BleepingComputerの記事は、「Identity（本人確認）だけではもう不十分。device security（端末の安全性）も一緒に見ないと危ない」という主張です。
これ、かなり筋が通っていると思います。昔は「正しいユーザー名とパスワードを入れたら、それでOK」という世界でも何とかなりました。でも今は違います。攻撃者はかなり賢くて、盗んだ認証情報や乗っ取ったセッションを使って、見た目は普通のログインに見せかけて侵入してきます。
つまり、問題は「本人かどうか」だけではなく、その本人がどんな端末から、どんな状態でアクセスしているかまで見ないといけない、ということです。
この記事で特に重要なのが、MFAをすり抜ける攻撃の話です。
MFAは、パスワードに加えてSMSや認証アプリなどでもう1段階確認する仕組みです。かなり有効なのは事実ですが、最近はphishing kit（本物そっくりの偽ログイン画面や盗み取りツール）を使って、ユーザーと本物のログイン画面の間に攻撃者が割り込む手口があります。
この方式だと、被害者はいつも通りログインし、MFAも通ります。ところがその裏で、攻撃者がsession tokenを手に入れてしまう。
session tokenは、いわば「ログイン済みであることを証明するチケット」です。これを盗まれると、攻撃者は次回以降のチェックを回避しやすくなります。
ここが本当に厄介です。
「認証に成功した」ことと、「安全なアクセスである」ことは別物なんですよね。この記事はそこを強く指摘しています。
Zero Trustは直訳すると「何も信用しない」という考え方ですが、実際には毎回ちゃんと確認し続けるという設計思想です。
有名なNIST Special Publication 800-207でも、単に最初の認証が通ったからといって、その後も信頼し続けるのは危ないとされています。
ただ、現場ではどうしてもidentity-centric、つまり「ID確認中心」になりがちです。
たとえば、
という流れになっている組織は少なくないはずです。
でも攻撃者が同じトークンを使えば、見た目上は本物のユーザーと区別がつきません。ログだけ見ても、かなり見分けにくい。ここはセキュリティ運用の“盲点”としてかなり怖い部分だと思います。
この記事のメッセージは明快で、identityだけでは足りない。deviceも見るべきというものです。
なぜかというと、デバイスはこういう情報を教えてくれるからです。
これらは本人確認だけではわかりません。
しかも重要なのは、ログイン時だけでなくセッション中も見続けることです。
たとえば、ログイン直後は正常でも、その後に
といった変化は普通に起こりえます。
なので、「入る時はOKだった」では不十分なんですよね。アクセス中に状態が変わるのが現実です。ここ、地味だけど本質だと思います。
個人的に面白いと思ったのは、この記事が「デバイス管理を足しましょう」という単純な話で終わっていない点です。
主張はもっと実務的で、
というバランス重視の考え方です。
この「いきなり締め付けすぎない」という視点は大事です。
セキュリティって強くしようとすると、つい現場が死ぬんですよね。厳しすぎるルールは、結局みんなが回避策を探し始める。だから、適度に厳しく、でも運用しやすくが肝です。
記事では、より強いモデルとして次の4つが挙げられています。
ログイン時だけでなく、セッション中も端末の健康状態を見続ける考え方です。
endpoint protectionが切れたら、暗号化が外れたら、信頼を下げる。これが大事。
「誰でもいい端末から入れる」のではなく、登録済みの端末かどうかを見る。
これだけで、盗まれた認証情報の価値はかなり下がります。
危険だから即遮断、ではなく、
これは「ユーザー自身で修復できる仕組み」のことです。
たとえば、暗号化を有効にする、OSを更新する、endpoint protectionを復活させる、といった作業を、ヘルプデスクに頼らず案内できるようにする。
これがないと、セキュリティ強化がそのまま業務停止になりかねません。
この記事の主張は、かなり妥当です。
というか、今の攻撃環境を見ればそうならざるをえない、という感じです。
昔は「IDが正しいか」が中心でしたが、今は攻撃者が正しいIDを奪った後の世界で戦っています。だから、認証だけを神格化しても守り切れない。
「本人です」ではなく「安全な端末からの本人です」まで見て初めて、やっとスタートラインという印象です。
ただし、ここには現実的な難しさもあります。
device verificationを継続的にやると、運用負荷は増えます。BYOD（私物端末の業務利用）やhybrid workが当たり前の職場では、なおさらです。なので、技術だけでなく、使いやすさとの折り合いが必要になります。
この辺りは理想論ではなく、現場設計の勝負ですね。
この記事が伝えているのは、ものすごくシンプルです。
Identityは大事。でも、それだけではもう守れない。
ログインした瞬間だけでなく、その後もデバイスの健全性を見続けることが、Zero Trustを本当に機能させる鍵だ、というわけです。
セキュリティの話はつい難しくなりがちですが、要するに
「誰か」だけでなく「何から」アクセスしているかも見よう
ということです。
この視点は、今後ますます重要になると思います。
参考: Identity Alone Isn't Enough: Why Device Security Has to Share the Load
