ゼロスタンディング特権(ZSP)とは?

特権アクセス管理

ゼロスタンディング特権(Zero Standing Privilege、ZSP)は、永続的ではないアクセス権または特権を指すITセキュリティ用語です。この概念は、過剰で永続的な特権を削除し、組織のセキュリティ体制を強化することを目的としています。永続特権は、特権悪用の足掛かりとなる可能性があり、攻撃対象領域を拡大する要因になりえます。

ゼロスタンディング特権は、ゼロトラストセキュリティモデルの重要な構成要素です。特権アクセス管理(PAM)の対策として、ジャストインタイム(JIT)アクセス、適応型認証、最小特権の原則、アクセス制御プロセスなどを実現する上での最終目標と考えられています。

永続特権とは?

永続特権は、一般に「常に有効な」管理者アクセス権限であり、この特権を使用すれば、誰でも重要なシステムにアクセスできます。永続特権の代表的な例をいくつかご紹介します。

  • 時間制限なく、複数の関係者やチームが共有・使用できる認証情報
  • 長期にわたって管理・監視が行き届いていない、特権ユーザーアカウント、SSL/TLS証明書、認証トークン
  • プレーンテキストやスクリプトにハードコーディングされ、定期的にローテーションされていない認証情報や機密情報

通常、重要な特権は、業務に欠かせないITリソース(サーバー、データベース、アプリケーションなど)の管理を担当している従業員に付与されます。なぜなら、このような担当者は、日常業務やメンテンナスのために、機密性の高いシステムに常時かつ即座にアクセスする必要があるからです。

標準的なPAMツールを使用すれば、特権をユーザーと共有できますが、その特権は常時有効であるケースが多いです。さらに、個々の状況に応じた柔軟なアクセス権の付与はなく、役割や部署の要件に基づいて一律で付与される(または付与されない)ことが一般的です。しかし、永続特権が悪意のある内部関係者や外部の攻撃者によって流出または悪用されてしまうと、組織が甚大な被害に遭う可能性があります。

PAMツールに期待すべきは、きめ細かいアクセス制御の実現です。これにより、重要な資産に対するアクセス権を状況に応じて個別に付与できるようになります。

永続特権がもたらすセキュリティリスク

ハイブリッドワークの普及により、攻撃対象領域は拡大し、新しい攻撃方法が次々と生まれています。それでもなお、永続特権がサイバー犯罪者にとって格好の標的であることに変わりはありません。なぜなら、近年のセキュリティ侵害の事例が示すように、脆弱な認証情報または侵害されたアカウントがわずか1つあるだけで、攻撃者は瞬く間に企業に壊滅的な被害をもたらすことができるからです。

組織のネットワーク内に侵入した攻撃者は、永続特権を悪用することで、痕跡を残すことなく攻撃範囲を拡大できます。Verizonの「2022年度版データ漏洩/侵害調査報告書」では、次のように報告されています。「人的要因は、データ漏洩/侵害の主な原因であり続けています。今年の調査では、82%のデータ漏洩/侵害に人的要因が関与していることが分かりました。事の発端が、認証情報の盗難、フィッシング、不正利用、単なるヒューマンエラーのいずれであっても、インシデントやデータ漏洩/侵害の根本的な原因が人であることに変わりありません」。

永続特権が悪意のある者の手に渡ると、甚大なセキュリティインシデントを招くことになります。なぜなら、従業員の認証情報が侵害された場合、攻撃者が特権昇格を悪用して永続特権を得ることで、検知されることなく機密データやシステムに自由にアクセスできる可能性があるからです。さらに、永続特権が悪用された場合、その特定が困難になります。攻撃者が、管理者権限を持つ実在しないユーザーに成りすますことができるからです。永続特権は、デバイスなどの複数のIT資産に対するアクセス権をユーザーに与えるため、攻撃者にとって狙いやすい標的となっています。

永続特権に関わる最大の問題が生じるのは、永続特権の定期的な管理や更新を行わない場合です。永続特権は、さまざまな業務の中で複数のユーザーや部署が同時に使用します。そのため、事前の計画や関係者への通知なしに永続特権の設定変更を行うと、重要な業務や作業が突然停止してしまう恐れがあります。埋め込み認証情報を例にして考えてみましょう。埋め込み認証情報は、スクリプトやテキストファイルにハードコーディングされています。通常、CI/CDパイプライン、RPAプロセス、開発フローに関わる複数の関係者が使用します。事前の通知がないまま認証情報を変更すると、複数の重要なプロセスで同時に障害が発生し、業務全体に深刻な混乱をもたらすリスクがあります。さらに、埋め込み認証情報が偶然でも公開されてしまった場合、悪意を持った者がその認証情報を悪用して、組織の重要な情報システムを侵害する可能性があります。

最小特権とJITアクセス制御による永続特権への対応

永続特権のセキュリティリスクを最小限に抑えるには、最小特権の原則を適用し、業務に必要なアクセス特権のみをユーザーに提供する体制を整える必要があります。ジャストインタイム(JIT)アクセスは、機密性の高い共有リソースへの独占的なアクセス権を時間制限付きで付与することにより、最小特権の原則を実現します。JITアクセスの仕組みは、一時的な管理者アカウントを作成し、アクセス期間が終了するとそのアカウントを自動的に無効化することで実現されます。

このプロセスは、JIT特権昇格機能が備わっている PAMツールを活用することで自動化できます。優れたPAMツールでは、役割やポリシーに基づくアクセス制御を実装でき、ユーザーの役割に見合ったアクセス権限がデフォルトで割り当てられている状態を簡単に実現できます。また、アクセス申請ごとにアクセスポリシーを動的に適用し、適切なアクションを自動実行することも可能です。

