この一文を読んでいる間にも、世界中で数千件もの悪意のあるログイン試行が行われています。アイデンティティベースの攻撃の規模と複雑さは驚くべきものであり、その脅威は日々進化しています。2025年、Oktaだけで、1万以上の組織において150億件以上の悪意あるログインをブロックしました。組織はこれにどのように対応できるでしょうか？その答えは、単一の強固な壁を築くことではなく、よりインテリジェントで応答性の高い防御を設計することです。これは、AIを活用したアイデンティティ脅威検出と対応（ITDR）の根幹となる原則でもあります。このDeep Diveでは、Oktaのセキュリティプラットフォームのアーキテクチャを解き明かし、インラインでの防御とオフラインのアナリティクスをどのように連携させ、真に回復力のある防御を構築するかについて、設計指針を示します。
前回のブログ記事では、多層防御の概念をご紹介しました。この記事では、完全なアーキテクチャについて説明します。ここでは、次の3つのトピックを取り上げます。
- Oktaのインライン防御のアーキテクチャ。インライン防御は、入口の警備員のようなもので、ユーザーがOktaと直接やり取りする際にリアルタイムでユーザーを保護します。
- オフライン防御のアーキテクチャ。オフライン防御は監視システムのようなもので、Oktaとサードパーティのセキュリティシグナルを分析して、アイデンティティを継続的に保護します。
- Oktaテナントを保護するための主な推奨事項。
インライン防御とオフライン防御の両方が必要な理由とは？
OktaへのWeb要求パス（例：ログイン試行、ユーザー登録）でのインライン、またセキュリティイベント（例：セキュリティベンダーがユーザーのデバイスでマルウェアを検出）への対応としてのオフラインの両方で、攻撃の検出と修復を行います。
インライン防御とオフライン防御の両方の組み合わせが必要な理由には、以下が挙げられます。
- ユーザーはOktaを使用してサードパーティアプリケーションにシングルサインオンした後、トークンが有効である限り、そのサードパーティアプリケーションとやり取りします。OktaはこれらのWeb要求パスには存在せず、攻撃の検出はデバイス、サードパーティアプリケーション、およびパートナー（例：ZTNA、SASE、EDRベンダー）からのオフラインシグナルに依存します。
- インライン検出は、正当なユーザーのエクスペリエンスに影響を与えないように、非常に迅速に（数ミリ秒以内）実行する必要があります。高度な攻撃の中には、インライン検出では高い精度で検出できないものがあります。
以下の図は、インライン防御とオフライン防御の概要を示しています。図からわかるように、インライン防御から生成された非同期イベントは、サードパーティのシグナルとともに、オフライン防御への入力になります。インラインで実行できるアクション（例：ブロックやMFA）の種類は、オフラインで実行できるアクション（例：Universal Logoutやワークフローの実行）とは異なり、相互に補完します。
インライン防御
Oktaは、毎日1億件以上のログインと10万件の新規ユーザー登録を処理しています。これらのリクエストパスには、以下で説明する多層防御が導入されています。過去18か月で、前回のブログ記事で説明した既存のレイヤーに加えて、以下のレイヤー（青いボックス内の太字斜体）が導入されました。
それでは、インライン防御における最近のイノベーションについて見てみましょう。
拡張動的ゾーン
攻撃者は多くの場合、匿名化プロキシ、レジデンシャルプロキシ、および特定の種類のVPNを使用して、自分の所在地を隠し、クレデンシャルスタッフィングやセッションハイジャックなどの攻撃を仕掛けます。このような攻撃を検出するために、Oktaは拡張動的ゾーンのサポートを導入しました。お客様は、IPサービスカテゴリー（特定の種類の匿名化プロキシ、レジデンシャルプロキシ、VPN）、地理的な場所、およびASN（自律システム番号）の組み合わせに基づいてネットワークゾーンを作成できるようになりました。これらのゾーンは、ブロックリストとして使用することも、サインオン、MFA、その他のポリシーの条件として設定することもできます。
ゾーンを使用して、さまざまなユースケースに対応できます。以下に例を示します。
- セキュリティポリシーで許可されているプロキシを除き、すべての匿名化プロキシからのテナントへのリクエストをすべてブロックする。
- 特定の種類のVPNからのログインにはMFAを要求し、他のすべてのトラフィックは許可する。
- ASN、国、プロキシタイプの組み合わせでMFA登録を拒否する。
この機能の影響は大きく、Oktaにアクセスするすべてのリクエストに対して、IPメタデータを評価するようになりました。2025年には、Oktaの1,000社以上のお客様が、この機能を使用して10億件以上の不正リクエストをブロックしました。
以下の図は、サードパーティのIPメタデータフィードを取り込み、非常に高速なルックアップで使用できるようにするための、高レベルのアーキテクチャを示しています。これらのフィードは、位置情報やその他のIPメタデータ（IPサービスカテゴリーなど）を提供します。
このアーキテクチャは、主に次の2つの目的を達成します。
