Microsoft Entra ID でのインポッシブルトラベル検出の使いこなし

By Mirko Peters · 2026-08-28

人気のポッドキャストシリーズに付随するブログへようこそ。クラウド環境が拡大し、リモートワークが世界中の組織で当たり前の前提になるなか、デジタルな境界を守ることはもはやファイアウォールや従来のネットワーク制御だけの話ではありません。今日では、境界防御は ID に始まり ID に終わります。攻撃者もそれを理解しているため、侵害された資格情報が現代のサイバー攻撃における主要な侵入経路であり続けています。この包括的なガイドでは、Microsoft の ID プラットフォームに組み込まれた最も強力な行動分析機能の一つ、インポッシブルトラベル検出を詳しく解説します。巧妙な攻撃者がテナント内の奥深くへ侵入する前に検知したい場合、これらの異常を構成、監視、調査する方法を理解することは欠かせません。

Automatically translated with AI from the original post. Read the English original

ポッドキャストシリーズに付随するブログへようこそ。クラウド環境が拡大し、リモートワークが世界中の組織で当たり前の前提になるなか、デジタルな境界を守ることはもはやファイアウォールや従来のネットワーク制御だけの話ではありません。今日では、境界防御は ID に始まり ID に終わります。攻撃者もそれを理解しているため、侵害された資格情報が現代のサイバー攻撃における主要な侵入経路であり続けています。この包括的なガイドでは、Microsoft の ID プラットフォームに組み込まれた最も強力な行動分析機能の一つ、インポッシブルトラベル検出を詳しく解説します。巧妙な攻撃者がテナント内の奥深くへ侵入する前に検知したい場合、これらの異常を構成、監視、調査する方法を理解することは欠かせません。

仕組みに入る前に、関連するポッドキャストエピソード「Detect Impossible Travel and Token Replay in Microsoft Entra ID」もぜひご覧ください。このエピソードでは、これらのセキュリティの仕組みを実際の事例と実践的な知見を交えて解説しています。

Microsoft Entra ID におけるインポッシブルトラベル検出の概要

ID は新たなコントロールプレーンです。脅威アクターが組織を標的にする場合、盗まれた、フィッシングされた、または漏えいしたユーザー資格情報でサインインできれば、強固なネットワーク境界防御を突破する必要はほとんどありません。しかし、認証の動作にはデジタルな痕跡が残ります。ユーザーがニューヨークから正常にサインインし、その 10 分後に東京から正常にサインインした場合、物理的な法則に反しています。人がその距離をその時間で移動することは物理的に不可能だからです。

Microsoft Entra ID は、高度なヒューリスティクス、機械学習、そして膨大な脅威インテリジェンスデータを活用して、こうした不一致を検出します。インポッシブルトラベル検出は Microsoft Entra ID Protection の中核機能です。過去のサインインパターン、IP アドレスの位置情報データベース、速度計算を分析することで、通常の地理的移動では説明できない認証要求にフラグを立てます。こうした異常を特定できれば、セキュリティチームは即座に対応し、脅威アクターがデータの持ち出し、永続化、二次攻撃を実行する前に遮断できます。

インポッシブルトラベル異常の仕組みを理解する

セキュリティ制御を効果的に構成するには、まず検出エンジンが内部でどのように動作するかを理解する必要があります。インポッシブルトラベルは Microsoft Entra ID においてリスクイベントとして分類されます。サインインが発生すると、Identity Protection エンジンは次のいくつかの異なるパラメーターを評価します。

• 地理座標: システムは、クライアントデバイスが使用するパブリック IP アドレスに基づいて、サインイン試行の発信元の場所を特定します。
• 時間差: 現在の成功したサインインと、そのユーザーの直前の成功したサインインとの正確なタイムスタンプの差です。
• 速度と実現可能性: エンジンは二つの場所間の距離を計算し、一般的な商用交通手段を使って必要な移動速度が人間にとって現実的かどうかを判断します。
• 異常なコンテキスト: システムは、ユーザーが移動先の IP アドレス、デバイス、またはネットワークを以前に使用したかも確認します。これにより、真のインポッシブルトラベルと、企業 VPN の利用のような日常的な動作を区別します。

企業 VPN の出口ノードが、物理的なユーザーから何千マイルも離れたデータセンターを経由してトラフィックを転送することにより、誤検知が発生する場合があります。ID 保護ポリシーを調整し、名前付きの場所を組み込むことで、こうした誤検知を軽減できます。これにより、セキュリティ運用センター (SOC) は、日常的なインフラの特性ではなく、本当に悪意のある意図に集中できます。

セキュリティ監視と ID 保護の構成

検知は、自動化された対応機能によって裏付けられて初めて価値があります。不可能な移動のアラートを人手だけで確認するのは、大きなリスクを伴います。攻撃者は機械の速度で動くため、セキュリティ態勢も同じ速さで対応する必要があります。Microsoft Entra ID Protection の構成では、検出された異常に動的に反応する、リスクベースの条件付きアクセス ポリシーを確立することが重要です。

セキュリティ監視の枠組みを設定する際は、リスクレベルに基づいて段階的な対応のしきい値を設けることをお勧めします。

• 低リスクのサインイン: SIEM でのログ記録と監視をトリガーできます。ユーザーの操作を即座に妨げることはありませんが、ベースラインのアラートを設定することが重要です。
• 中リスクのサインイン: 多くの場合、認証要件を強化する必要があります。ユーザーに高保証の多要素認証 (MFA) のチャレンジを完了させるか、セルフサービス パスワード リセット (SSPR) を実行させます。
• 高リスクのサインイン (不可能な移動と未知のプロパティの組み合わせなど): 機密性の高いクラウド リソースへのアクセスを直ちに完全にブロックし、アクティブなセッション トークンを取り消して、ID の所有者と管理者にアカウントの修復を強制する必要があります。

