Latest / M365.FM – Microsoft 365・Copilot・AI ポッドキャスト（日本語） / Microsoft Defender for Identity をわかりやすく解説：Active Directory への ID 攻撃を検知する方法（AI吹き替え）

Transcript

Microsoft Defender for Identity をわかりやすく解説：Active Directory への ID 攻撃を検知する方法（AI吹き替え） · M365.FM – Microsoft 365・Copilot・AI ポッドキャスト（日本語）

0:00
マイクロソフト365、コパイロット、AI、Azure、そして働き方の未来を築く人々が集う10日間への準備はできていますか?
0:07
この1月、M365コンが帰ってきます。さらに規模を拡大して開催します。
0:12
世界中のMVPや業界エキスパートによるライブセッション、実践的なデモ、そして貴重な知見をぜひ体験してください。
0:18
ありきたりなスライドはありません。延々と続く専門用語の羅列もありません。
0:22
コパイロットスタジオ、AIエージェント、ファブリック、セキュリティ、ガバナンス、自動化といった現実の課題に取り組みます。
0:29
ITプロフェッショナル、開発者、ビジネスリーダーのどなたにも最適なセッションをご用意しています。
0:35
充実の10日間で多様な技術を探求し、世界中のコミュニティとつながりましょう。
0:40
ライブで視聴し、組織に持ち帰れる実践的な洞察を得てください。
0:45
2027年1月、10日間、一つのマイクロソフトコミュニティ登録受付を開始しました。
0:51
今すぐご参加ください。
0:54
サイトはm365コン.netです。
0:58
m365コン.netから今すぐ登録を、1月のライブでお会いしましょう。
1:04
攻撃者がファイアウォールを突破するのではなく、正当なパスワードを盗んだらどうなるでしょうか?
1:09
ホストのミルコピーターズです。
1:11
今日は、マイクロソフトディフェンダー法アイデンティティについて解説します。
1:14
多くのセキュリティツールは境界防御に重点を置いています。
1:16
マルウェア、不審なファイル、異常なネットワークトラフィックを監視します。
1:19
しかし、ID攻撃はこれらを完全に回避します。
1:22
パスワードを盗んだ攻撃者は、侵入する必要がないのです。
1:25
彼らはログインするだけであり、外部からは全てが正常に見えます。
1:28
このエピソードの終わりには、マイクロソフトディフェンダー法アイデンティティの正体、その存在理由、そして従来のツールが見逃す脅威をどう監視するのかを理解できるでしょう。
1:37
なぜIDセキュリティが新たな戦場となったのか、その理由から見ていきましょう。
1:41
IDセキュリティの問題
1:42
20年前、ネットワークの保護とは、建物をロックダウンすることを意味していました。
1:46
ファイアウォールを設置し、すべてのマシンでウイルス対策ソフトを動かし、強力なパスワードの使用を推奨していました。
1:51
当時は攻撃者が防御を突破しなければ侵入できなかったため、その方法は非常に有効でした。
1:55
脆弱性を見つけ、悪用し、ネットワーク内を移動する必要があったのです。
1:59
境界線が壁であり、その壁は強固でした。
2:01
しかし、今の時代、そのアプローチは通用しません。
2:03
攻撃者は侵入するのではなく、ログインするのです。
2:06
フィッシング、データ侵害、単純な推測などで正規のパスワードを手に入れ、正面玄関から堂々と入ってきます。
2:11
今やランサムウェア攻撃の79%が侵害された視覚情報に起因しています。
2:14
これは特定の限られた問題ではありません。
2:16
攻撃者の主な侵入経路であり、その数値は深刻です。
2:19
2025年には、組織の70%が少なくとも一度はIDに関連するセキュリティ侵害を経験しました。
2:23
平均復旧コストは164万ドルに達します。
2:26
これは身の代金だけでなく、ダウンタイム、ホレンジック調査、弁護士費用、規制当局の罰金、そして評判の低下なども含まれます。
2:32
中堅組織の場合でも、その中間コストは75万ドルに達します。
2:36
つまり、これは理論上のリスクではなく、至る所で起きている現実なのです。
