アイデンティティリスク評価
- 概要
- リスク指標
- リスクスコアの算出
ADManager Plusのアイデンティティリスク評価は、組織のアイデンティティリスクを様々なリスク指標から特定します。Active Directory環境とMicrosoft 365環境について健全性とリスク状況を可視化できます。ADManager Plusは、「NIST SP 800-30」ガイドラインに基づいて各リスク指標での被害の発生可能性や影響度を評価し、リスクスコアを算出します。ADManager Plusでは適切なリスク指標が設定されていて、リスク指標の説明とリスク指標が示すリスクから組織を守る手段を提供します。また、特定した各リスクの大きさから全体のリスクスコアを算出し、表示します。
つまり、ADManager Plusはご使用のActive Directory環境とMicrosoft 365環境を評価するツールとして、潜在的なリスクをリスク指標から特定および評価すること、改善手段を得ること、リスクを未然に防ぐことに活用できます。
以下、主要な用語とアイデンティティリスク評価レポートの作成方法、リスクの表示・管理の方法、レポートのエクスポート方法を説明します。
主要な用語
- リスクスコア...リスクの全体的な状況を示す指標です。低、中、高、重大のいずれかをとります。組織の安全性を確保するには、リスクスコアが低くあることが推奨されます。
- リスクエクスポージャー...リスクについて、脆弱なオブジェクトの割合を示します。
- 発生可能性...各リスク指標について、被害の発生可能性を表します。リスクが起こしうる損害と並ぶ要素です。
- 改善手段...各リスク指標について、排除および回避するために実施可能なアクションです。
- ダッシュボード・ビュー...リスク指標すべてを表示する包括的なビューです。リスク対象をグラフィカルに、オブジェクトのカテゴリー分類に基づいて表示します。
- タイルビュー...リスク指標すべてを表示するビューです。リスク対象をグラフィカルに、リスク指標の重要度での分類に基づいて表示します。
アイデンティティリスク評価レポートの作成方法
- ADManager Plusにログインします。
- ［ガバナンス］タブに移動します。
- 左ペインで、［アイデンティティリスク評価］をクリックします。
- 「ドメイン」ドロップダウンでレポート作成対象のドメインを選択します。
- リスクスコアとネットワーク中に見つかったリスクがダッシュボードに表示されます。
リスクの表示・管理の方法
リスクの表示方法
画面右上のボタンで、タイルビューとダッシュボード・ビューを切り替えることができます。
ダッシュボード・ビューのリスクは、「フィルター条件」ドロップダウンメニューを使用し重要度に基づいて絞り込むことができます。
リスクの管理方法
特定のリスクをクリックするとリスクが認められたオブジェクトが表示されます。オブジェクトについて、改善を行うことが可能です。データを更新するには［更新］ボタンをクリックします。
レポートのエクスポート方法
［エクスポート］ボタンをクリックするとレポートをエクスポートできます。リスク評価の概要とリスクの認められたオブジェクト一覧をエクスポート可能です。
ADManager Plusは、リスク指標での分析によってActive Directory環境およびMicrosoft 365環境のリスクを特定します。これらの指標は潜在的な脆弱性を明らかにするものです。組織はリスクを分類し、セキュリティ強化のための対策を講じることができます。
以下の通り、2つのカテゴリーにリスク指標は分類されます。
Active Directoryのリスク指標
ユーザーのリスク指標
| ユーザー分類 | 各分類のリスク指標 |
|---|---|
| 権限付きユーザー | 最近ログオンしていないユーザー（※） |
| 無効なユーザー | |
| パスワードが変更されていないユーザー（※） | |
| 一度もログオンしていないユーザー | |
| パスワード不要なユーザーを有効にしました | |
| パスワードの有効期限がないユーザー | |
| 権限付きグループのメンバー | |
| SID履歴を持つユーザー | |
| Kerberos事前認証が無効なユーザー | |
| きめ細かなパスワードポリシーを持たないユーザー | |
| 可逆暗号化を使用してパスワードが保存されているアカウント | |
| Kerberos DES暗号化が有効なユーザー | |
| サービスプリンシパル名（SPN）を持つアカウント | |
| パスワードポリシーが弱いユーザーアカウント | |
| 権限なしユーザー | 最近ログオンしていないユーザー（※） |
| 無効なユーザー | |
| パスワードが変更されていないユーザー（※） | |
| 一度もログオンしていないユーザー | |
| パスワード不要なユーザーを有効にしました | |
| パスワードの有効期限がないユーザー | |
| SID履歴を持つユーザー | |
| Kerberos事前認証が無効なユーザー | |
| AdminCount値を持つユーザー | |
| 可逆暗号化を使用してパスワードが保存されているアカウント | |
| Kerberos DES暗号化が有効なユーザー | |
