アイデンティティ脅威検知・対応（ITDR）の台頭とアクセス権防衛

背景と概要

企業のセキュリティ境界が物理的な「ネットワーク」から「アイデンティティ（ID）」へとシフトした結果、攻撃者側の主目標も「ネットワークへの侵入」から「ID資格情報（認証トークン、パスワード、Kerberosチケット等）の強奪と悪用」へと完全に移行しました。

従来のEDR（エンドポイント監視）やSIEM（ログ監視）だけでは、奪われた「正規のID」を使って行われる不正アクセス（正当なユーザーになりすました正常に見える通信）を検知しにくいという課題が生じています。これに対し、認証基盤（Active Directory、Microsoft Entra ID、Okta等）そのものやIDの利用挙動に特化して脅威を検知・自動対処する「ITDR（Identity Threat Detection and Response）」の導入が広がっています。

ID基盤が狙われる代表的な攻撃手口

認証プロトコルの仕様やID設定の構造的隙が突かれます。

1. Active Directoryに対する内部攻撃（Kerberoasting / DCSync）

社内網に侵入した攻撃者は、Active Directory内のサービスアカウントから暗号化されたKerberosチケットを取得し、オフラインでパスワードを解読（Kerberoasting）したり、ドメインコントローラーになりすまして全パスワードハッシュを同期・強奪（DCSync）します。

2. パスワードスプレー攻撃（Password Spraying）

単一のアカウントに対して無数のパスワードを試すとアカウントロックがかかるため、逆に「よく使われる1つのパスワード（例: `Spring2026!`）」を用いて、数千人のユーザーアカウントに対して一打ずつ少回数のログインを試み、ロックを回避しながら突破する手法です。

3. MFA疲弊攻撃（MFA Fatigue）およびAiTM

前述の通り、プッシュ通知を連打して疲弊させたり、中間プロキシを挟んでセッションCookieを強奪することで、ID認証を物理的に回避します。

ITDRが提供する技術的価値とアプローチ

ITDRは、ID管理の不備（事前のリスク評価）と、リアルタイムの攻撃挙動（事後対応）の両面を保護します。

1. IDインフラの設定不備と特権暴露の可視化（事前予防）

Active DirectoryやクラウドIdP内の設定不備（脆弱なパスワードポリシー、過剰な特権が与えられたサービスアカウント、使われていないシャドー管理者等）をスキャンし、攻撃者に悪用される前に修正案を提示します。

2. アイデンティティを標的にした不正挙動のリアルタイム検知（事後対応）

「通常とは異なる国からのアクセス」「短い時間でのあり得ない移動（インポッシブル・トラベル）」「Kerberosチケットの不審な要求」など、ID認証の文脈（コンテキスト）における異常をAIやルールベースで即座に検出します。

3. 自動応答とSOAR・IdP連携

異常が検知された場合、ITDRはIdPと連携して、該当アカウントの即時無効化、セッションの全切り離し、または強制的な再MFA要求を自動で実行します。

ITDR導入の実務指針

ID基盤（IdP/AD）の可視化と運用ルールの整備が推奨されます。

1. オンプレミスADとクラウドIdPの統合モニタリング

ハイブリッド環境において、オンプレミスのActive DirectoryとクラウドのMicrosoft Entra ID/Oktaのアクセスログを相関分析できる体制を整えます。

2. アイデンティティリスクに基づくコンディショナルアクセスの適用

ITDRが算出したユーザーのリスクスコア（High/Medium/Low）に連動して、高リスクと判定されたユーザーには重要SaaSへのアクセスを自動制限する動的なポリシーを構築します。