2:39
これが根本的な問題です。
2:41
従来のセキュリティツールは、マルウェアや不審なファイル、異常なネットワーク接続を監視しますが、ユーザーの行動までは理解していません。
2:46
ログインが正常なものか、それとも不審なものかを見分けることはできないのです。
2:49
盗んだパスワードを使う攻撃者は、正規のユーザーと全く同じように見えます。
2:52
同じユーザー名、同じパスワード、同じ認証プロセスが使われるからです。
2:55
唯一の違いは、その意図にあります。
2:57
異常な行動パターンを監視していなければ、手遅れになるまで気づくことはできません。
3:01
このギャップを埋めるために構築されたのが、ディフェンダー法アイデンティティです。
3:04
これは、監視者を監視する存在です。
3:06
IDインフラを監視し、各ユーザーやデバイスにとっての正常を学習した上で、それに当てはまらないものを検知します。
3:11
マルウェアではなく、理屈に合わない行動を探し出すのです。
3:14
では、ディフェンダー法アイデンティティとは一体何なのか、どう機能するのでしょうか。
3:18
ディフェンダー法アイデンティティとは何か。
3:20
最もシンプルな定義を挙げましょう。
3:22
マイクロソフトディフェンダー法アイデンティティは、オンプレミスのアクティブディレクトリをIDベースの攻撃から守るクラウド型セキュリティツールです。
3:28
エントラーIDとは別物であることに注意してください。
3:30
これはよく混同される点です。
3:32
ディフェンダー法アイデンティティは、ドメインコントローラー、アクティブディレクトリ、ADFSサーバーなど、オンプレミスのIDインフラに重点を置いています。
3:38
これは自社のデータセンターやサーバー上に存在する資産を対象としています。
3:41
クラウド専用のソリューションではありません。
3:43
では、どのように機能するのでしょうか。
3:44
行動分析を使用しています。
3:46
各ユーザーや各デバイスにとっての正常を学習し、異常があれば警告を発します。
3:50
全従業員のルーチンを把握している警備員を想像してください。
3:53
誰が午前8時に出社し、誰が遅くまで働き、誰がサーバー室にアクセスするのかを把握しています。
3:57
午前3時に誰かが現れてサーバー室のドアを開けようとすれば、警備員はすぐに気づきます。
4:02
Defender for Identityがデジタル環境で言っているのは、まさにこれと同じことです。
4:05
このツールが何ではないのか、明確にしておきましょう。
4:08
アンチウイルスでも、ファイアウォールでもパッチ管理ソリューションでもありません。
4:11
これは全く異なるカテゴリーである、ID脅威検出です。
4:14
悪意のあるファイルを探すのではなく、悪意のある行動を探すのです。
4:17
今日の最も危険な攻撃はマルウェアを使わず、正規の認証情報を使用するため、この違いが非常に重要になります。
4:23
Defender for Identityは、マイクロソフトの拡張的な検出及び対応プラットフォームであるMicrosoft Defender XDRの一部として組み込まれています。
4:29
実際には、Defender for Endpoint、Defender for Office 365、Microsoft Sentinelとシグナルを共有することを意味します。
4:35
Defender for Identityがドメインコントローラーへの疑わしいログインを検知すると、Defender for Office 365が検知したフィッシングメールや、Defender for Endpointが検知したユーザーのノートPC上の疑わしいプロセスと関連づけることができます。
4:47
真の価値は単一のアラートではなく、これらのツールが連携して攻撃の全容を明らかにする点にあります。
4:53
単独のアラートではご検知のように見えるかもしれませんが、フィッシングメール、侵害された視覚情報、そしてラテラルムーブメント、横展開を含む全体像を見れば、何が起きたのか正確に把握できます。
5:01
仕組みを詳しく見て、どのように脅威を検知しているのかを確認しましょう。
5:05
仕組み、センサー、そして行動分析についてです。
5:07
