城門はアイデンティティである：Entra ID を本当に守る方法

By Mirko Peters · 2025-11-18 · Updated 2026-03-24

城門はアイデンティティです。MFA、条件付きアクセス、PIM で Entra ID を保護し、攻撃を遮断して、資格情報を狙う脅威からクラウドを守りましょう。

Automatically translated with AI from the original post. Read the English original

組織のセキュリティを城に例えてみてください。城門は堅固です。しかし防御が弱ければ、攻撃者はもう壁を登る必要はありません。ログインするだけでよいのです。約60%のクラウド脅威が、窃取された、あるいは不正に使用されたアイデンティティを利用しています。

• 攻撃者は、脆弱なパスワードや不適切に設定されたアカウントを狙います。

• オンプレミスとクラウドのシステム間にある信頼関係を悪用します。

最近の攻撃は、新たな巧妙な手口を使っています。脅威アクターは、ハイブリッド構成やむき出しのエンドポイントの弱点を探します。ユーザーになりすまし、アクセス権を盗もうとします。悪意ある者を締め出すには、アイデンティティを主要な防御策にする必要があります。

重要なポイント

• アイデンティティは、クラウドの脅威を防ぐ最善の手段です。悪意ある者を締め出すため、城門をしっかり守らなければなりません。

• すべてのユーザーに多要素認証（MFA）を使用してください。MFA は、アカウントへの不正侵入の99%以上を防ぎます。

• 条件付きアクセスを使用して、すべてのサインインを検証してください。リスク、所在地、職務に基づいてルールを作成します。

• 特権 ID 管理（PIM）を使用して、管理者アクセスを制限してください。リスクを下げるため、必要なときだけアクセス許可を付与します。

• セキュリティルールを頻繁に確認し、変更してください。システムに入れるのが適切な人だけになるようにします。

クラウドセキュリティにおける城門の比喩

堀と城壁から、アイデンティティによるゲートキーパーへ

かつては、ネットワークを城のように守るのが一般的でした。堀と城壁が攻撃者の侵入を防ぎ、ファイアウォールや VPN が強固な障壁の役割を果たしていました。しかし、これらはクラウドの脅威に対してはもはや十分に機能しません。リモートワークや BYOD によって、働き方が変わったためです。現在は、城門があなたの主要な保護手段です。攻撃者はもう壁を壊しにはきません。弱いアイデンティティ制御を探し、ログインを試みます。

ゼロトラストは、リソースの保護方法を変えます。許可する前に、すべてのユーザー、デバイス、操作を検証しなければなりません。ネットワーク内にいるというだけで、相手を信頼することはできません。毎回、その相手が誰であるかを確認する必要があります。

従来型の境界とアイデンティティベースの境界の主な違いは、次のとおりです。

• 従来型の境界はネットワークの防御を使います。アイデンティティベースの境界はユーザーアカウントを保護します。

• ゼロトラストとは、ユーザーとデバイスを常に検証することを意味します。従来の方法では、ユーザーはサインイン後に信頼されていました。

• すべての操作を検証する必要があります。現在は、ネットワーク内にいることが信頼の根拠にはなりません。

攻撃者が城門を狙う理由

攻撃者は、城門がクラウドへの鍵であることを知っています。その防御を突破するため、さまざまな手口を使います。アイデンティティを狙った攻撃は年々増えています。2024年には、これらの攻撃がサイバーインシデントの60%を占めました。脅威アクターは AI を使って偽のメッセージやディープフェイクを作成します。また、サプライチェーンにあるIDプロバイダーを標的にします。攻撃者は、正規のツールを使い、気づかれずに移動することもあります。

