ゼロトラストアプローチへの信頼スコアパラメーターの構成

ここでのゼロトラスト方法論は、マイクロセグメンテーションと行動分析を採用し、あらかじめ定められたパラメーターに基づいてユーザーおよびリソースの信頼スコアを算出します。ポリシーベースのアクセス制御で構成されたリソースにアクセスするには、ユーザーは、管理者またはカスタムアクセスポリシーロールがあるユーザーが定義した複数の条件付きパラメーターを満たしている必要があります。本書では、ポリシーベースのアクセスアプローチ内の信頼スコアパラメーターとその実装について詳細に説明します。

PAM360は、合計19の条件付きおよび事前定義済パラメーターを利用し、ユーザーおよびリソースの信頼スコアを決めます。これらのパラメーターは、2つのカテゴリに分けられます。1つは、ユーザー、もう1つはリソースで、それぞれに重み付けが割り当てられ、各ユーザーとリソースの信頼スコアが計算されます。これらのパラメーターとその割り当てられた重み付けに基づいて、PAM360は、ユーザーとリソースの両方の信頼スコアを計算します。

ユーザー信頼スコアのパラメーター

リソース信頼スコアのパラメーター

1.管理者が定義する条件付きパラメーター

［管理］ >> ［ゼロトラスト］ >> ［設定］の順に移動し、ユーザー（ユーザー認証+ユーザーデバイス）とリソースの信頼スコア計算に条件付きパラメーターのベースライン値を定義します。

a. ユーザー信頼スコアのパラメーター

1. 無効なサインイン試行 - ここでは、定義された日にユーザーに許可される、ログイン試行の不成功回数を定義できます。
   例. 許可された無効なサインイン試行：7日間で3回試行。
   ユーザーが誤った認証情報で3回を超えてサインインを試みた場合、指定された条件を満たせないことになります。その結果、このパラメーターに割り当てられた重み付けに関わらず、ユーザー信頼スコアの計算においてスコア0が割り当てられます。
   以下のパラメーターは、それぞれの信頼スコア計算において同様に機能します。
   
2. オフィス時間外のサインイン - このパラメーターでは、指定勤務時間中にPAM360アプリケーションへのユーザーログインを定義します。デフォルトでは、すべてのPAM360ユーザーの勤務時間は09:00 - 18:00に設定されています。
   このパラメーター値をユーザーごとに異なる設定に変更したい場合は、以下の手順を実行してください。
   1. ［サインイン時間を追加］ボタンをクリックします。
   2. 開いたポップアップで、勤務時間を変更予定の各ユーザーグループを選択します。
   3. 組織の要件にしたがってサインイン時間を入力し、［Enabled］を選択して、［保存］をクリックします。
   4. ［Disabled］を選択する場合、デフォルトのサインイン時間は09:00～18:00がそれらのユーザーに適用されます。

      メモ：

      サインイン時間は、PAM360で構成されたサーバー時間で、デバイスの時刻変換に従い設定していることを確認してください。PAM360サーバーの時刻変換に合わせて正しいサインイン時間を設定しない場合、このパラメーターの信頼スコアが低下し、スコア値が0になる可能性があります。
      例： PAM360サーバー時刻 - 5:00（米国）｜ユーザーマシン時刻 - 10:00（英国）。
      英国のユーザーの勤務時間は10:00 - 17:00です。そのため、ここで設定されるサインイン時間は、5:00 - 12:00にします。

3. 許可されたIPからのアクセス - ここでは、PAM360アプリケーションにアクセスするユーザーのIPアドレスの許可範囲を定義できます。
   例： 許可されたIPからのアクセス：172.24.2XX.X から 172.24.2YY.Y。
   ユーザーが上記のIP範囲に属し、PAM360アプリケーションにアクセスした場合、パラメーターの条件が満たされ、パラメータースコアがユーザー信頼スコア全体に加算されます。このパラメーターに準拠しないと、信頼スコアページで割り当てられたパラメーターの重み付けには関係なく、パラメータースコアは0になります。
4. 許可された装置からのアクセス - 許可されたIPパラメーターと同様、組織が認可したPAM360アプリケーションにアクセスが許可されたIPアドレスとデバイス名を定義できます。例：許可されている装置：pam-server3592.
   

