マイクロソフト、サイバーハイジーンのため「パスワードレスに移行すべき」

日本マイクロソフトは2月15日、「Microsoft Security Forum 2023 -社会全体のサイバーハイジーンをめざして-」と題した顧客向けイベントを開催した。同イベントの基調講演では、政府のサイバーセキュリティ対策のほか、マイクロソフトのセキュリティ関連の取り組みが紹介された。

本記事では、Microsoft Defenderを通じて日々収集される脅威インテリジェンスや、マイクロソフトのセキュリティソリューションのアップデート内容を取り上げる。

国家を背景にしたサイバー攻撃、日本では教育業界など標的に

基調講演には、米マイクロソフト ヴァイスプレジデント セキュリティマーケティングのアンドリュー・コンウェイ氏が登壇し、四半期ごとに最新の脅威状況を報告するレポート「Cyber Signals」(現地時間2022年12月14日公開版)を基に、注目すべきサイバー攻撃の動向について触れた。

「2025年までに、企業などで410億個以上のIoTデバイスの導入が見込まれる中、カメラ、スマートスピーカー、鍵、家電製品などのデバイスが攻撃者の侵入口となる可能性がある。当社では現在、1日に65兆の脅威シグナルを収集・分析しているが、お客さまのOTネットワーク内で一般的になっている産業用制御システムの75%において、パッチ未適用の深刻な脆弱性を発見している」とコンウェイ氏は指摘した。

• 

  米マイクロソフト ヴァイスプレジデント セキュリティマーケティング アンドリュー・コンウェイ氏

加えて、国家を背景にしたサイバー攻撃にも引き続き留意すべきだ。コンウェイ氏によれば、過去6カ月にAPAC(アジア太平洋)地域において、日本は3番目に多く同タイプのサイバー攻撃を受けているという。攻撃が多かった業界としては教育、交通、メディア、政府が挙げられた。

米マイクロソフトがこれまでの脅威インテリジェンスや顧客でのサイバー被害を分析したところ、サイバーハイジーンを保つことで98%のサイバー攻撃を防げることわかってきているという。

サイバーハイジーン実現のためには、多要素認証の導入、パスワードの不使用、最小特権アクセスの適用、モダンなエンドポイントプロテクションサービスの利用、機密情報の分類状況の把握、セキュリティポリシーの横断的な適用、データの暗号化などが有効な手段になる。

コンウェイ氏は、「特にパスワードは多くの攻撃者の標的になっているため、企業や組織はパスワードレスに移行すべきだ」と語った。

データアクセスポリシーを動的に調整できる「Microsoft Purview」の新機能

マイクロソフトでは現在、セキュリティソリューションから50カテゴリーの製品を提供しており、各製品の統合をさらに進めることでシームレスなセキュリティ対策の実現を目指している。

イベントでは、データガバナンスやリスクマネジメント、コンプライアンスを支援する「Microsoft Purview」の新機能として、マイクロソフトのブログ(英語)にて、2月6日に発表された「アダプティブプロテクション(適応型保護)」が紹介された。

従来、ユーザーごとのデータアクセスのポリシーは手動で調整する必要があったが、アダプティブプロテクションを利用することで、ユーザーのセキュリティリスクレベルに応じて、データ保護の強度を自動的に調整することができる。

• 

  「Microsoft Purview」の新機能「アダプティブプロテクション(適応型保護)」の概要

「例えば、ユーザーの挙動などからハイリスクと認定したらデータへのアクセスをブロックするといったように、機密性の高いデータへのアクセスに動的なポリシー適用を行える。また、ユーザーにはカウンセリングをするようにアドバイスも通知する」(コンウェイ氏)

ベースとなるソリューションがMicrosoft Purviewであるため、システム内のどこにデータが存在するかを可視化し、データの運用ポリシーをすべてのデータに適用可能だ。データが移動してもポリシーは維持できる。また、規制当局によるサイバーセキュリティの最新の要件に、自社のセキュリティポリシーが準拠しているかも確認できる。

コンウェイ氏によれば、同機能はマイクロソフト製品内のデータだけでなく、ハイブリッドクラウド環境やサードパーティ製のSaaS(Software as a Service)にも適用できるという。

基本的なセキュリティ対策に多要素認証とクラウドストレージを加える

政府はサイバーセキュリティに関する普及啓発強化を目的として、2月1日から3月18日を「サイバーセキュリティ月間」としている。内閣サイバーセキュリティセンターのサイバーセキュリティ月間ポータルサイトでは、最低限実施すべき基本的なサイバーセキュリティ対策を「サイバーセキュリティ対策9か条」として示している。

イベントでは、日本マイクロソフト 技術統括室 チーフセキュリティオフィサーの河野省二氏が、より少ないリソースでサイバーセキュリティ9か条を実施するためのポイントを解説した。

河野氏は、「9か条の1つに、『パスワードを長く複雑にして、使いまわさない』があるが、重要なのはその先、つまり、攻撃者に手間をかけさせて攻撃を諦めさせたり、パスワードの使いまわしによる複数の攻撃を阻止できたりすることだ」と述べ、それらを達成する多要素認証の利用を推奨した。

• 

  日本マイクロソフト 技術統括室 チーフセキュリティオフィサー 河野省二氏

多要素認証の効果としては、パスワードが万が一漏れても、システムへのアクセスや、ユーザーIDの不正利用を阻止できることがある。加えて、自分が利用していないサービスに不正アクセスがあった際に、多要素認証のデバイスに通知が届くなどでパスワードの悪用にユーザー自身が気付ける点も挙がった。

このほか、河野氏はランサムウェア対策としてメジャーな手法であるバックアップについて、クラウドストレージの活用を提案した。

河野氏は、「OneDriveには削除したファイルのアラート機能がある。ランサムウェアの攻撃パターンとマッチするような挙動があったらアラートを出すようになっている。バックアップはデータのレストアに時間がかかるため、事業継続の観点から見ると万全の対策とは言えない。データをすべてオンプレミスで管理している企業は、ランサムウェアによる被害防止の一環として、クラウドストレージにデータを置くことから始めてみてはいかがだろうか」と会場のイベント参加者に呼び掛けた。