| パスワードポリシーが弱いユーザーアカウント | |
| 一般 | 異常なプライマリグループIDを持つアカウント |
| 読み取り可能なプライマリグループIDを持たないユーザー |
コンピューターのリスク指標
| コンピューター分類 | 各分類のリスク指標 |
|---|---|
| コンピューター | 無効なコンピューター |
| 活動のないコンピューター | |
| 制約のない委任で信頼されたコンピューター | |
| 古いバージョンのOSを実行しているコンピューター | |
| Bitlocker未対応コンピューター | |
| パスワードが変更されていないコンピューターアカウント | |
| パスワードが変更されていないサーバー | |
| 特権サービスへのプロトコル遷移を伴う制約付き委任 | |
| SMBバージョン1.0搭載サーバー | |
| 異常なプライマリグループIDを持つコンピューター | |
| 読み取り不可能なプライマリグループID (PGID) を持つコンピューター | |
| ドメインコントローラー | リソースベースの制約付き委任が構成されたドメインコントローラー |
| 異常な構成のDC | |
| 非アクティブなDC |
グループのリスク指標
| 空のグループ |
| 権限付きグループ |
| シングルメンバーグループ |
| 大グループ（※） |
| 権限付き大グループ（※） |
| SID履歴を持つグループ |
GPOのリスク指標
| リンクされていないGPO |
| 無効なGPO |
セキュリティのリスク指標
| 特権アカウントのパスワードをリセットする権限を持つオブジェクト |
| 特権アカウントのグループメンバーシップを変更する権限を持つオブジェクト |
| DCに対する権限を持つ非管理者アカウント |
| AdminSDHolder権限を持つ不正なアカウント |
| DCレプリケーションに承認された異常なアカウント |
| GPOのDACLを変更できる非特権オブジェクト |
| 継承された権限を持たないオブジェクト |
| シャドウ管理者 |
構成ミスのリスク指標
| スマートカードユーザーのパスワードの有効期限の欠如 |
| gMSAがドメイン内で使用されていない |
| フォレストとドメインの低機能レベル |
| レガシーLAN Manager認証レベル |
| NTFRSを使用したSYSVOLレプリケーション |
| 1年以上変更されていないKrbtgt アカウントのパスワード |
| 危険なdsHeuristics設定 |
| 基本認証を使用するように構成されたWinRMクライアント |
| Windowsインストーラーが常に昇格された権限でインストールするように設定 |
| LAN Managerハッシュストレージが無効になっていない |
| ドメインコントローラーに対して LDAP署名が強制されていない |
| PowerShellトランスクリプションが有効になっていない |
| インストールされたFAXサーバーのロール |
| クロック同期の許容範囲が5分を超える |
| 隔離なしでサードパーティドメインへの送信ドメイン信頼 |
| Telnetクライアントがインストールされている |
| 組み込み管理者のユーザーアカウント制御（UAC）承認モードが無効になっている |
| PowerShell 2.0がインストール済み |
| インストール済みのピア名解決プロトコル |
| インストール済みのシンプルなTCP/IPサービス |
| アカウントロックアウトの持続時間が15分未満 |
| Kerberosサービスチケットの有効期間が600分を超過 |
| Kerberosユーザーチケットの有効期間が10時間を超過 |
| ドメインコントローラーで印刷スプーラーサービスが有効 |
| 保護されたユーザーグループが使用されていない |
| フォレスト信頼でsIDHistoryが有効 |
| ドメインコントローラーがインターネットにアクセスできる |
| ゲストアカウントが有効 |
| 匿名SIDまたは名前の変換が許可されている |
| LDAPチャネルバインディングを強制する必要がある |
| Kerberosユーザーログオン制限が未適用 |
| 組み込みゲストアカウントの名前が未改名 |
| セキュアブートが無効 |
| 管理者以外のユーザーに割り当てられたリモートデスクトップログオン権限 |
| インターネット印刷が有効 |
| HTTP経由でダウンロードされたプリンタードライバーパッケージ |
| リモートデスクトップクライアントのパスワード保存 |
| 非管理者に割り当てられたバックアップ権限 |
| 再起動後の自動サインインが有効 |
| ユーザーに対して制限のないインストールオプション |
| Microsoft Defender Antivirus SmartScreenが無効 |
| パスワードプロンプトなしでリモートデスクトップ接続を許可する |
| リモートデスクトップドライブのリダイレクトが有効 |
Microsoft 365のリスク指標
ユーザーのリスク指標
| ユーザー分類 | 各分類のリスク指標 |
|---|---|
| 特権のあるMicrosoft 365ユーザー | MFAを持たないユーザー |
| 複数の特権ユーザー | |