   メモ：

   限定的で許可されたマシンまたは上で入力したIPレンジとは異なるマシンを監視する必要がある場合、各IPアドレスまたはデバイス名でこのパラメーターを使用できます。

5. ユーザーは特権グループに属しています - このパラメーターでは、組織の特権グループに属するユーザーで、ユーザーグループを追加できます。追加されたユーザーグループのユーアーには、条件なしで、また特権ユーザーとみなされることなく、追加のユーザー信頼スコアの特典が得られます。

b. ユーザーデバイス/リソースパラメーター

デフォルトでは、組織のすべてのデバイス/リソースは、開ポート、ブラウザ、プラグイン/アドオン、アプリケーション/パッケージ、およびプロセスとサービスのセットを使って構成されます。組織のデバイス/リソースからそれぞれの詳細を探す、およびそれらを個別の許容形式で、下のパラメーターセクションに入力するには、以下の手順を実行します：

1. このzipファイルをダウンロードし、任意のデバイスに解凍してください。
2. zipを抽出したペレーティングシステム（OS）にあわせて各フォルダWindowsまたはLinuxを開きます。
3. 管理者実行権限で、bash/ sh/ bat/ ps1ファイル「fetch_configuration_details」を実行します。
4. 実行時、 名前「query_result.txt」の出力ファイルが同じフォルダの場所に生成されます。
5. query_result.txtファイルを開き、各スコアパラメーターを定義するためデフォルトのデバイスデータまたはシステムプロパティをチェックします。検索オプションを使って、下の関連idで、各パラメーターの値を検索します：
   1. Antivirus_status
   2. Application_and_packages
   3. Chrome_extensions
   4. Disk_encryption_status
   5. Firefox_addons
   6. Firewall_status
   7. OS_version
   8. Open_ports
   9. Process_and_services
   10. Secure_boot_status

   メモ：

   出力ファイルから受け取ったパラメーターは、デバイス/リソースについて構成された開ポート、ブラウザ/アドオン、アプリケーション/パッケージおよびプロセスとサービスのデフォルトセットです。これらのパラメーターを使って、下の条件値を定義できます。

1. 許可されるOSバージョン - ここで、組織のユーザーが使用できるOSバージョンを定義できます。ログイン済みのデバイス/リソースが事前定義されたOSバージョンのリストから逸脱している場合、信頼スコアの重み付けに関わらず、対応する信頼スコアに影響を与えます。
   例：10.0.22621
   
2. 開いているポート - ここで、 PAM360ユーザーがこのフィールド内にアクセスできるポートを指定できます。ユーザーは許可またはブロックするポートのリストを指定でき、ユーザーがブロックリストに登録されているポートまたは許可リストに含まれていないポートへのアクセスを試みた場合、このパラメーターに与えられた重み付けに基づいて信頼スコアが低下します。
   例：8282、7272、9292、6565
   
3. 許可されるブラウザプラグイン/アドオン - このパラメーターを使って、ポリシーベースのアクセス制御方法に属することになるユーザーが使用する、許可されるブラウザプラグイン/アドオンを定義できます。組織の方針に基づいて、ブロック/許可リストの方式を使用してプラグインとアドオンを一覧表示できます。
   例：bdgkacbeblomgnaoildjnppjkamgoogc、pictureinpicture@mozilla.org、firefox-compact-light@mozilla.org
   

   メモ：

   許可された/ブロックされたブラウザプラグイン/アドオンは、WebブラウザChromeとFirefoxにのみ適用できます。

4. 許可されたアプリケーション/パッケージ - ここで、ユーザーデバイス/リソースにインストールおよび使用できるアプリケーション/パッケージを定義できます。これは、許可された、またはブロックされたアプリケーション/パッケージのリストを提供することで、可能になります。インストールされているアプリケーションおよびパッケージに基づいて、このパラメーターに与えられた重み付けに応じて対応する信頼スコアが変化します。
   例：Microsoft Office Standard 2016、Sublime Text、Intel(R) Wireless Manageability Driver、Microsoft .NET Runtime - 6.0.9 (x64)
   
5. 許可されるプロセス/サービス - このパラメーターでは、ユーザーのデバイスまたはリソースで実行が許可されているプロセス/サービスを指定できます。これは、許可された、または制限されたプロセス/サービスのリストを作成することで、可能になります。実行中のプロセス/サービスに基づいて、対応するユーザーデバイス/リソースパラメーターの信頼スコアが調整されます。
   例：services.exe、lsass.exe、NetworkManager
   
6. 特権リソースグループ(リソースパラメーター) - このパラメーターでは、組織の特権デバイスに属するリソースで、リソースグループを追加できます。追加されたリソースグループにあるリソースには、条件なしで、特権デバイスグループになくても、追加のリソース信頼スコアの追加特典があります。

   メモ：

   • 許可リストおよびブロックリストを含むパラメーターについては、有効な入力値を指定する必要があります。「信頼スコア」ページで重み付けが設定された空のパラメーターは、対応する信頼スコアの計算において、そのパラメーターが満たされているものとみなされます。
   • パラメーターの許可されたリストとブロックされたリストに入力した文字は、大文字小文字の区別があります。

