ビジネスの変化に遅れることのない、リアルタイムのインライン保護
現在の複雑なアイデンティティ脅威情勢に対応するには、セキュリティ対策を合理化するとともに、進化を続ける多層的な多重防御戦略でサイバーセキュリティの脅威を特定して軽減する必要があります。Oktaの包括的なセキュリティ戦略では、複数のレベルで脅威に対処しており、エッジではブロックリストゾーンの利用、ThreatInsightの設定、自動レート制限、Oktaのサインオンポリシー、強力な認証要素などを活用します。
では、認証後のリスクについてはどうでしょうか。アイデンティティのライフサイクルにおいて重要なこのフェーズは、従来のセキュリティソリューションでは盲点になっていました。そこで登場するのが、Oktaの新しいWorkforce Identity製品、Identity Threat Protection with Okta AIです。ここでは、初回認証後も継続的にセキュリティを確保するというニーズに、Identity Threat Protectionがどのように応えるのかを見ていきます。
Okta Workforce Identityを使用して従業員を保護するエンタープライズレベルのSaaS企業であるMediaXMediaのコンテキスト内でプラットフォームを検討してみましょう。2人のMediaXMedia従業員のレンズを通して、この旅を体験します。まず、セールスエンジニアのTina Smithの洞察を通じて、エンドユーザーエクスペリエンスを検証します。次に、SecOpsチームのリーダーであるJim Frostの視点から、管理エクスペリエンスに移行します。
エンドユーザーの視点
まず、エンドユーザーの日々の業務を見ていきましょう。Tina Smithは、MediaXMediaのセールスエンジニアです。MediaXMediaの製品は現実のさまざまな課題を解決して、クライアントのビジネスに目に見える効果をもたらすものです。Tinaはセールスエンジニアとして、その製品についてクライアントに理解してもらい、活用してもらうよう熱心に取り組んでいます。それでは、Identity Threat ProtectionがTinaの生産性を妨げることなく、1日を通して強固なセキュリティを確保する様子をご紹介します。
朝：アダプティブ認証の活用
8:00：Tinaはフィッシング耐性のある認証要素を使用して、自宅からOktaダッシュボードにログインします。
10:00：市内にある見込み顧客のオフィスを初めて訪問します。
10:05：TinaがOktaダッシュボードから新しいアプリケーションにアクセスしようとします。
- ITPは、彼女の既存のセッションのコンテキストの変化を検出し、ステップアップインライン認証を促します。
Identity Threat Protectionの利点
- 継続的なリスク評価：セッション中にIPの変更を検知しました。
- 高精度なリスク対応：トリガー型のステップアップ認証でセキュリティを強化します。
- ユーザーエクスペリエンス：MediaXMediaのセキュリティプロトコルを認識しているTinaは、追加の検証をすばやく完了します。
午後: 外出先
午後3時：Tinaは別のクライアントとの会議のため、シカゴ行きの飛行機に搭乗します。
午後3時30分：機内Wi-Fiを使い、モバイルデバイスからOkta FastPass経由で会社のeメールとSlackにアクセスします。追加の認証は不要です。
15:45：TinaがSalesforceを開こうとすると、コンテキストの変化を理由に、再びステップアップ認証を求められます。
Identity Threat Protectionの利点
- 継続的なリスク評価：新しいネットワークコンテキストが識別されました。
- 正確なリスク対応により、Tinaのワークフローを中断することなく、適切なセキュリティ対策を確保します。
予期しない脅威
16:30：Tinaは、MediaXMediaのMDMソリューションに登録されている自身のBYOD（Bring Your Own Device: 自分のデバイスを持ち込むこと）デバイスで、個人用メールを確認します。
16:35：コンサートを楽しみにしていたTinaは、フィッシングメールに記載されたリンクを不用意にクリックしてしまい、デバイスが侵害されます。
16:36：Tinaの操作をきっかけに、セキュリティアラートが発生します。
Identity Threat Protectionの利点：
- エンドポイントソリューションは、深刻な脅威を検出し、Identity Threat Protectionに通知します。
- ユニバーサルログアウトが、ティナのすべてのデバイスとサポートされているアプリケーションで実行されます。