- 品質の向上：誤検知と見逃しのリスクを軽減するために、Oktaはサードパーティーベンダーがデータを利用可能にするとすぐにIPメタデータを更新する、オフラインパイプラインを構築しました。
- レイテンシーの削減：リクエストの応答時間を短縮するためにアプリケーションレイヤーを設計し、複数のベンダーからのIPメタデータを10ミリ秒未満で参照できるようにしました。
ボット検出
悪意のあるボットは、不正アカウントの作成やパスワードスプレー攻撃など、大量の認証情報ベースの攻撃に関与しています。これに対抗するため、Oktaは最近、ボット防御のベータ版を発表しました。これは、ThreatInsightを補完し、以下の方法で認証情報ベースの攻撃をブロックします。
- 検出：ThreatInsightは、サインイン攻撃に関与するIPを検出するために設計されました。ボット防御は、IP以外にも、サインインだけでなくサインアップやリカバリー攻撃にも関与するシグナルに基づいて、ボットを検出します。
- 修復：ThreatInsightは修復オプションとしてブロックまたはログをサポートしています。ブロックは、強力な修復アクションです。ブロックした場合、誤検知のコストは高くなります。ボット防御により、お客様はより緩やかなProof-of-Work課題を修復アクションとして構成できます。これにより、ボットに対しては障壁を設けながら、正当なユーザーは最小限の摩擦で済むようになります。
- 構成：ボット防御を使用すると、リスク許容度に基づいて修復を設定できます。これにより、誤検知と見逃しのバランスを最適化するように機能を調整できます。
Oktaは、長年にわたって収集した膨大な攻撃データを活用し、ヒューリスティクスと機械学習モデルを構築してボットを識別しています。
アイデンティティ脅威からの保護：セッションコンテキスト評価
ユーザーが認証された後も、リスクがなくなるわけではありません。アイデンティティ脅威からの保護では、認証後の脅威を検出するセッションコンテキスト変更のインライン評価機能が追加されました。この機能はセッションを継続的に評価し、ハイジャックされたセッションの兆候を検出します。IPまたはデバイスのコンテキストが変更されるたびに、機械学習モデルを実行してセッションのリスクを評価し、リスクレベルを判断します。このモデルは、そのユーザーのベースラインと比較して、リクエストがどれほど異常であるかを特定します。
また、セッションにリスクがある場合にはすべてのグローバルポリシーとアプリケーションのサインオンポリシーを再評価するように、ポリシーを構成できます。これらは、そもそもセッションが付与される前に評価されるポリシーと同じものです。ログイン時だけでなく、セッションコンテキストの変化に応じて継続的にポリシーを評価することにより、Oktaは真の継続的な認証を提供しています。
継続的な認証の詳細については、こちらのブログ記事をご覧ください。
オフラインの防御
Oktaのオフラインおよびイベント駆動型の防御は、広範なソースからのセキュリティシグナルを継続的に分析し、脅威を未然に特定して対応します。
アイデンティティ脅威からの保護：継続的なユーザーリスク評価
アイデンティティ脅威からの保護は、インライン分析にとどまりません。Oktaは、広範なファーストパーティおよびサードパーティのセキュリティイベントを継続的に取り込み、分析しています。ユーザーのリスクレベルの継続的な評価には、オフラインのMLモデルとヒューリスティクスを組み合わせて使用しています。Oktaをご利用のお客様は、ユーザーがハイリスクとしてフラグ付けされた場合に、自動アクションを実行するようにポリシーを設定できます。たとえば、Universal Logoutを開始して、ユーザーをOktaとログインしているすべてのアプリケーションからログアウトさせることができます。2025年、アイデンティティ脅威からの保護は7万人以上の高リスクユーザーを特定しました。アイデンティティ脅威からの保護が実際にどうのような影響を与えるかについて、詳しくはこちらのブログ記事をご覧ください。
下の図は、さまざまなソースからシグナルを取り込み、その情報を非同期で処理してユーザーリスクを更新および修正するための、高レベルなアーキテクチャを示しています。
サードパーティシグナルの取り込み
ほとんどのお客様は、Oktaをサードパーティの他のセキュリティ製品と組み合わせて使用しています。多くのセキュリティ製品はサイロ化された状態で動作しており、複数の製品からのシグナルを統合して、アイデンティティベースの攻撃を検出・阻止することは非常に困難です。当社のOpenID Shared Signals Framework標準によるイノベーションは、この課題に対応するものです。アイデンティティ脅威からの保護により、既存のセキュリティ製品（ZTNA、WAF、SASE、EDRなど）とOktaがセキュリティシグナルを交換するように設定できます。標準ベースのシグナル交換により、セキュリティベンダーとお客様の双方にとって、シームレスで安全な統合が可能になります。
Oktaのファーストパーティシグナル
アイデンティティ脅威からの保護は、Oktaネイティブの複数のソースからシグナルを取り込みます。以下に例を示します。