ユーザーがリソースへの管理者アクセスを必要とする場合、JITアクセスで一時的に権限を昇格し、アクセス期間終了後はデフォルト状態に戻すことができます。さらに、機密性の高いリソースの認証情報を自動的にローテーションすることで、認証情報がそのまま放置され、攻撃者が狙うような永続特権になる事態を回避します。

最小特権アクセス制御を実施することで、各種のコンプライアンス規制(HIPAA、GDPR、SOX、PCI DSS、CCPA、ISOなど)への準拠を効率的に証明できます。さらに、サイバー保険の加入に際して保険会社が組織に要求する対策は、ITセキュリティの強化策としての最小特権アクセスを実装し、管理者権限の最小限に抑えることです。したがって、最小特権アクセスを適用することは、組織のセキュリティ強化と保険適用のために必須の課題と言えます。

また、JITアクセス制御をITSMツールと統合して実施することで、アクセス要件が記載されたチケットの提示をユーザーに求め、リクエストを即時に承認または拒否できます。これにより、より強固なセキュリティと精緻なアクセス管理が可能になります。JITアクセス制御により管理者権限アクセスの有効期間を必要最小限に制限(最短5分に設定可能)することで、攻撃対象領域を大幅に削減できます。

永続特権:従業員が退職する際の対応

内部関係者による攻撃の約75%は、元従業員が元凶となっています。復讐心や自己顕示欲に駆られた元従業員は、未だ無効化されていない認証情報を悪用する可能性があります。重要なデータの抜き取り、顧客情報のダウンロード、機密性の高いファイルシステムへの侵入といった悪事を働く恐れがあります。

従業員が組織を離れる際の対策として、組織のディレクトリ環境からアカウントを消去する前に、その従業員に割り当てられている重要なアクセス権限を取り消す仕組みが必要です。これにより、特権(従業員がアクセスできたパスワードや重要なアカウントなど)と従業員を完全に切り離すことができます。

包括的なPAMソリューションを活用し、カスタマイズ可能なワークフローを設定すれば、そのワークフローの自動実行が可能になります。ユーザーに紐付いているすべての特権を自動的に取り消し、その特権を組織内の他の特権ユーザーに円滑に再割り当てできます。このようにして、組織を離れる従業員が重要なデータや認証情報を持ったままにならないように制御し、不正行為を防止できます。

ゼロスタンディング特権(ZSP)のベストプラクティス

ゼロスタンディング特権(ZSP)は、企業が目指すべきマイルストーンとして業界を牽引する企業や専門家が推薦しています。しかし、マシンIDの増加や複雑な業務プロセスが原因で、完全なZSPの実現は困難とされています。とはいえ、組織の攻撃対象領域を縮小するための最低限のセキュリティ対策として、最小特権の原則は適用する必要があります。

ZSPに取り組み始めたばかりの組織では、完全なZSPは難しいかもしれませんが、一時的なアカウントを活用することで最低限のZSPを実現できます。アクセス管理の一環として実施すべきZSPのベストプラクティスをいくつかご紹介します。

  • 申請・承認フローを導入し、ユーザーが特権アクセスを要求する際に申請を必須とします。管理者は、申請内容に基づいて、ITリソースへのアクセスを許可または拒否します。
  • 日常業務を行うための最小限の特権をユーザーにデフォルトで割り当てます。ユーザーがリソースに対する管理者権限を必要とする正当な理由を提示した場合は、一時的なアカウントを使用して、ユーザーの権限を一時的に昇格させます。
  • ユーザーセッションが終了するたびに、IT資産やエンドポイントの認証情報をローテーションし、パスワードを使用不可にすることで、以後の不正アクセスを防止します。
  • 機密性の高いアプリケーションやコマンドへのアクセスを制御・制限します。
  • 特権セッションを監視・監査する対策を実施します。
  • 多要素認証を実装し、特権エンティティのセキュリティを強化します。

ZSPを実現するための最善の方法は、上記のようなベストプラクティスをすべて自動化するPAMソリューションを導入することです。PAMソリューションは、特権アカウントの検出・登録を自動化し、すべてのアカウントを徹底的に管理することで、ZSP実現に向けた基盤作りを支援します。きめ細かいアクセス制御ワークフロー、JITアクセス、最小特権制御といった機能を活用すれば、管理者は特権アクセスに関連する操作やプロセスを効果的に精査し、管理者ユーザー専用のアクセス特権を確保できます。

急速に変化するサイバーセキュリティの脅威に対応するために、PAMソリューションは継続的に進化しています。組織はこのテクノロジーを導入することで、完全なZSPの実現に向けて確実に前進できます。

ManageEngine PAM360によるZSPの実現

PAM360は、フルスタックのPAMソリューションであり、企業の特権アクセスの保護・監視・監査・制御を支援します。PAM360のゼロトラストアクセス機能を活用することで、JIT・最小特権アクセス、アプリケーションとコマンドの制御、ポリシーベースのアクセス管理を導入できます。この機能により、適切なユーザーに機密リソースへの管理者アクセス権限が確実に付与される体制を整えます。

さらに、PAM360に備わっているセッション管理機能により、パスワードを公開することなく、リソースにワンクリックで直接アクセスできます。PAM360の管理画面経由で開始したセッションはすべて、監視・監査・記録されます。また、ユーザーが疑わしいアクティビティを行った場合、管理者によるセッションの遮断も可能です。

PAM360は、ITツールやビジネスアプリケーションとシームレスに連携できるため、すべての業務領域でセキュアな特権アクセス管理を導入し、セキュリティ体制を強化できます。

PAM360でゼロスタンディング特権を実現!