新たな境界としてのアイデンティティ：AIでEntra IDを保護する

By Mirko Peters · 2026-08-11 · Updated 2026-08-27

ポッドキャストのコンパニオンブログへようこそ。現代のIT環境は従来の物理的なネットワークの境界を越えて広がり続けており、企業を守るにはセキュリティの境界に対する考え方を根本から見直す必要があります。今回の詳しい解説では、アイデンティティが正式に新たな境界となった理由と、最先端の人工知能がその保護をどのように変えつつあるのかを取り上げます。サインインイベント、異常な動作、分散したログの多さに圧倒されたことがある方は、ぜひ読み進めてください。今回は、Microsoft Security Copilot が Microsoft Entra ID 内でユーザーの動作を評価し、弱いシグナルを関連付け、即座に修復策を提示することで、アイデンティティ防御をどう変えているのかを見ていきます。

Automatically translated with AI from the original post. Read the English original

Titelbild: Identity as the New Perimeter: Securing Entra ID with AI

新たな境界としてのアイデンティティの紹介

長年にわたり、企業のセキュリティは社内オフィスの四方の壁によって定義されてきました。ファイアウォール、物理的なサブネット、ドメインコントローラーが、信頼できる社内リソースと、外部の信頼できない世界とを分ける明確な境界として機能していました。しかし、リモートワーク、クラウド移行、モバイルデバイスが当たり前の運用スタイルになるにつれ、その物理的な境界は消え去りました。現在では、従業員、パートナー、委託先が世界中のコーヒーショップ、自宅のオフィス、空港などから、個人用と会社支給のさまざまなデバイスを使ってサインインしています。その結果、従来のファイアウォールは、企業のセキュリティの勝敗を決める場所ではなくなりました。

代わりに、アイデンティティが主要な攻撃対象領域となっています。境界を突破する複雑な手法よりも、認証情報を盗む方がはるかに容易で、得られるものも大きいため、攻撃者の手法は大きく変化しています。フィッシング、資格情報スタッフィング、セッションハイジャックが、悪意ある攻撃者にとって今や主要な侵入経路です。攻撃者が正規のユーザーアイデンティティを乗っ取ってしまえば、クラウドサービス内を横方向に移動し、機密データにアクセスし、サインインしたユーザーは正規の従業員であるとみなす従来の検知の仕組みを回避できてしまいます。そのため、現代の企業を守るには、アイデンティティを中心としたセキュリティへの大胆な転換が必要です。すべての認証要求を精査し、文脈を踏まえて評価し、リスクを継続的に判断する必要があります。

Security Copilot によるサインイン動作の評価

大規模にサインインの動作を評価することは、人間にとって途方もない課題です。組織では毎日、朝の通常のサインインから、バックグラウンドで実行されるプログラムによる API 呼び出しまで、何百万件もの認証を処理しています。異常なイベントが起きるたびに、セキュリティアナリストがサインインログを手作業で確認し、IP アドレスを照合し、デバイスの準拠状況を確かめるのは、現実的に不可能です。ここで登場するのが人工知能、特に Microsoft Security Copilot であり、状況を大きく変えます。

Security Copilot は、Microsoft Entra ID およびより広範な Microsoft セキュリティエコシステムに組み込まれたインテリジェントなレイヤーとして機能します。ユーザーがサインインを試みると、Copilot は即座に行動のベースラインに基づく評価を開始します。パスワードが正しかったかどうかだけを見るのではなく、認証の試行を取り巻く文脈全体を分析します。いつもと違う地域からサインインしているか。そのユーザーのプロフィールに登録されたことのないデバイスにアクセスしているか。連続する2回のサインインの間の移動速度は、物理的にありえない速さになっていないか。こうした行動パターンを過去のデータと継続的に照合することで、Security Copilot は、静的な条件付きアクセスポリシーをすり抜けたり、大量の通常のログに埋もれて見過ごされたりする高リスクのサインインを、即座に検出できます。

弱いシグナルを関連付けて意味のあるリスクのストーリーにする

現代のサイバー脅威で最も厄介な点の一つは、重大度の低い断片的な兆候に依存していることです。個々のイベント、たとえば小さなパスワードのリセット要求、認識されていないブラウザーのユーザーエージェント文字列、商用 VPN からの短時間のサインインは、それ単独では完全に無害に見えるかもしれません。従来のセキュリティ情報およびイベント管理システムは、こうした事象のそれぞれについて個別のアラートを生成することが多く、現代のセキュリティ運用センターを悩ませる絶え間ないアラート疲れの直接の原因となっています。

