PAM (特権アクセス管理) 
Keeper特権クラウドは、KeeperPAM®のジ
クラウドおよびアイデンティティプラットフォームにおけるすべての永続的な特権を監査し、不要なアクセス権を排除し、常時有効な管理者権限を、承認に基づいて付与される時間制限付きかつ自動的に取り消されるジャストインタイム (JIT) のアクセス権に変更することで、クラウドの攻撃対象領域を縮小できます。
そのためには、まず永続的な特権がクラウドの攻撃対象領域の大部分を占めている理由を理解する必要があります。 また、永続的な特権が排除された状態を維持するには、運用しているすべてのクラウドとIDに修正を適用できる適切なプラットフォームが必要です。
永続的な特権がクラウドの最大の攻撃対象領域である理由
クラウドの攻撃対象領域とは、お使いの環境に攻撃者が侵入する、もしくはお使いの環境内で攻撃者が操作を実行する可能性のあるあらゆる手段の総称で、お使いの環境に付随するすべてのアカウント、認証情報、権限、連携が含まれます。 その多くが、オンプレミスでは、ネットワーク、 クラウドでは、アイデンティティとなります。 有効な認証情報と適切な権限を持つユーザー、サービスアカウント、連携されたアプリは、ファイアウォールの内部に存在するため、ファイアウォールを突破する必要がありません。
永続的な特権は知らぬ間に蓄積されるのです。 ロールが変わった場合やプロジェクトが終了した場合、従業員が退職した場合に、アクセス権はそのまま変更されない傾向があります。 時間の経過とともに、以下のような問題が起こりがちです。
- 権限クリープ: ロールの変更や、過去のアクセスリクエストが取り消されないまま放置されることで権限が蓄積され、必要以上の権限がアカウントに付与されたままになっている状態。
- ゾンビ管理者: 従業員の退職後やロール変更後も有効な状態で放置され、誰にも監視されていない特権アクセスが付与されたままとなっているアカウント。
- シャドウ管理者: 有効な制御権限が付与されているのに、ディレクトリグループ上では特権アカウントには見えないため、通常のレビューでは見落とされてしまうアカウント。
- マシンおよび非人間アイデンティティ (NHI): 現在サービスアカウント、APIキー、ワークロードアイデンティティの数は、人間のユーザー数を上回っており、そのほとんどに独自の永続的な権限が付与されています。
上記の問題はすべて攻撃の標的となります。 侵害された認証情報がひとつあれば攻撃者は侵入でき、永続的な特権により、さらに侵入範囲を拡大できます。 過剰な権限が付与されたたったひとつのアカウントが、環境のあらゆる場所での水平移動や特権昇格といった攻撃を行うための侵入口となってしまうのです。
永続的な特権を排除する方法
永続的な特権を排除するために、まずは次の手順に従ってください。
- 特権アクセスを洗い出して監査: AWS、Entra ID、GCP、Okta、Active Directoryにまたがるすべての特権アクセス経路を、ユーザー、サービスアカウント、サードパーティ連携まで含めて一覧化します。
- 最小権限を徹底: 未使用の権限や過剰な権限を削除し、孤立アカウントや休眠アカウントを整理するとともに、ディレクトリグループに表示されない隠れた管理者を洗い出します。
- 恒常的な管理者権限をJITアクセスに置き換え: 管理者権限を常時割り当てる運用をやめます。 代わりに、申請に応じて必要な権限を付与します。承認された権限は指定した時間枠に限定され、時間が終了すると自動的に取り消されます。
- 恒常的な特権アクセスゼロ (ZSP) の実現: 最小権限により、各アカウントに付与される権限を最小限に抑えます。恒常的な特権アクセスゼロでは、さらに一歩進んで恒常的なアクセス自体をなくします。これにより、どのIDにも永続的な特権アクセスを保持させず、権限昇格を承認済みの時間枠内に限定できます。
- 例外をボルトに保管: マスターキー、ルートアカウント、その他の緊急用アクセスなど、一部の認証情報は存続させる必要があります。 ゼロスタンディング特権 (ZSP) はボルトでの保管に代わるものではないため、存続させる必要のある認証情報は、厳重に制御されたボルト内に保管します。
