グループウェアや業務用のクラウドサービスで2要素認証を有効にすると、認証の対策はひと通り終わったように感じられます。実際、それは重要な前進です。ただし、その設定が守っているのはそのサービスへのログインであり、社内のPC本体や社内サーバーへのログインは別の入口として残っています。この記事では、クラウド側の多要素認証と端末・サーバー側のログインが守っている範囲の違いを整理し、どこから塞ぐべきかを考えます。なお、UTMやウイルス対策との守備範囲の違いは別の観点なので、そちらは専用の記事で扱っています。
よくある状況 — クラウド側は有効にした、だから対策済み
多要素認証の導入は、まず利用中のクラウドサービスから始まることが一般的です。管理画面から設定できるため着手しやすく、社外から使うサービスほど優先度が高く見えるからです。その結果、認証強化はクラウド側で完了したという認識が組織内に定着しやすくなります。多要素認証そのものの考え方は多要素認証の基本で整理していますが、ここで問題になるのは「どこに」適用したかという範囲の話です。
実際に守られている範囲の違い
クラウドサービス側で有効にした2要素認証は、そのサービスの認証画面を通る通信に対して働きます。一方で、社内には次のように、その設定が及ばないログインが残ります。
- PC本体へのログイン — 端末の電源を入れてWindowsにサインインする場面
- 社内サーバーへのログイン — 業務システムを載せているサーバーへの管理者としての接続
- リモートデスクトップ接続 — 社外や別拠点から社内の端末・サーバーへ入る経路
- ファイルサーバーへのアクセス — 共有フォルダに保存された文書や図面へのアクセス
これらがID・パスワードのみで通れる状態なら、クラウド側の設定とは無関係に、その入口は開いたままです。身近なたとえで整理した記事もあるので、社内で説明する際の材料としてはそちらも使えます。
残った入口が狙われやすい理由
攻撃側は、目的を達成するうえで手間の少ない経路を選びます。強化された経路をわざわざ突破する必要はなく、パスワードだけで通れる経路が残っているなら、そこを試すほうが確実です。ID・パスワードは、他のサービスからの流出や、業務メールを装った手口などを通じて第三者の手に渡ることがあります。社外から社内へ入る経路の注意点や、ランサムウェアへの基本的な備えでも触れているとおり、侵入の起点として認証の弱い箇所が使われる構図は共通しています。
なぜこの抜けが生まれやすいのか
ひとつは、議論の中心がクラウド移行に置かれやすいことです。新しく導入するサービスの設定は検討の対象になりますが、以前から社内で動いている環境は「すでに使えているもの」として、対策の検討対象から外れがちです。社内ドメインとクラウド側のID基盤が併存している状態では、この差がそのまま残ります。
もうひとつは、担当の分かれ方です。クラウドサービスは利用部門や情報システム担当が、社内サーバーは構築を担った保守ベンダーが見ている、といった形で分担されていると、全体を一枚で見る人がいなくなります。それぞれの範囲では問題なく運用されていても、境目に手つかずの入口が残るのはこのためです。サーバーの特権アカウントの扱いも、この境目に置かれやすい項目のひとつです。
端末・サーバー側のログインを強化すると何が変わるか
端末やサーバーへのログインに2要素認証を加えると、ID・パスワードが第三者に渡っただけでは社内に入れなくなります。パスワードが漏れていること自体は防げませんが、それを使って入る段階で止められるようになる、という違いです。
もう一点は、侵入後の動きに対する効果です。ひとつの端末に入られた後、そこを足がかりに他のサーバーや共有領域へ広げていく動きは、次のログインごとに認証を求められることで止まりやすくなります。入口を塞ぐことと、内側での広がりを抑えることの両方に関わるため、優先して検討する価値があります。
自社の抜けを確認する観点
いま自社にどの入口が残っているかは、次の順に確認していくと整理しやすくなります。それぞれについて、パスワードのみで通れる状態になっていないかを見てください。
- PC本体のログイン — 業務用の端末にサインインする際、パスワード以外の要素を求めているか
- 社内サーバーへのログイン — 業務システムやファイルサーバーへの管理者としての接続はどうなっているか
- リモートアクセスの経路 — 社外から社内へ入る手段が、パスワードだけで完結していないか
- 保守ベンダーが使う経路 — 外部の事業者が保守のために使うアカウントと接続方法を把握できているか
- 共用端末・共用アカウント — 複数人で使い回している端末やアカウントが残っていないか
確認して抜けが見つかった場合、次に検討するのは実際の導入方法です。端末側への適用についてはWindows OSログインの2要素認証で具体的に扱っていますので、そちらを参照してください。
まずは自社の状況を確認する
クラウド側と社内側のどちらに抜けが残っているかは、利用しているサービスや社内環境の構成によって異なります。applippliの無料診断では、いくつかの質問に回答するだけで、自社の認証まわりの対応状況を確認できます。全体像を一度整理する材料としてご利用ください。