静的なセキュリティ ルールから、リアルタイムのリスクベースのアクセス ポリシーへ移行することで、不審な動作が検出された際に自動的に強化される、適応型の境界を構築できます。

地理的に離れた場所からのサインインの調査

不可能な移動のアラートが発生した場合、インシデント対応チームは、イベントを効率的に調査するための明確な手順書が必要です。十分な調査とは、単にユーザーのパスワードをリセットするだけでなく、侵害の可能性の範囲を特定するための完全なフォレンジック レビューを行うことを意味します。

まず、対象のユーザー アカウントに関連付けられたサインイン ログを取得します。User-Agent の文字列、使用されたクライアント アプリケーション、IP アドレスを注意深く確認してください。2 回目のサインインは、既知の悪意のある ASN から発生したものでしたか、それとも Tor の出口ノードでしたか。次に、トークンの再生やセッション ハイジャックの兆候を確認します。攻撃者が資格情報だけでなくセッション トークンを盗んだ場合、標準の MFA プロンプトを完全に回避できるため、不可能な移動のアラートは侵害を明らかにする数少ない指標の 1 つとなります。

調査のすべての手順を文書化してください。監査ログの保存、サインインの異常の記録、トークンの有効期間の記録を行うことで、組織はコンプライアンスを維持し、今後の攻撃の変種から環境を強化するために必要な正確な情報を得られます。

Microsoft Sentinel と Defender を活用した脅威の検知

Microsoft Entra ID Protection はネイティブなリスク検出機能を提供していますが、現代のクラウド フォレンジックと脅威ハンティングには、集中化された統合セキュリティ プラットフォームが必要です。ここで登場するのが Microsoft Sentinel と Microsoft Defender XDR です。

Microsoft Sentinel はクラウドネイティブな SIEM として機能し、ID ログ、Azure アクティビティ ログ、エンドポイントのテレメトリを取り込み、個別のアラートを統合インシデントに相関付けます。たとえば、Entra ID で発生した不可能な移動のアラートを、ユーザーの社用ノートパソコン上で Microsoft Defender for Endpoint がフラグを立てた不審なプロセス実行と自動的に関連付けることができます。このドメインをまたぐ相関分析により、SOC アナリストは攻撃の全体像を把握できます。アカウントの侵害がエンドポイントでの実行につながったのか、その逆なのかが明らかになります。

Sentinel でカスタムの分析ルールを作成することで、セキュリティ チームは特定の脅威パターンを探索できます。たとえば、不可能な移動のイベントの直後に受信トレイの転送ルールが作成されたり、サービス プリンシパルが変更されたりするケースです。これらのツールを統合することでセキュリティのサイロが解消され、チームは的確に対応できるようになります。

クラウド ID の侵害を軽減するためのベスト プラクティス

不可能な移動の悪用が壊滅的なデータ侵害にエスカレートするのを防ぐには、クラウド セキュリティの基本的なベスト プラクティスを遵守する必要があります。ゼロ トラスト アーキテクチャを導入することは、組織が採用できる最も効果的な戦略です。常に信頼せず、常に検証し、侵害を前提とします。

Microsoft クラウド環境全体で、次の強化策の導入を検討してください。

• フィッシング耐性のある MFA の強制: 攻撃者が中間者として介入する攻撃に脆弱な、従来の SMS や基本的なプッシュ通知からの移行を進めてください。FIDO2 セキュリティ キーまたは Windows Hello for Business を導入します。
• 名前付きの場所を構成する: 不可能な移動の誤検知を減らすため、会社オフィスのパブリック IP 範囲と信頼済みの VPN エンドポイントを Entra ID で明示的に定義してください。
• レガシ認証を制限する: レガシ認証プロトコルは最新のセキュリティ評価（リスクベースの条件付きアクセス ポリシーなど）に対応していないため、完全にブロックしてください。
• 特権ロールを定期的に監査する: 管理者権限を持つアカウントのリスクイベントを十分に監視し、厳格なトークン有効期間ポリシーを適用してください。
• 明確なインシデント対応プレイブックを整備する: ID の侵害が確認された場合に、SOC がセッションの取り消し、資格情報のリセット、アプリケーションのアクセス許可の監査を正確に実施できるようにしてください。

セキュリティ チームのための結論と次のステップ

Microsoft Entra ID における不可能な移動の検出を習得することは、クラウド セキュリティの成熟度を高めるための重要な一歩です。サイバー脅威は進化を続け、クラウド ID をますます巧妙に狙うようになっています。事後対応だけに頼る方法はもはや現実的ではありません。地理的な異常の仕組みを理解し、リスクベースの自動ポリシーを構成し、Microsoft Sentinel と Defender XDR を活用することで、セキュリティ チームは、深刻な侵害につながる前に脅威を検出、封じ込め、無力化できます。

ゼロ トラストの考え方を持ち、ID 基盤を継続的に監査し続けてください。これらの概念の実践的な内容や、Microsoft エコシステム全体へのどのように適用されるかについて、専門家による議論をお聴きいただくには、関連エピソードの Detect Impossible Travel and Token Replay in Microsoft Entra ID もぜひお聴きください。学び続け、防御を継続的にテストし、攻撃者より一歩先を行ってください。