Microsoft Entra ID におけるサインイン リスクとユーザー リスクの違い：何が異なるのか？

By Mirko Peters · 2026-10-26

Microsoft Entra ID Protection におけるサインイン リスクとユーザー リスクの重要な違いと、条件付きアクセスを適切に構成する方法を解説します。

Automatically translated with AI from the original post. Read the English original

Microsoft Entra ID Protection のサインイン リスクとユーザー リスクは、それぞれ異なるセキュリティ指標です。サインイン リスクは、個々の認証試行が疑わしいかどうかを評価します。一方、ユーザー リスクは、複数のセッションにわたってアカウントの中核となる資格情報が侵害されたかどうかを判断します。

重要なポイント

• サインイン リスクは、特定の認証試行が正当なアカウント所有者からのものではない確率を評価します。
• ユーザー リスクは、アカウントの資格情報が恒久的に侵害されたか、データ侵害で漏えいしたかどうかを評価します。
• 管理されていない単一のサインイン リスクが、時間の経過とともに徐々に蓄積され、高リスクのユーザー ステータスとしてフラグが立つことがあります。
• サインイン リスクは通常、MFA による確認で即座に解決されますが、ユーザー リスクでは多くの場合、安全なパスワードの変更が必要です。
• リスク ベースのポリシー、詳細なレポート履歴、自動修復をフルに活用するには、Microsoft Entra ID P2 が必要です。

核心的な違いを理解する

管理者が Microsoft Entra ID Protection を初めて展開する際、最もよく混乱が生じる点の一つが、サインイン リスクとユーザー リスクを混同することです。どちらの指標も、コンシューマー アカウント、エンタープライズ テナント、さらには Xbox サービスにわたり毎日数兆件のシグナルを分析する Microsoft の大規模なシグナル インテリジェンス ネットワークに基づいていますが、根本的に異なる問いに答えています。

セキュリティ システムは、単発の異常なサインインと、根本的に盗まれたアカウントを同じように扱うことはできません。管理者が、見慣れない場所や予期しないネットワークからのサインインのたびに一律でアカウントをロックすると、生産性は完全に停止してしまいます。逆に、本当に侵害されたアカウントを単純な一時的 MFA 確認だけで扱うと、確認の期限が切れた後に、持続的な脅威アクターが再びサインインできてしまいます。この二つの指標がそれぞれどのように機能し、互いにどう影響し合うかを理解することは、バランスの取れたクラウド セキュリティ態勢を設計するうえで不可欠です。

サインイン リスクとは

サインイン リスクは、ユーザーが Microsoft Teams、SharePoint、Outlook などのリソースにアクセスしようとする、まさにその瞬間という一点のみに焦点を当てます。これは、個々のログイン試行の具体的なコンテキストだけに関するものです。システムは、この特定の要求の属性が、そのユーザーの通常の行動パターンに一致するかどうかを問います。

Microsoft Entra ID Protection は、リアルタイムのサインイン チェック中に複数の変数を評価します。これには、地理的な位置を隠すためによく使われる匿名 IP アドレスからの接続、地理的に離れた地域から非現実的な時間内にサインインが発生する「不可能な移動」のシナリオ、攻撃者が1つのよくあるパスワードを数千のエンタープライズ アカウントに同時に試すパスワード スプレー攻撃の兆候などが含まれます。見慣れないサインインの属性も動的に評価されます。過去のベースラインと比べて要求が異常であればあるほど、リスク スコアは高くなります。

重要なのは、サインインリスクスコアはそのサインイン試行の1回に限定されるという点です。ユーザーがその特定のサインイン時に多要素認証（MFA）の追加認証要求を正常に通過すると、そのサインインに関連するリスクは直ちに解消され、アカウントの状態に継続的なペナルティが科されることなく、ユーザーは通常どおり業務を続けられます。

ユーザーリスクとは

一方、ユーザーリスクは単一のサインインに関するものではありません。アカウント自体の健全性と完全性に関わるものです。ユーザーリスクは、アカウントの資格情報が不正な第三者の手に渡っているかどうかを評価します。つまり、攻撃者が「永続的な鍵」を保有し、好きなときにデータを侵害するために戻ってこられる状態かどうかを問うものです。

ユーザーリスクの主な要因は、資格情報が既知のデータ侵害で流出していることです。ユーザー名とパスワードがダークウェブに漏えいしたり、情報窃取型マルウェアによって収集されたりすると、Microsoft の脅威インテリジェンスがその資格情報を直ちにフラグ付けします。そのほかの指標として、検証済みの脅威アクターのインフラストラクチャがユーザープロファイルに直接作用している場合や、持続的な不正アクセスを示唆する異常なアクティビティパターンなどがあります。

アカウントにユーザーリスクのフラグが付いた場合、ユーザーがサインアウトした後も脅威は残ります。攻撃者は通常のセッションの範囲外でパスワードを入手している可能性があるため、MFA をユーザーに求めるだけでは、リスクの高いユーザーリスクスコアを完全に解消できることはまれです。根本的な脆弱性に対処する必要があります。