- Tinaは、ラップトップとモバイルデバイスでOkta、Google Workspace、Slackからログアウトしています。
解決法
17:30：Tinaがシカゴに到着する頃には、SecOpsチームがすでに脅威を無力化しています。
18:00：セキュリティが確保されて再びオンラインになったTinaは、次のミーティングに臨む準備ができています。
ティナの考察
それはティナにとってアクション満載の平日でした。彼女は、彼女の仕事を中断することなく、セキュリティの脅威を無効にした彼女のセキュリティチームに感謝しています。彼らは、彼女のデバイスやセッションが侵害されることを心配せずに、将来の顧客に彼女の会社のSaaSプラットフォームの力を示すという、彼女が最も得意とすることに集中できるようにしました。
管理者視点
人工知能（AI）の台頭、国家支援型の攻撃、内部脅威など、セキュリティを取り巻く状況が絶えず変化する中、Jimとそのチームは、ますます巧妙化する攻撃を防ぎ続けるという課題に直面しています。そのため、チームはMediaXMedia全体にパスワードレス認証とフィッシング耐性のある認証を導入しました。これで組織内のアイデンティティを完全に保護できたと、Jimは考えています。しかし、攻撃者が組織への侵入方法を次々と見つけ出し、現在では認証後のフェーズも標的にしていることをJimは認識しています。そこで、Jimのチームは最近、Identity Threat Protectionを導入しました。ここからは、Jimの1日を追っていきましょう。
午前：コーヒーとオブザーバビリティで一日を始める
午前8:00：MediaXMediaは、ベスト・オブ・ブリードのセキュリティベンダーを活用して、多様な攻撃対象領域を保護しています。ITPの導入以前、Jim氏のチームは、XDR、ZTNA、SOAR、CASB、ネットワークツールにまたがるダッシュボードとログのレビューに数時間を費やし、こうした攻撃対象領域のいずれかのエンティティにリスクがあるかどうかを判断する必要がありました。Identity Threat Protectionは、アイデンティティ関連のすべての情報をOkta Identity Threat Protectionのダッシュボードとレポートに集約することで、この作業を簡素化します。Oktaにおけるユーザーのリスクは、Okta独自のファーストパーティリスクと、MediaXMediaのセキュリティスタックによって判断されるすべての攻撃対象領域で見られるリスクを総合的に評価したものです。SecOpsチームは現在、Identity Threat Protectionを使用して、ユーザーリスクの評価方法を合理化しています。
- リスクの自動計算：リスクエンジンは、ログイン、セッション、エンティティという3つのカテゴリでリスクを計算し、それぞれを低、中、高に分類します。
- 継続的な評価：ユーザーがOktaを操作していないときでも、リスクレベルはリアルタイムで計算されます。ポリシーの評価ではこのリスクが考慮され、継続的に実行されることで、アクセスライフサイクル全体を通じてユーザーのセキュリティ態勢が常に維持されます。
- 包括的な検知：Oktaのネイティブなファーストパーティシグナルは、アイデンティティプレーンにおけるすべての戦術、技法、手順を網羅します。Oktaは、継続的アクセス評価プロトコル（CAEP）などの標準規格の策定に多大な貢献をしており、その結果、業界をリードするセキュリティベンダーとの統合が実現しています。これらの統合を通じて、Shared Signals Framework（SSF）上でサードパーティのリスクシグナルを共有し、デバイス、ネットワーク、アプリケーション、データなど、アイデンティティプレーンと交差する戦術、技法、手順（TTP）を包括的にカバーできます。SSFにまだ対応していないセキュリティベンダーについては、OktaがシンプルなAPIのデイジーチェーン方式を提供しており、Identity Threat Protectionにリスク情報を統合できます。
Jimのチームは、中リスクまたは高リスクに分類される特定のアクティビティが、実際には一部のユーザーにとっては標準的な行動であることに気づきました。例えば、営業チームのメンバーであるTinaのような従業員は、定期的に特定の場所へ出張するため、認証後にIPアドレスが変更されることが想定されます。精度を向上させるために、Jimは複数の手段を講じることができます。彼のチームは、AIエンジンが特定した誤検知にフラグを立て、リスクエンジンに直接フィードバックを提供できます。さらに、IP除外ゾーンまたは信頼できるプロキシを構成して、これらのIPゾーンからのトラフィックをITP評価の対象から除外することもできます。