- 継続的なアクセス管理: 定期的にアクセス権を見直し、すべての権限昇格を記録することで、権限の肥大化が再び気づかないうちに進むのを防ぎます。
AWSで恒常的な特権アクセスを削除しても、Entra IDやOktaに残っていれば意味がありません。複数の環境を横断して、アクセス権を一貫して管理することが重要です。 アクセス制御は、利用するすべてのクラウド環境とフェデレーションIDに適用する必要があります。対策が及ばない部分は、そのまま攻撃対象領域として残ってしまうためです。
Keeper特権クラウドによってクラウドの攻撃対象領域が削除される仕組み
Keeper特権クラウドにより、ジャストインタイム (JIT) のアクセス権限を利用できるため、永続的な管理者権限を、リクエストに応じて昇格され、自動的に削除される権限に変更できます。 また、AWS IAM、Microsoft Entra ID、GCP、Okta、Active Directoryだけでなく、それらを経由して連携するあらゆるアプリケーションにも、KeeperPAMのジャストインタイムフレームワークが拡張されます。
特権は承認された場合にのみ、指定の期間に限って付与され、対象の期間が終了すると自動的に削除されます。 これが実践におけるゼロスタンディング特権です。アクセスは承認された場合に付与され、付与期間が設定され、完全に監査できます。また、単一のプラットフォームからクラウドアイデンティティやフェデレーションアイデンティ全体に同じ方法で適用されます。
恒久的にクラウドの攻撃対象領域を縮小
攻撃者が侵入の手口とする常時アクセスを排除できる永続的な特権の排除ほど、クラウドの攻撃対象領域を縮小できる対策は他にほとんどありません。 難しいのは、排除した状態を維持することで、重要なのは、アクセスを継続的に見直すこと、そして排除した権限クリープの再発を阻止する、自動化された期限付きの権限昇格を導入することです。
運用中のすべてのクラウドおよびディレクトリプラットフォームへの導入を検討されている場合には、KeeperPAMの無料トライアルをお試しください。
よくある質問
クラウドの攻撃対象領域とは？
クラウドの攻撃対象領域とは、攻撃者がクラウド環境にアクセスしたり、クラウド環境の中で操作を実行したりする可能性があるすべてのポイントを指します。これには、ユーザーアカウント、サービスアカウント、認証情報、権限、API、接続されたサードパーティアプリが含まれます。
永続的な特権はどのように攻撃対象領域を拡大させるのでしょうか？
永続的な特権とは、誰も使用していないのに割り当てられたままになっている権限、ひとつひとつが常時攻撃の標的となっています。 認証情報が侵害された場合、攻撃者はアクセス権を引き継ぎ、水平移動や特権昇格に利用できます。
最小権限とゼロスタンディング特権の違いとは？
最小権限とは、割り当てられた役割を果たすために必要なアクセス権のみを各アイデンティティに付与することです。ゼロスタンディング特権はさらに踏み込み、永続的な特権アクセスを完全に排除し、承認された期間限定の時間枠でのみ権限昇格を許可することです。最小権限が永続的なアクセス権を最小限に抑えるのに対し、ゼロスタンディング特権は永続的なアクセス権を排除します。
権限クリープとは？
権限クリープは、特権クリープとも呼ばれ、ロールの変更やプロジェクトの開始に伴い古い権限が取り消されないまま放置されることで、時間が経つにつれアクセス権が徐々に蓄積していく現象を指します。これにより、いつの間にかアカウントは、現在職務で必要な権限よりも多くの特権が付与された状態となってしまうのです。
Keeperは永続的な特権の排除にどのように役立ちますか？
Keeper特権クラウドによって、AWS IAM、Entra ID、GCP、Okta、Active Directoryだけでなく、それらを経由して連携するアプリにおいて、永続的な管理者権限が、承認に基づいて期間の制限付きで昇格される権限に変更されます。アクセス権はリクエストに応じて、設定された期間限定で付与され、対象の期間が終了すると自動的に削除されるため、永続的な特権アクセスが残ることはありません。リクエストと承認のすべてのワークフローについては、「Keeper特権クラウドで実現するゼロスタンディング特権」をご覧ください。