| 多数のグローバル管理者 | |
| 非アクティブなユーザー（※） | |
| 一度もログオンしていないユーザー | |
| ブロックユーザー | |
| 同期されたユーザーアカウント | |
| 特権のないMicrosoft 365ユーザー | MFAを持たないユーザー |
| 非アクティブなユーザー（※） | |
| 一度もログオンしていないユーザー | |
| ブロックユーザー | |
| 一般 | 特定のMicrosoft 365サービスでの非アクティブなユーザー（※） |
グループのリスク指標
| 空のグループ |
※：当該リスク指標については［設定］でしきい値を設定できます。
ADManager Plusではご使用のアイデンティティ環境をリスク評価できます。リスク評価では、全リスク指標について3つのフェーズで計算が行われます。
アイデンティティ環境のリスク評価は定性的手法と定量的手法を融合させたもので、半定量的な結果を出力します。最終的な出力は、環境のセキュリティ強度を表すリスクスコアです。
リスクスコアの算出
リスクスコアの算出について、原理と計算方法および計算に使用される要素を説明します。
フェーズ1：重要度の決定
フェーズ1では、各リスク指標の重要度を次の3つのステップで決定します。
ステップ1：発生可能性の判定
発生可能性（脅威となる特定のイベントが開始される可能性や、リスクが顕在化する可能性）を判定します。発生可能性は、「攻撃開始の可能性」と 「攻撃成立の可能性」によって判定されます。
- 攻撃開始の可能性...攻撃者が脅威となるイベントまたは脆弱性の悪用を開始する可能性です。攻撃開始の可能性の下で考慮される要素以下の通りで、ポテンシャルを捉えます。
- 利用され得るスキルのレベル
- 利用され得る機会
- 攻撃成立の可能性...実行開始された攻撃や脅威となるイベントが、組織の資産または運営、目的に悪影響を与える可能性です。攻撃成立の可能性の下で考慮される要素は「ポテンシャル」と「脆弱性の深刻度」です。
- ポテンシャル...攻撃者がアイデンティティ環境で脆弱性を悪用して特権利用を拡大し、悪意ある活動を画策するにあたって、利用され得るスキルやリソース、機会を指します。ポテンシャル要素は、攻撃開始の可能性でも考慮されます。
- 脆弱性の深刻度...各リスク指標への指標で、リスクの悪用による危害の可能性を示します。脆弱性の深刻度を導き出す際に考慮される要素は以下の通りです。
- 発見容易性
- 悪用容易性
各リスク指標のポテンシャル要素および脆弱性の深刻度要素について、それぞれの下位要素に数値が割り当てられます。それぞれの下位要素の平均値がポテンシャルおよび脆弱性の深刻度です。ポテンシャルと脆弱性の深刻度の平均値が攻撃成立の可能性です。
攻撃開始の可能性と攻撃成立の可能性が4x4行列で処理され、各リスク指標の発生可能性が導かれます。
ステップ2：影響分析
このステップでは、リスクや脆弱性の悪用がもたらす潜在的な影響を評価します。潜在的な影響には、組織事業の運営への損害、財務上の損失、評判への損害、組織のその他の側面への損害があります。影響分析で考慮される要素は機密性と完全性、可用性です。
各リスク指標に対し、機密性と完全性、可用性の数値平均が影響度に設定されます。
ステップ3：重要度の決定
このステップでは、各リスク指標について、発生可能性と影響度の関係を以下の4×4行列を使用して捉え、重要度を決めます。
| 影響度 | |||||
|---|---|---|---|---|---|
| 低 | 中 | 高 | 重大 | ||
| 攻撃の 可能性 |
低 | 低 | 低 | 中 | 中 |
| 中 | 低 | 中 | 高 | 高 | |
| 高 | 中 | 高 | 高 | 重大 | |
| 重大 | 中 | 高 | 重大 | 重大 | |
フェーズ2：重み付けの割り当てとリスクエクスポージャーの算出
フェーズ2では、まず、各リスク指標について発生可能性と影響の重要度に基づく重み付けを行います。重みは1から10までです。
次に、各リスク指標のリスクエクスポージャーを算出します。各リスク指標についての算出であり、「（リスクが認められたオブジェクトの数）÷（リスクが認められ得るオブジェクトの環境内での総数）」が計算式として用いられます。
リスクエクスポージャーの算出例
- （権限なしの「無効なユーザー」のリスクエクスポージャー）=（権限なしの「無効なユーザー」数）÷（権限なしユーザー総数）
- （特権付きの「最近ログオンしていないユーザー」のリスクエクスポージャー）=（特権付きの「最近ログオンしていないユーザー」数）÷（特権付きのユーザーの総数）
- （「空のグループ」に対するリスクエクスポージャー）=（「空のグループ」の数）÷（グループの総数）
フェーズ3：リスクスコアの決定
最後に、重みとリスクエクスポージャーを変数とする加重平均法を使用して、ご使用のアイデンティティ環境のリスクスコアが算出されます。
- 新しいレポートが生成されると古いリスクスコアおよびレポートは破棄されます。
- 評価が成功したリスク指標のみがリスクスコア化され、評価が失敗した指標はリスクスコアに含まれません。アイデンティティ環境評価前には、正確な分析のために選択したフォレスト内の全ドメインを含めることをお勧めします。