルーターインフラと通信します。
- 安全なトンネリング: ポート転送機能では、データはWebRTC接続を通じてKeeperゲートウェイに送信され、ターゲットエンドポイントに転送されます。 各セッションは、ゲートウェイで生成されたAES-256暗号化キーによって保護されます。
- セッション録画: すべてのセッション録画は、セッションごとに生成される固有のAES-256暗号化キーによって保護され、さらにHKDFから派生したAES-256リソースキーでラップされます。
今後の展望
最新のPAMへの移行は、単に新しいテクノロジーを採用するだけではなく、セキュリティに対する根本的に異なるアプローチを採用することです。 組織として、自社の従来型PAMソリューションは、セキュリティ資産とはほど遠く、実際には重大な負の資産になる可能性があることを認識しなければなりません。
Keeperのようなソリューションを見ると、ありがたいことに、最新のPAMはシームレスな使いやすさで強固なセキュリティが実現するようです。 ゼロ知識アーキテクチャ、デバイスレベルの暗号化、ネイティブ統合を最新のワークフローと組み合わせることで、組織はセキュリティやユーザー体験を損なうことなく、真の特権アクセス管理を実現できます。
今日の脅威の状況において、適切なPAMソリューションは権限を管理するだけではありません。セキュリティ基盤によってビジネスの進歩を妨げるのではなく、ビジネスの俊敏性を確実に実現できるようにすることが重要です。 テクノロジーは存在しています。問題は、組織がレガシーソリューションが無効になる前に移行するかどうかです。
今すぐデモをお申し込みの上、環境の安全を確保するためにKeeperPAMがどのように役立つかをご体験ください。