攻撃者が弱いアイデンティティ制御を悪用する一般的な方法は、次のとおりです。

• Cookie を窃取し、クラウドアカウントに侵入します。

• OAuth の同意を悪用して、アクセス許可を取得します。

• 誤って構成されたサービスプリンシパルを見つけ、秘密情報の侵入口とします。

• 長期間有効なキーを使い、数か月にわたって潜伏します。

攻撃者は、多くの場合、正規のユーザーを装います。Living-off-the-land の手法を使って、環境に溶け込みます。城門を守らなければ、攻撃者はクラウド内のあらゆるものに侵入できてしまいます。

パスワード：ナチュラル1を振ってしまう

パスワードの弱点と攻撃手法

パスワードは城門の頑丈な錠前だと思われるかもしれません。しかし実際には、ほとんどのパスワードは、ボス戦でナチュラル1を振るようなものです。つまり、自動的に失敗します。攻撃者はそのことを知っており、簡単な手口で侵入します。多くの人は、複数のサイトで同じパスワードを使い回しています。攻撃者は、過去の漏えい事故から取得したパスワードを集め、あらゆるサービスで試します。これは資格情報スタッフィングと呼ばれています。

フィッシングも、よくある攻撃の一つです。本物に見える電子メールが届き、リンクをクリックしてパスワードを入力してしまいます。これで攻撃者はあなたの「鍵」を手に入れたことになります。攻撃者はブルートフォース攻撃ツールも使います。このツールは毎分数千ものパスワードを試行します。パスワードが弱い、あるいはよくあるものであれば、長くはもちません。

ヒント: 長く、他と重複しないパスワードの方が望ましいものの、どれほど優れたパスワードでも盗まれたり、フィッシングで騙し取られたりする可能性があります。

攻撃者は城壁を壊す必要はありません。盗んだ認証情報でそのままサインインするだけです。パスワードだけに頼っていると、城門を大きく開け放っているのと同じです。

最初の本格的な錠前としての MFA

城門には、より強固な錠前が必要です。多要素認証 (MFA) は二つ目の層を追加します。攻撃者がパスワードを盗んでも、スマートフォンなど別の要素がなければサインインできません。これにより、ほとんどの攻撃を確実に食い止められます。

• Microsoft Entra ID の導入環境では、MFA により、アカウント侵害攻撃の 99.2% 以上をブロックできます。

• 攻撃者は、MFA が必須になっていると分かると、多くの場合あきらめます。

MFA は、アプリ、テキストメッセージ、ハードウェア トークンのいずれかで設定できます。ユーザーにとって最も使いやすい方法を選んでください。管理者だけでなく、全員に MFA を必須にしましょう。MFA を使う人が増えるほど、城門はより強固になります。

覚えておいてください。パスワードだけでは不十分です。MFA は最初の本格的な錠前です。侵害されてから対策するのではなく、今すぐ城門を守りましょう。

Entra ID のためのスマートな番人と強固な鍵

判断を担う層としての条件付きアクセス

城門には錠前だけでなく、誰もを入場前に確認するスマートな番人が必要です。条件付きアクセスはこの番人のように機能します。サインインのたびに内容を確認し、そのユーザーにアクセスを許可すべきかを判断します。リスク、場所、デバイス、ユーザーの役割に基づいてルールを設定できます。これにより、盗んだ認証情報で忍び込もうとする攻撃者を阻止できます。

条件付きアクセス ポリシーは、脅威のブロックと不正アクセスの防止に役立ちます。これらのポリシーの効果的な活用方法は次のとおりです。

1. 古く安全でないサインインを防ぐため、レガシ認証をブロックします。

2. 不審なアクティビティに対する追加の保護として、リスクの高いサインインには MFA を要求します。

3. コンプライアンスに準拠した (Intune で管理された) デバイスからのアクセスのみを許可し、エンドポイントの安全性を高めます。

4. 場所や IP 範囲でアクセスを制限し、信頼できるネットワークからのサインインを管理します。

5. 重要なユーザーを守るため、管理者アカウントにはより厳しいポリシーを適用します。

条件付きアクセス ポリシー自体も保護できます。例えば、認証コンテキストを設定して、グローバル管理者だけがこれらのポリシーを変更できるようにします。これにより、攻撃者が侵入した場合でも防御設定を変更されるのを防げます。