Defender for Identityは、ドメインコントローラーにインストールする軽量なセンサーを使用します。
5:11
それがパズルの重要なピースです。
5:13
センサーがなければ、何も始まりません。
5:15
センサーはデータを収集するように設計されており、バックグラウンドで静かに動作し、ネットワークトラフィックやWindowsイベントを読み取っても、ドメインコントローラーの動作を遅くすることはありません。
5:24
これらのセンサーは、システムの目や耳のようなものだと考えてください。
5:28
これらは主に3種類の情報を収集します。
5:30
マシン間を流れる認証リクエストを見るネットワークトラフィック、OSレベルで何が起きているかを見るWindowsイベント、そして誰がいつどこからログインしているかを見る認証アクティビティです。
5:39
収集されたすべてのデータは、分析のためにDefender for Identityクラウドサービスへ送信されます。
5:43
センサー自体が重い処理を行うのではなく、データの収集と転送だけを担います。
5:47
データがクラウドに到達すると、本格的な分析が始まります。
5:49
クラウドサービスは、環境内の全ユーザーのベースラインプロファイルを構築します。
5:54
ユーザーの標準的なログイン時間、普段使用するワークステーション、通常アクセスするリソースを学習します。
5:59
これが、行動、に関する部分です。
6:01
システムには、何が正常か、というルールはあらかじめ設定されていません。
6:04
実際の環境から学習します。
6:06
組織ごとに正常な状態は異なるため、これは重要なことです。
6:09
そのベースラインから何かが逸脱した際に、アラートが発せられます。
6:12
例えば、普段午前9時から午後5時までログインするユーザーが、突然午前3時に、使ったことのないワークステーションから認証を行った場合などです。
6:18
これは逸脱であるため、システムはそれをフラグ付けします。
6:20
直ちに悪意があると決めつけるわけではありませんが、セキュリティチームが調査できるようアラートを通知します。
6:24
では、実際にどのような種類の攻撃を検知するのでしょうか。
6:27
リストは膨大ですが、主要なものをいくつか挙げます。
6:28
パスザハッシュ攻撃。
6:30
攻撃者がパスワードハッシュを盗み、それを使って認証を行うものです。
6:33
ケルベロースティング。
6:34
攻撃者が特権アカウントのサービスチケットを要求し、オフラインで解析する手法です。
6:38
ゴールデンチケットの使用。
6:39
攻撃者がケルベロスチケットを偽造し、ドメイン全体へのアクセス権を取得するものです。
6:43
ディークシンク攻撃。
6:44
攻撃者がドメインコントローラーになりすまし、パスワードハッシュを要求するものです。
6:48
そしてラテラルムーブメント。
6:49
攻撃者が侵害したアカウントを使ってマシンからマシンへと移動する手法です。
6:53
各検知結果は、攻撃手法の業界標準であるMITREATT&CKフレームワークにマッピングされます。
6:58
そのため、ディフェンダー法アイデンティティが何かをフラグ付けする際、単に不審なアクティビティと伝えるだけではありません。
7:03
これはパスザハッシュ攻撃であり、該当する手法は、といった情報が示されます。
7:07
これにより、セキュリティチームは直面している脅威と、その対応策についてのコンテキストを即座に把握できます。
7:12
ここが決定的な違いです。
7:14
単に何かが起きたと知らせるだけでなく、攻撃のタイムラインを示してくれます。
7:17
攻撃者がどのようにA地点からB地点へ移動したかを追跡します。
7:20
そのため不審なログインという単一のアラートではなく、物語全体が見えてきます。
7:24
最初の侵害から、ラテラルムーブメント、権限昇格、そしてドメインの支配まで、すべてが単一のタイムラインで結びつけられます。
7:30
それが、単にアラートを出すツールと、理解を助けてくれるツールの違いです。
7:34
攻撃の各ステージを追いながら、ディフェンダー法アイデンティティがどこで検知を行うかを見ていきましょう。
7:39
それが、このツールが捉える攻撃のライフサイクルです。
7:41
攻撃者は予測可能なパターンに従います。
7:43
決してランダムではありません。
7:45