Security Copilotは、散在するデータポイント同士をつなぐ「認知的な橋渡し」役として優れています。孤立したイベントを行き止まりとして扱うのではなく、Copilotはユーザー、デバイス、アプリケーションにまたがる複数の弱いシグナルを自動的に相関させ、一貫性のある意味のあるリスクのストーリーを組み立てます。たとえば、アカウントが通常の時間外に新しいデバイスからサインインし、その直後にパスワード変更の試行があり、さらに機密性の高い顧客データへの照会が即座に行われたとします。Copilotはこれらのイベントを結び付け、生の混乱したテレメトリを、攻撃者がどのようにしてID の侵害を試みているのかを正確に説明する、明快な自然言語のナラティブに変換します。この機能により、コンテキストを手作業で突き合わせる面倒な作業がなくなり、アナリストは状況の深刻度をすぐに把握できます。

高リスクのサインインに対する即時の修復アクション

脅威を特定することは戦いの半分にすぎません。実際のセキュリティ態勢が本当に試されるのは、被害が発生する前にそれを食い止められるかどうかです。切迫した状況では、適切な対応を判断したり、複雑な管理コンソールを操作したりするのに1分でも費やすほど、データの持ち出しや横方向への侵入のリスクが高まります。Security Copilotは、検知と対応の間のギャップを埋めるため、アナリストのワークフロー内で、状況に応じた即時の修復提案を直接提供します。

高リスクのサインインがフラグ付けされ、悪意がある、または非常に疑わしいと検証された場合、Copilotは問題を提示するだけではありません。実行可能な修復の経路を提供します。アナリストは、多要素認証の再検証を要求する、パスワードを即座にリセットする、有効なOAuth トークンを取り消す、あるいは危険なセッションを一時的に完全にブロックする、といったコマンドをすぐに実行できます。これらのアクションは Microsoft Entra ID と Defender のツールに直接統合されているため、対応時間は大幅に短縮されます。以前は複数段階の調査と手作業による管理者の介入が必要だった作業が、数回のクリックで無害化できるようになり、組織全体の露出期間を劇的に縮めます。

AI 主導のアイデンティティ防御で実現する、現代のエンタープライズのセキュリティ

サイバー脅威が自動化と高度化を強めるなかで、人間の防御担当者が手作業のプロセス、従来型のツール、事後対応型の姿勢だけに頼ることはもはや困難です。アイデンティティを新たな境界線と位置付け、Microsoft Security Copilot のような高度なAI アシスタントを導入することで、組織は執拗な攻撃者に対して形勢を逆転させることができます。弱い振る舞いシグナルの相関、調査時間の短縮、修復アクションの自動化により、セキュリティチームは終わりのない火消し作業から脱却し、先回りして対処する、回復力のある防御へと移行できます。

AI がセキュリティ運用をどのように変革し、SOC 全体でアラート疲れの克服にチームをどう役立てているのかについて詳しくは、関連するポッドキャストのエピソードをぜひご覧ください: Security Copilot for SOC Operations: Reduce Alert Fatigue。

現在のアラートの量によって、セキュリティアナリストはどのような課題に直面していますか?
セキュリティアナリストは、1日が始まる前にすでに200件を超えることも多いアラートの洪水に圧倒されています。この量が対応の遅れと非効率を生み、進行中の脅威に効果的に対応することを困難にしています。

Security Copilot はセキュリティチームのワークフローをどのように改善しますか?
Security Copilot は既存のセキュリティツールに直接組み込まれているため、アナリストはワークフローを中断することなくAI の支援を利用できます。この統合により、複数のシステムを行き来するのではなく、セキュリティ上の課題の解決に集中し続けやすくなります。

Copilot はセキュリティアラートの理解をどのように深めますか?
Copilot は、複雑な技術的シグナルを分かりやすいナラティブに変換する、包括的なアラートの概要を提供します。アラートの背景と深刻度を説明し、実行可能なインテリジェンスレポートへと変えます。

Security Copilot はセキュリティチームにどのような先回りの機能を提供しますか?
Copilot は複数のリスクシグナルにまたがるパターンを特定できるため、セキュリティチームは高信頼度のアラートに単に対応するだけでなく、ID を標的とする脅威を先回りして積極的に探索できます。これにより、対応中心の姿勢から、脅威ハンティング中心の姿勢へと焦点が移ります。

CoPilotは、デバイス管理とポリシー作成をどのように支援しますか？
Copilotは、セキュリティポリシーの変更がセキュリティ体制とユーザーエクスペリエンスの両方に与える影響を示すことで、エキスパートレベルの分析を自動化します。これにより管理者は、セキュリティ要件とユーザーの生産性のバランスを取りながら、適切な判断を下せるようになります。

M365 Show - Microsoft 365 Digital Workplace Daily の全コンテンツは、m365.show/subscribe からご利用いただけます。