午前9時：その後、SecOpsチームは エンティティリスクの検出に関するダッシュボード/レポートを確認します。これにより、リスクの高い検出、その発生元、および対応するアダプティブポリシーのトリガーを監視できます。Oktaの精密なリスク対応機能により、Jimのチームはきめ細かく柔軟なセキュリティアプローチを実現できます。この統合には、いくつかの利点があります：
- Okta管理コンソールでリアルタイムのリスクアラートを受信
- MediaXMediaのセキュリティ状況の全体像を把握する
- 事前定義されたポリシーに基づいて、自動修復アクションを開始します。
Shared Signals Pipelineは、脅威インテリジェンスがシステム間で即座にシームレスに流れることを保証し、MediaXMediaの全体的なセキュリティ体制を強化します。
継続的なリスク評価の有効性を説明するために、ユーザーが朝にSalesforceにログインし、1日を通してアプリケーションを使用するシナリオを考えてみましょう。従来、セッションが侵害された場合（たとえば、Cookieの盗難による）、エンドポイントの検出と対応ソリューションが潜在的なマルウェアをフラグを立てるまで、脅威が検出されない可能性があります。これには数時間かかる場合があります。この検出の遅延は重大な課題をもたらします。セッションの終了、ユーザーグループの調整、Oktaワークフローのトリガー、アカウントのロックなど、後続の修復アクションが間に合わないためです。
Identity Threat Protectionがない場合、Jimのセキュリティチームは、以下を含むかなりの困難に遭遇するでしょう。
- 複数のシステムからの時間のかかる手動データ分析
- 潜在的なセキュリティ問題の特定に費やされる時間
- 修復プレイブックの実行の遅延
- 対応時間の遅延によるチェックされていない損害のリスク
SecOpsチームが進化する脅威に効果的に対処するには、インラインでリアルタイムのアイデンティティ脅威検出と対応（ITDR）が必要です。インラインITDRがなければ、検知の遅れによって重大な脆弱性が生じ、悪意のある攻撃者による被害を許してしまいます。その結果、セッション終了、アカウントのロック、アクセス権の変更といった事後対応策では、データ漏洩やシステムの侵害を防ぐことができなくなります。さらに、こうした遅延は生産性にも影響を及ぼします。セキュリティチームがビジネスの主要な優先事項に集中できず、インシデントの調査に貴重な時間を費やすことになるためです。
2024 年には、組織がデータ侵害を特定するのに平均 194 日、封じ込めるのに 64 日かかりましたが、攻撃者が環境を完全に侵害するには数時間しかかからないことがよくあります。この鮮明なコントラストは、露出を最小限に抑え、深刻な損害を防ぐためのリアルタイム ITDR の緊急の必要性を強調しています。
対照的に、Identity Threat Protection の継続的なリスク評価は、次の利点を提供します。
- セキュリティデータの自動分析が組織全体でリアルタイムに行われます
- 潜在的な脅威を迅速に特定
- ポリシー駆動型の修復アクションが即座にまたはインラインでトリガーされる
- 脆弱性のウィンドウを大幅に削減
このプロアクティブで自動化された方法論により、ジムのチームは潜在的な脅威の一歩先を行くことができ、セキュリティインシデントがMediaXMediaの運用に与える影響を最小限に抑えながら、真の脅威への迅速な対処に集中できます。
Jimのチームは、特定のサイバーセキュリティの脅威に対処するために調整されたIdentity Threat Protectionポリシーをすでに構成しています。Oktaの精密なリスク対応機能は、MediaXMediaに、これらの脅威に対応するためのニュアンスのある柔軟なアプローチを提供します。これらのオプションには以下が含まれます：
- Universal Logout：Universal Logoutフレームワークをサポートするアプリケーションについて、アクティブなアプリケーションセッションを終了させ、すべてのデバイスでOktaのアイデンティティプロバイダー（IDP）セッションを取り消す機能。アプリケーションへのアクセス権が失効するのを待つ必要はもうありません。
- インラインMFA：中リスクのイベントに分類されるインスタンスの場合、インラインでのステップアップ認証を要求するだけで、エンドユーザーへの大きな影響を最小限に抑えることができます。