彼らは段階を踏んで進み、各段階には特定の目標があります。
7:48
その段階とは、偵察、認証情報の侵害、ラテラルムーブメント、そしてドメインの支配です。
7:52
これらの段階を理解すれば、ディフェンダー法アイデンティティがどこで機能するかが正確にわかります。
7:56
では、実際にはどのような状況でしょうか。
7:58
まずは偵察から始めます。
7:59
攻撃者はまだアクセス権を持っていません。
8:01
彼らは周囲を観察し、ネットワークをスキャンして、アカウント、グループ、信頼関係を探っています。
8:06
誰が管理者なのか、どのアカウントに高い権限があるのか、ドメインの構造はどうなっているのかを特定しようとします。
8:11
彼らは環境をマッピングするために、ブラッドハウンドのようなツールをよく使用します。
8:14
ディフェンダー法アイデンティティは、不審なLDAPクエリや列挙の試みを監視することでこれを検知します。
8:19
普段そんなことはしないワークステーションから、ドメイン管理者のアカウントをすべて紹介し始めるとアラートが発砲されます。
8:24
攻撃者はまだ何も有害なことはしていませんが、彼らが探っていることは把握できます。
8:28
次は認証情報の侵害です。
8:29
攻撃者はフィッシング、データ漏洩、あるいはダークウェブでの購入などを通じてパスワードを入手します。
8:34
これで、正当なユーザー名とパスワードを手に入れたことになります。
8:37
ディフェンダー法アイデンティティは、この段階で通常とは異なるログインをフラグ付けします。
8:41
通常とは異なるログインとは、新しい場所から午前3時にサインインしたり、普段5つしかアクセスしないファイルに突然数百もアクセスしたりすることです。
8:48
これらは挙動の逸脱であり、マルウェアの検知を必要としません。
8:51
必要なのは、何が、通常、の状態かを理解しておくことだけです。
8:54
そしてラテラルムーブメントが始まります。
8:56
攻撃者は足掛かりを得ましたが、まだ特権アカウントではない可能性が高いです。
8:59
彼らは高価値な標的に到達するため、ネットワーク内を移動する必要があります。
9:02
パスザハッシュや、パスザチケット、オーバーパスザハッシュといった手法を使い、マシンからマシンへと飛び移ります。
9:07
一つ一つの動作は正当な認証のように見えますが、そのパターンは不審です。
9:10
ディフェンダー法アイデンティティは、認証の異常を監視することでこれを検知します。
9:14
もしあるユーザーアカウントが5分間に3台の異なるワークステーションから認証を行った場合、それは通常の人の振る舞いではありません。
9:18
それは攻撃者が横展開、ラテラルムーブメントしている証拠です。
9:21
最後に、ドメインの支配です。
9:22
何が見えるか、アラート、インシデント、そして対策の実行についてです。
9:25
セキュリティ、マイクロソフト.コムのマイクロソフトディフェンダーポータルを開き、ID、アイデンティティーズに移動します。
9:29
そこがあなたのコマンドセンターです。
9:31
最初に目にするのはダッシュボードで、ID環境で何が起きているかの概要を素早く把握できます。
9:37
監視対象のユーザー数、アクティブなアラートの数、センサーの健全性などが確認できます。
9:41
数分ではなく、数秒で状況をスナップショットとして把握できるように設計されています。
9:45
ダッシュボードにはIDセキュリティスコアという指標もあります。
9:49
これは0から100の数値で、IDインフラをどれだけ適切に保護できているかを示します。
9:53
これは理論上の指標ではなく、実際の設定や推奨事項に基づいたものです。
9:56
センサーが導入されていないドメインコントローラーがあれば、スコアは低下します。
9:59
多要素認証を設定していないユーザーがいれば、スコアは低下します。
10:03
問題を修正すれば、スコアは上がります。
10:05
これはセキュリティ体制を継続的に追跡するための具体的な方法です。
10:08
では、次にアラートについてお話しします。
10:10
アラートは、不審な挙動の条件をあらかじめ定義した検知ルールによって生成されます。
10:15
長年の脅威リサーチに基づき、マイクロソフトは何百ものルールを構築してきました。
10:19