リスクレベルの算出方法

サインインリスクとユーザーリスクはいずれも、低、中、高という 3 つの明確な信頼度レベルにまとめられます。これらのレベルは、絶対的な二値の真実ではなく、脅威の確率に対する機械学習による推定値を表します。

高リスクは、Microsoft の自動化システムが侵害の強力かつ検証済みの証拠を保有していることを示します。たとえば、ダークウェブのデータベースと一致する明確な流出資格情報や、検証済みの悪意のある IP シグネチャなどが該当します。中リスクは、疑わしいアクティビティの中程度の兆候を示しますが、絶対的な信頼度は低くなります。低リスクは、標準的なパターンから逸脱した異常な動作を示しますが、悪意のある明確な指標はないことを示します。

管理上重要な点として、これらのレコードが時間の経過とともにどのように期限切れになるかがあります。低リスクの項目は、ダッシュボードを見やすく管理しやすい状態に保つため、約 6 か月後に自動的に期限切れになります。一方、中リスクおよび高リスクの項目は自動的には期限切れになりません。自動化されたポリシーまたは管理者が明示的に調査、修復、または却下するまで、管理センターに残ります。

ロールオーバー効果：両者の相互関係

サインインリスクとユーザーリスクは評価対象が異なりますが、レポートと適用の面では密接に結び付いています。対処や検証が行われなかった単一のサインインリスクは、時間の経過とともに蓄積されて複合化し、最終的には全体のユーザーリスクスコアに加算されることがあります。

つまり、直近のサインイン試行がすべて正常に見えても、Entra ID のダッシュボードではユーザーがリスクのあるユーザーとして表示される場合があります。システムは、長期的な侵害の確率を高める疑わしい行動の累積履歴を認識しています。IT 管理者は、両方のレポートを独立したものとして扱うのではなく、並行して確認する必要があります。

条件付きアクセスによる修復の自動化

セキュリティチームが手動のアラートに埋もれないようにするため、Microsoft Entra 条件付きアクセスは、リスクスコアと自動化された適用の間を橋渡しします。組織は、低、中、高のリスクしきい値を超えた場合に発動する特定のポリシーを構成できます。

サインインリスクについては、ポリシーにより、MFA の要求、新しいサインインセッションの強制、またはアクセスの完全ブロックなどのアクションを適用できます。ユーザーが MFA の要求を正常に満たすと、その場でリスクが修復されます。

ユーザーリスクについては、通常、ポリシーによって安全なパスワード変更または自動化されたリスク修復が求められます。リスク修復の賢い点は、その適応性です。従来のパスワードでサインインした場合、システムは安全なパスワード変更を要求し、既存のすべてのセッションを直ちに無効化します。パスワードレス方式でサインインした場合は、アクティブなセッションを遮断し、新たな認証フローを求めます。この自動化された対応により、ヘルプデスクへの問い合わせ件数を大幅に減らしつつ、攻撃者の動きを確実に封じ込めることができます。

まとめ

サインインリスクとユーザーリスクの違いを理解すると、クラウドアーキテクトは、一般ユーザーの作業を過度に妨げることなく企業データを保護する、精密で細やかなセキュリティポリシーを構築できます。一般的な是正作業を自動化に任せることで、IT チームは本当の脅威の調査に力を集中できます。これらの保護レイヤーが最新のクラウド環境でどのように動作するかをより深く知るには、ポッドキャストの エピソード全体を聴いてください。構成のベストプラクティス、ライセンスの要件、実際の管理戦略について、詳しく解説しています。

よくある質問

サインインリスクが検出されたら何が起こりますか？

サインインリスクが検出されると、Microsoft Entra の条件付きアクセスは、そのサインインの試行を自動的にブロックするか、アクセスを許可するか、多要素認証 (MFA) によってユーザーに本人確認を求めることができます。

低リスクのイベントは Entra ID Protection のレポートにどのくらい残りますか？

低リスクの検出は、約 6 か月が経過すると自動的に期限切れとなり、レポートから消えます。一方、中リスクと高リスクのエントリは、管理者または自己修復によって解消されるまで残ります。

ゲストアカウントでユーザーリスクの自動修復を利用できますか？

いいえ、ゲストユーザーや外部ユーザーに対しては、リスクの自動修復フロー全体は機能しません。Microsoft Entra ID は、これらの外部アカウントのセッションを、内部メンバーと同じ方法では取り消さないためです。

管理レポートの '安全であることを確認' と '無視' の違いは何ですか？

「安全であることを確認」は、そのアラートが通常の動作によって生じた誤検知であったことをシステムに伝えます。「無視」は、そのアラートは技術的には真陽性の検出であったものの、計画的なセキュリティテストなど、この特定の状況では無害であったことを示します。