- Workflowによる対応：高リスクのイベントが発生した場合、JimのチームはOkta Workflowsを使用して自動的に、アラートの送信、JIRAチケットの作成、高リスクユーザーのアクセス制限グループへの振り分けを行います。
この多層的なアプローチにより、Jimのチームはさまざまな脅威レベルに比例して対応できます。たとえば、Identity Threat Protectionがリスク、ネットワークゾーン、デバイス、または動作の変化を識別すると、JimのチームがMediaXMediaのセキュリティ要件に従って構成した軽減および修復アクションを自動的に開始できます。
実際には、これは次のことを意味します。
- リスクの低い変更の場合：システムは後でレビューできるよう、イベントをログに記録するだけの場合があります。
- 中リスクのイベントの場合：ユーザーに追加認証が要求されることがあります。
- 高リスクの状況：システムは、Universal LogoutまたはWorkflowsを活用してセッションを自動的に取り消し、アクセスを制限し、セキュリティチームにアラートを送信して即時の調査を促すことができます。
11:00～16:00：会議やその他のセキュリティ関連業務
午後：MediaXMediaのユーザーに対するアイデンティティの脅威を無力化
16:36：ユーザー「Tina Smith」のデバイスが侵害されたことを知らせるSlack通知を受信します。このリスク情報は、Shared Signals Frameworkを介してJamfから送信されたものです。Identity Threat ProtectionによってTinaのユーザーリスクレベルが自動的に高に設定され、Oktaの「隔離ユーザー」グループに移動されます。その結果、Tinaはすべてのアプリケーションにアクセスできなくなります。
16:40：モバイルデバイス管理システムによって、修復ワークフローが自動的にトリガーされます。デバイスがクリーンな状態になると、Tinaは隔離グループから削除されます。Oktaでのリスクレベルは低にリセットされ、必要なアプリケーションへのアクセスが復元されます。Tinaには、何が起きたのかを説明するメールが自動的に送信されます。Tinaのユーザーアイデンティティに対する脅威は無力化されました。
夕方：太陽を追う
午後5時以降：セキュリティに休みはありません。MediaXMediaの分散したグローバルセキュリティチームが引き継ぎ、Okta Identity Threat Protectionと同様に継続的なカバレッジを確保します。
Jim's reflections
通常であれば、Tina Smithのようなユーザーのアクセスに関する状況をつなぎ合わせて脅威を調査するには、Jimのチームは数時間を要していたでしょう。しかしITPを利用すれば、脅威の検知から修復までを数分で行えます。チームは迅速に対応できたため、ラテラルムーブメント、特権アクセス、データの窃取といったさらなる侵害を防ぐことができました。Identity Threat Protectionが提供する、インラインでリアルタイムかつ包括的な保護と、セキュリティスタックとの優れた連携によって得られる価値を、Jimのチームは実感するようになりました。特に、攻撃対象領域全体でユーザーのリスクを判断するためのワンストップの窓口となった、Identity Threat Protectionのダッシュボードを高く評価しています。
Identity Threat Protectionの高度な機械学習手法により、セッションのリスクがリアルタイムで評価されます。OktaのAIモデルは、広範なデータセットを分析することにより、不規則なパターンを特定し、潜在的な脅威を事前に予測します。AIによって強化されたリスクスコアリングを通じて、ユーザーの行動、デバイスのコンテキスト、ネットワークの詳細を考慮して、各セッションのリスクレベルが継続的に評価されます。
この適応型スコアリング メカニズムにより、セキュリティ プロトコルを迅速に調整し、ユーザーのインタラクションを中断することなく防御メカニズムを強化できます。機械学習アルゴリズムの利用は、正常なアクティビティと疑わしいアクティビティを高度な精度で識別するのに役立ち、それによって正当なユーザーへの不当な妨害を最小限に抑えながら、本物の脅威を優先します。
セキュリティ管理者のJimとエンドユーザーのTinaの1日を通して、Okta Identity Threat Protection with Okta AIは、MediaXMediaのセキュリティポスチャを大幅に強化しながらも、エンドユーザーが必要なリソースに安全にアクセスする際の妨げにはならないことがお分かりいただけたと思います。