- Okta Threat Intelligenceチームが作成した脅威フィードを取り込みます。これらのフィードには、悪意のあるサービスとしてのフィッシングインフラストラクチャに関連する侵害指標が含まれています。これにより、お客様は当社の脅威調査チームが作成した実用的なインサイトに基づいて、Universal Logoutなどの自動修復アクションを実行できます。
- デバイスからのシグナル（例：デバイス管理ステータス、デバイスがジェイルブレイクされているかどうか、デバイスにインストールされているEDRソフトウェアからのシグナル）をOkta Verifyから継続的に取り込み、豊富なデバイスコンテキストを構築します。このデバイスコンテキストは、ユーザーとセッションのリスクを継続的に評価するために使用されます。
- Oktaシステムログイベントをデータレイクに継続的に取り込み、オフラインのMLモデルとヒューリスティクスを実行して、リスクのあるユーザーと悪意のあるIPにフラグを立てます。
侵害された認証情報の保護
一部の推定では、ダークウェブ上には500億件以上の侵害された認証情報が存在すると言われています。攻撃者はこのデータを悪用して、認証情報を利用した大規模な攻撃を行います。侵害された認証情報の保護（一般提供開始）は、サードパーティープロバイダーと連携し、ユーザーの認証情報が既知のデータ漏洩に現れていないかを継続的にチェックします。一致するものが見つかった場合、侵害されたパスワードを自動的に失効させ、すべてのアクティブなセッションを終了させることができます。これにより、盗まれた認証情報を攻撃者が使用することを防ぎます。
Oktaは、これらの大規模データベースをダウンロードして処理し、パスワード認証が成功した後で非常に低いレイテンシーで検索できるようにする、高度にスケーラブルなアーキテクチャを構築しました。
以下の図は、複数のベンダーから流出した数十億件の認証情報データを取り込み、そのデータを侵害の検出と修復にどのように使用するかについて、大まかなアーキテクチャを示しています。
侵害された認証情報の保護は、一般提供が開始されてから3か月未満で、170万件の侵害された認証情報を検出し、77万件の認証情報をリセットしました。
統一されたインテリジェンス：AIがどのように点と点を結びつけるか
インラインレイヤーもオフラインレイヤーも、単独で機能するものではありません。このアーキテクチャの真髄は、これら両方からのデータを統合する、当社のAIベースの検出エンジンです。この検出エンジンの中心にあるのは、毎月Oktaが何十億件ものログインに関してアイデンティティパイプラインで収集する、他に類を見ない使用状況データ（例：IP、アプリケーションの使用状況、認証情報の検証、デバイスの使用状況など）です。この豊富な使用状況データは、既知の攻撃からのラベル付きデータとともに、オフラインとインラインの両方の機械学習モデルのトレーニングに使用され、アイデンティティベースの高度な攻撃をブロックします。以下に例を示します。
- オフラインの機械学習モデルを使用して、大規模な認証情報ベースの攻撃に関与する悪意のあるIPアドレスを特定します。パスワードスプレー、ログイン率、エラー率、エラーの種類などに関するパターンを探し、そのようなIPを特定します。パスワードスプレーは、攻撃者が複数のユーザーアカウントでパスワードの検証を自動化する、興味深い認証情報ベースの攻撃の1つです。Oktaは、ユーザーや組織全体でパスワードの使用状況を追跡し、該当するパスワードを識別することで、そのような試みを阻止します。
- オフライン機械学習モデルを使用し、FastPassによりブロックされた試行からのシグナルに基づいて、フィッシング攻撃に関与するIPを特定します。
- インライン機械学習モデルを使用して、アカウント乗っ取りやセッションハイジャック攻撃を検知します。この機械学習モデルは、ユーザーが正常にログインした際に確立されたベースライン（既知の正常なIP、デバイス、場所など）に基づいて、リクエストがそのベースラインから逸脱しているかどうかを判断します。
- インライン機械学習モデルを使用して、さまざまなリクエストレベルの属性に基づいて疑わしいリクエストを識別します。そのため、組織への正当なリクエストとは別にレート制限をかけることができます。
主な推奨事項
- ThreatInsight、拡張動的ゾーンおよびボット防御を有効にして、大規模な自動攻撃を入口で未然にブロックします。
- 侵害された認証情報の検出機能を有効にして、サードパーティの侵害で漏洩した認証情報による脅威を即座に無力化します。
- アイデンティティ脅威からの保護機能を有効にして、真の継続的な認証を実現し、認証後の脅威にリアルタイムで対応します。
おわりに
このDeep Diveを、自社のセキュリティ態勢を検証する際の参考としてぜひご活用ください。防御は連携して機能していますか？AIを活用して、検知不可能なものを検知していますか？従来のサイロ化されたツールから、統合されAIを活用したITDRフレームワークへの移行は、現代の脅威情勢からアイデンティティと資産を保護するために次に行うべき、決定的なステップです。
