侵害された資格情報の管理 | Decripte Security

資格情報の侵害は一般的な攻撃ベクトルです。迅速かつ包括的な対応により、 悪用の機会を最小限に抑え、継続的な不正アクセスを防止します。

侵害の種類

Phishing：ユーザーが偽のページに資格情報を入力します。侵害は 通常、異常なアクセス試行によって検出されます。

Credential Stuffing：攻撃者が他のサービスから漏洩した資格情報を使用します。 パスワードを使い回すユーザーが影響を受けます。

Malware/Keylogger：マルウェアが入力時またはローカルストレージから 資格情報を取得します。

Data Breach：データベース漏洩で資格情報が露出します。一度に 数千人のユーザーに影響を及ぼす可能性があります。

Insider Threat：悪意のある従業員が資格情報を共有または販売します。

侵害の検知

Impossible Travel：短時間のうちに地理的に不可能な場所からの ログイン（例：1時間以内にサンパウロと東京）。

Anomalous Access Patterns：通常の時間外、未知のIPから、 そのユーザーにとって異例のリソースへのアクセス。

Multiple Failed Attempts：成功前のログイン試行の繰り返しは credential stuffing を示している可能性があります。

New Device/Browser：これまで一度も使用されたことのないデバイスまたはブラウザからのログイン。 特に不審な位置情報を伴う場合。

Threat Intelligence：組織の資格情報が pastes、アンダーグラウンド フォーラム、または漏洩したデータベースに現れます。

即時対応

1. アカウントの無効化：侵害されたアカウントを直ちに停止し、 追加のアクセスを防止します。緊急性と業務への影響のバランスを取ります。

2. アクティブセッションの失効：すべてのシステム（SSO、VPN、アプリケーション）における ユーザーのアクティブなセッションをすべて終了します。

3. トークンの失効：アカウントに関連付けられた API トークン、OAuth トークン、 モバイルアプリトークンを無効化します。

4. ユーザーへの通知：侵害についてユーザーに直ちに知らせ、 次のステップに関する指示を提供します。

5. アクティビティの調査：ログを分析し、どのシステムにアクセスされ、 どのデータが閲覧され、どのアクションが実行されたかを特定します。

資格情報のローテーション

ユーザーアカウント：セルフサービスまたは支援によりパスワードリセットを強制します。 一時的により厳格な強力なパスワード要件を適用します。

サービスアカウント：service accounts のパスワードをローテーションします。特に 高い権限を持つもの、または重要なシステムにアクセスできるもの。

API Keys：侵害された API keys を失効させ、再発行します。アプリケーションを更新するため、 開発チームと調整します。

証明書：証明書が侵害された場合、CRL/OCSP 経由で失効させ、 新しい証明書を発行します。

Secrets Management：アクセスされた可能性のある vaults（HashiCorp Vault、AWS Secrets Manager）内の secrets をローテーションします。

緊急MFA

MFA が有効になっていなかった場合は、緊急で導入します：

強制 Enrollment：パスワードリセット後の新規ログインを許可する前に、 MFA の設定を要求します。

優先順位付け：最初に特権アカウント、次に機密データへの アクセスを持つアカウント、最後にすべてのユーザーに導入します。

安全な方法：SIM swapping に対して脆弱な SMS よりも、authenticator apps（Google Authenticator、 Microsoft Authenticator）または hardware tokens（YubiKey）を優先します。

本人確認

侵害されたアカウントを再有効化する前に、ユーザーの身元を確認します：

Multi-Channel Verification：複数のチャネルを通じて身元を確認します （企業メール、登録済み電話、対面/ビデオ確認）。

Knowledge-Based Authentication：正当なユーザーのみが 知り得る質問（容易に発見できる情報ではないもの）。

Manager Approval：機密性の高いアカウントについては、再有効化の前に直属の 上長の承認を求めます。

侵害の範囲

侵害の範囲を評価します：

アクセスされたシステム：アカウントがアクセス権限を持っていたすべてのシステムを 列挙し、侵害期間中のアクセスログを確認します。

閲覧されたデータ：攻撃者が閲覧または窃取した可能性のある 機密データを特定します。

行われた変更：データの改変、backdoors の作成、 権限昇格、新規アカウントの追加を探します。

Lateral Movement：資格情報が他のシステムやアカウントへの アクセスに使用されたかどうかを確認します（pass-the-hash、pass-the-ticket）。

アクセスの再認証

インシデントを機にアクセス権を見直します：

Access Review：侵害されたアカウントの権限を見直し、再有効化の前に不要な アクセスを削除します。

Least Privilege：最小権限の原則を適用します。ユーザーは職務に 必要なアクセスのみを持つべきです。

Role-Based Access：アドホックな権限から明確に定義された ロールへ移行します。

Periodic Re-certification：アクセス権の定期的な再認証 プロセスを確立します（四半期ごと/半年ごと）。

特権アカウント

特権アカウントの侵害には、より積極的な対応が必要です：

大規模ローテーション：侵害されたものだけでなく、環境内のすべての特権資格情報の ローテーションを検討します。

PAM (Privileged Access Management)：特権資格情報の使用を 管理、ローテーション、監査するための PAM ソリューションを導入します。

Just-in-Time Access：必要なときに権限が一時的に付与される JIT モデルへ 移行します。

Break-Glass Procedures：管理アカウントが侵害された場合の緊急アクセスに備え、 文書化された break-glass 手順を維持します。

コミュニケーション

影響を受けたユーザー：明確かつ迅速に通知します。何が起きたか、 リスク、次のステップ、サポートの受け方を説明します。

ITチーム：関連するアクティビティを監視するため、技術チームに 侵害について警告します。

経営層：機密性の高いアカウントまたは大規模なアカウントの侵害について経営層に 報告します。

DPO/法務：個人データがアクセスされた可能性がある場合は、DPO および法務を 関与させます（LGPD 義務）。

インシデント後の監視

修復後は、注意深く監視します：

Enhanced Logging：影響を受けたアカウントの logging レベルを 一時的に引き上げます。

専用アラート：再感染を迅速に検知するため、アカウントのアクティビティに対する 特定のアラートを作成します。

Behavioral Analysis：修復後であっても、UEBA を用いて通常の行動からの逸脱を 検知します。

今後の予防

ユニバーサルMFA：特権アカウントだけでなく、すべてのアカウントに MFA を導入します。

Phishing Training：すべての従業員に対し、シミュレーションを伴う定期的な アンチ phishing トレーニングを実施します。

Password Managers：一意で複雑なパスワードを生成・保存するため、パスワードマネージャーの 使用を奨励します。

Credential Monitoring：組織の資格情報について pastes や漏洩データベースを 監視するサービス（Have I Been Pwned Enterprise、SpyCloud）。

Conditional Access：リスクに基づく条件付きアクセスポリシー （場所、デバイス、行動）。

ツールとテクノロジー

IAM Platforms：異常検知および対応機能を備えた Azure AD、Okta、 Auth0。

PAM Solutions：特権資格情報の管理のための CyberArk、BeyondTrust、 Thycotic。

Password Managers：企業利用向けの 1Password、LastPass、Bitwarden。

UEBA：行動検知のための Microsoft Sentinel、Exabeam、Splunk UBA。

法的側面

LGPD：侵害された資格情報により個人データへのアクセスが可能になる場合、 ANPD および対象者への通知の必要性を評価します。

Compliance：PCI-DSS や HIPAA などのフレームワークには、資格情報の管理および 侵害の通知に関する特定の要件があります。

証拠：法的または規制上の調査の可能性に備え、侵害のログと証拠を 保全します。