ユーザーが異常な場所からログインした場合、それが検知ルールの一つです。
10:22
誰かがDC同期攻撃を試みた場合も、検知ルールが働きます。
10:25
攻撃者がゴールデンチケットを使用した場合も、検知ルールによって捉えられます。
10:28
システムは、環境内で起きていることをこれらのルールと常に照らし合わせています。
10:32
しかし重要なのは、複数のアラートが組み合わさって一つのインシデントになるということです。
10:36
なぜなら、攻撃者は不審な行動を一度だけ行うわけではないからです。
10:39
彼らは多くの行動を連続して行います。
10:41
単独のアラートではご検知に見えるかもしれませんが、
10:43
偵察、視覚情報の侵害、横展開、ドメイン支配といったインシデント全体を見れば、
10:47
何が起きたのかが正確にわかります。
10:48
インシデントとは、物語のようなものです。
10:50
アラートは、その物語を構成する個々の文章にすぎません。
10:53
各インシデントには攻撃グラフが含まれています。
10:55
これは、攻撃者が環境内をどのように移動したかを示す視覚的なマップです。
10:58
開始点から、途中の経由地、そして最終目的地までが表示されます。
11:01
どの視覚情報が侵害され、どのマシンがアクセスされ、
11:04
どのような技術が使用されたのかを確認できます。
11:06
まるで攻撃全体をセキュリティカメラの録画で見ているかのような、
11:08
図解による確認が可能です。
11:10
しかも、ポータルから直接アクションを実行できます。
11:12
侵害されたユーザーアカウントを特定しても、
11:14
ドメインコントローラーにログインして無効化する必要はありません。
11:17
ディフェンダーポータルから直接実行できます。
11:19
アカウントの無効化パスワードリセットの強制、
11:21
サインイン施行の要求などが可能です。
11:23
センサーがオンプレミスのアクティブディレクトリと通信し、
11:26
即座に変更を反映します。
11:27
ドメインコントローラーにセンサーを配置する強みがここにあります。
11:30
ただ監視するだけでなく、実行もできるのです。
11:32
メール通知を設定することも可能です。
11:34
重大なアラートが発生すると、
11:36
セキュリティチームに即座にメールが届きます。
11:38
ダッシュボードを24時間365日監視する必要はありません。
11:40
システムが通知してくれます。
11:42
アラートはMITREAT&CKフレームワークにマッピングされているため、
11:46
ポータルを開く前にどのような攻撃か把握できます。
11:48
基本機能以外にも、知っておくべき高度な機能がいくつかあります。
11:52
ハニーポッド、タグ付け、および除外設定です。
11:54
まずはハニーポッドアカウントについて説明しましょう。
11:56
これらはハニートークンとも呼ばれ、名前の通りです。
11:59
攻撃者を誘い出すために特別に作成した偽のユーザーアカウントです。
12:02
エクスチェンジ管理者や、ドメインバックアップサービスといった魅力的な名前を付けます。
12:06
高い権限を持つグループメンバーシップを与えます。
12:09
ですが、ここで重要な点があります。
12:10
これらのアカウントには実際の用途はありません。
12:12
誰であってもログインしてはなりません。
12:14
正当な目的で使われることは一切ないのです。
12:16
ただ待ち構えているだけです。
12:17
もしハニーポッドアカウントにログインがあれば、すぐにわかります。
12:20
カスタム監視や複雑な検出ルールを設定したからではありません。
12:23
ディフェンダー4アイデンティティは、そのアカウントが本来使われるべきではないことを知っているからです。
12:27
誰かが認証を行うと即座にアラートが発砲され、何が起きたのか正確に把握できます。
12:31
攻撃者がデコイ、囮のアカウントを発見し、利用を試みたのです。
12:34
これはご検知ではなく、確定的な侵入志向です。
12:37
これらはディフェンダーポータルの設定、IDとトークンから設定できます。
12:41
設定にかかる時間は約30秒です。
12:43
エンティティのタグ付けも別の機能です。
12:44
特定のユーザー、デバイス、グループを機密としてマークし、監視を強化できます。