2.事前定義済パラメーター

以下は、管理者が構成または定義できないパラメーターです。これらは、事前定義済アプリケーション/システムプロパティのものです。組織のニーズおよび要件に応じた信頼スコアの計算のために、「信頼スコア」ページでそれらのプロパティに重み付けを追加できます。これらのパラメーターのいずれかを信頼スコア計算で未チェックとみなす場合は、信頼スコア重み付けセクションに値0を、それ以外では、組織のパラメーターへの重要度にあえわせて、1～10を入力できます。

1. 2段階認証(ユーザー認証専用) - ここで記載する2段階認証(2FA)は、PAM360が追加のID方法として使用するものを表します。この2FAパラメーターは、TFAが、構成された重み付け値で、PAM360ログインに必須のユーザーに追加されたスコアポイントのロールを持ちます。

   メモ：

   セキュリティをさらに強化するためのID検証の追加レイヤーとして、PAM360の「2FA」を常に有効にすることをお勧めします。

2. パスワードで保護された装置 - このパラメーターは、ユーザーのデバイスまたはリソースにパスワード保護があるかどうかを確認します。パスワード保護が検出される場合、関連スコアが割り当てられた重み付けに基づいて計算されます。パスワード保護が検出されない場合、割り当てられた重み付けには関係なく、このパラメーターのスコアはゼロとなります。
3. アクティブなウィルス対策ソフトウェア - このパラメーターは、ウィルス対策プログラムがインストールされ、ユーザーのデバイスまたはリソースでアクティブになっているかを評価します。ウィルス対策プログラムがあり稼働している場合は、スコア計算によい影響を与えます。逆に、アンチウイルスプログラムが存在しない場合、パラメータースコアが低下し、それに応じて全体的な信頼スコアに影響を与えます。
   ゼロトラストリリースのこの初期段階では、PAM360はリソース/ユーザーマシンに展開されている特定のアンチウイルスセットのみを評価する機能を持っています。お使いのアンチウイルスが以下のリストに含まれていない場合は、不必要なスコア低下を避けるために、重み付け値を「0」に設定することをお勧めします。
   1. Microsoft Defender
   2. Avast
   3. AVG
   4. Bitdefender
   5. Kaspersky
   6. McAfee
   7. Sophos
   8. Symantec
   9. Trend Micro
4. ファイアウォールが有効化されました - このパラメーターは、ファイアウォールがユーザーのデバイスまたはリソースでアクティブかを検証します。ファイアウォールが検出される場合、パラメーターは、最終信頼スコア値に対してスコア計算で検討されます。逆に、ファイアウォールがユーザーの構成されたデバイスまたはリソースで検出されない場合、パラメーターは検討されず、割り当てられた重み付けには関係なく、パラメータースコアはゼロになります。
5. 有効化されたセキュアブート - セキュアブート機能は、デバイスまたはリソースの起動中、悪意あるアプリケーションの取り込みをブロックすることです。この特定パラメーターは、セキュアブート性ステムのサマリステータスを評価します。これがオンになっている場合、パラメーターのスコアが検討され、最終信頼スコアの計算に追加されます。ただし、セキュアブートシステムのサマリステータスがポリシーベースのアクセス制御のユーザーデバイスまたはリソースでオフに変更される場合、パラメーターは失敗し、割り当てられた重み付けには関係なく、パラメータースコアはゼロになります。
6. 利用可能なドライバーの完全性検証 - オペレーティングシステムの整合性検証機能は、システムファイルとドライバーに悪意あるまたは壊れたアプリケーションがないかを検証します。ユーザーのデバイスまたはリソースでこの機能が利用可能な場合、パラメーターは、満たされているものとみなされ、割り当てられた重み付けスコアが最終信頼スコアの計算に追加されます。

   メモ：

   リソースまたはユーザーマシンのいずれかにおいて上記パラメーターの状態について不明な点がある場合は、それぞれのユーザーデバイス/リソースで上記の手順を実行し、パラメーターの状態を確認することができます。

7. セッション記録が有効になりました(リソース信頼スコア専用) - このパラメーターは、PAM360のリソースでリモートセッションを再生するのに有効になっているものを表します。このパラメーターに重み付けを割り当てると、セッション記録機能について、構成されたリソースをチェックします。セッション記録がリソースのアカウントで有効になっている場合、パラメータースコアは、リソースの信頼スコア全体に追加されます。

   メモ：

   このパラメーターは、リソースのすべてのアカウントにPAM360で有効なセッション記録がある場合のみ、リソースの信頼スコアの計算でみたされます。

8. 権限昇格エージェントがインストールされています - このパラメーターへの重み付けの割り当ては、ゼロトラストモジュールとあわせて、セルフサービス権限昇格でインストールされている個別リソースへの追加された信頼スコアとして機能します。