12:49
それが何を意味するか考えてみてください。
12:51
ドメイン管理者アカウントを機密としてタグ付けすれば、ディフェンダー4アイデンティティはそのアカウントの全アクションをより詳細に監視します。
12:56
通常動作からの逸脱は、より高い優先度でフラグが立てられます。
13:00
そのアカウントに関わるラテラルムーブメント、横展開、ワイスカレーションされます。
13:03
最も価値ある資産にGPSトラッカーを付けるようなものです。
13:06
そして、除外ルールもあります。
13:08
正当なセキュリティツールや管理プロセスが誤報を引き起こすことがあります。
13:11
脆弱性スキャナーがネットワーク内の全マシンに対して認証を行うような場合です。
13:14
それは不審な動きに見えてしまいます。
13:16
バックアップソフトウェアが通常とは異なる時間にドメインコントローラーへアクセスすることがあります。
13:19
これも疑わしい動作に見えるかもしれません。
13:21
特定のIPアドレス、デバイス、またはユーザーを特定の検出ルールから除外することで、
13:25
誤検知によるアラート級の乱雑さを防ぐことができます。
13:27
グローバルな除外設定は、すべての検出ルールに適用されます。
13:30
ルールごとの除外設定は、より敵を絞った対応が可能です。
13:33
目的は同じです。
13:34
ノイズを減らし、セキュリティチームが真の脅威に集中できるようにすることです。
13:37
Defender for Identityは単独で機能するものではありません。
13:39
全体像の中でどのように位置づけられるかを見ていきましょう。
13:41
マイクロソフトのセキュリティエコシステムにおける役割についてです。
13:44
では、Defender for Identityはマイクロソフトのより大きなセキュリティの全体像にどう適合するのでしょうか。
13:48
Defender XDRというパズルのピースの一つと考えてください。
13:51
各ツールは単体でも有用ですが、連携させることで真の力を発揮します。
13:55
Defender for Endpointはデバイスを保護します。
13:57
すべてのラップトップやサーバーをチェックし、マルウェアや不審なネットワーク活動を監視します。
14:01
Defender for Office 365はメールやコラボレーションツールを保護し、
14:05
フィッシング詐欺や悪意のある添付ファイルを検出します。
14:07
そしてDefender for Identityはユーザーアカウントを監視し、
14:10
視覚情報の盗難、ラテラルムーブメント、ドメイン支配の兆候を探ります。
14:13
各ツールは単体でも有用ですが、重要なのはこれらが連携してシグナルを共有し、点と点を結びつける点です。
14:19
ドメインコントローラーへの不審なログインを例に挙げます。
14:21
そのログインはDefender for Office 365がすでに検出済みのフィッシングメールと関連している可能性があります。
14:26
攻撃者はメールボックスを侵害し、現在ラテラルムーブメントを試みている状態です。
14:30
Defender for Identityがログインを検知し、Defender for Office 365がメールを特定し、
14:34
Microsoft Defender XDRプラットフォームがこれらを一つのインシデントとしてまとめます。
14:37
これこそが個別の単発アラートと攻撃の全容を示す一連のストーリーとの違いです。
14:41
また、MicrosoftのクラウドネーティブシームであるMicrosoft Sentinelとも統合されます。
14:45
高度なハンティングやカスタム検出を行いたい場合はここを使用します。
14:48
クストクエリを作成すれば、ID、エンドポイント、メール、クラウドアプリなど、
14:52
すべてのDefenderデータ全体を検索し、自動ルールでは捉えきれないパターンを発見できます。
14:56
さらに、Microsoft Entry ID Protectionとも連携します。
14:59
その違いは以下の通りです。
15:01
Entry ID Protectionは、クラウドベースのサインインリスクを処理します。