条件付きアクセスは単なる番人ではありません。誰を通し、いつ警報を鳴らすべきかを知っている賢明な裁判官です。これを活用して、城門を通過するのが正しい人だけになるようにしましょう。

特権 ID 管理 (PIM)

管理者アカウントは合鍵のようなものです。攻撃者がそれを一つでも手に入れれば、城内のすべての扉を開けられてしまいます。特権 ID 管理 (PIM) は、この強力な鍵を守るのに役立ちます。PIM は管理者に対してジャスト イン タイムのアクセスを提供します。つまり、管理者は必要なときにだけ特別なアクセス許可を得られ、作業が終われば追加のアクセスは削除されます。

PIM によるリスク低減の仕組みは次のとおりです。

PIM を使えば、誰かが管理者権限を得る前に承認を必須にできます。また、誰がいつ管理者アクセスを使用したかを確認することもできます。これにより、攻撃者が内部に侵入しても、移動することが格段に難しくなります。合鍵を期間限定のパスに変え、城をずっと安全にしましょう。

セキュアな SSO と一元管理

シングルサインオン（SSO）を使うと、ユーザーは一度ログオンするだけで多くのアプリを利用できます。これにより、チームの作業が楽になり、組織の安全性も高まります。SSO を導入すると、ユーザーが覚えるパスワードの数を減らせます。その結果、パスワードの盗難やフィッシングのリスクを下げられます。

集中管理を使うと、1 か所からすべてのアプリを管理できます。セキュリティルールの設定、MFA の強制、アクセスの迅速な管理が可能です。安全な SSO と集中管理の主な利点は次のとおりです。

• 集中認証により、ユーザーがパスワードを入力する回数が減るため、資格情報が盗まれる可能性を低減できます。

• サインイン画面で MFA を有効にすると、すべてのアプリに追加のセキュリティレイヤーを設けられます。

• 安全なサインインの入口が 1 つあることで、ユーザーの管理とアクセス制御が容易になります。

• インシデントの自動作成により、脅威への対応を迅速化できます。

• アラートの精度向上とユーザーのコンテキスト情報により、問題の調査を迅速に進められます。

パスワードレス認証には、SAML 2.0 などの安全なプロトコルも利用できます。これにより、サインインプロセスは強固でありながらシンプルになります。SSO と集中管理を組み合わせると、城のすべての扉を守る堅固な防御体制を構築できます。

ヒント: SSO の設定を定期的に確認してください。各アプリに適切な人だけがアクセスできていることを確認しましょう。不要になった古いアカウントを削除し、ニーズの変化に合わせてポリシーを更新してください。

条件付きアクセス、PIM、安全な SSO を活用すると、Entra ID は真の要塞になります。城門にスマートな守衛、強力な鍵を与え、すべての入口に目を光らせることができます。

Entra ID 強化チェックリスト

すべてのユーザーに対する MFA

すべてのアカウントは多要素認証（MFA）で保護する必要があります。これにより、パスワードを盗んだ攻撃者の侵入を防げます。MFA を使うと、ユーザーは 2 つの方法で本人であることを証明する必要があります。1 つは本人だけが知っている情報、もう 1 つは本人だけが持っているものです。認証アプリ、SMS、ハードウェアトークンから選択できます。

MFA を有効にする際に、多くの組織が問題に直面します。ユーザーがサインアウトされる頻度が増えることがあります。MFA のプロンプトにより、自動化や DevOps のパイプラインが停止する場合もあります。古いアプリはトークンベースの認証に対応していないことがあります。これらの問題を想定して計画を立て、ユーザーが変更に慣れられるよう支援する必要があります。

ユーザーには MFA の登録を求めるべきです。これにより、アカウントが盗まれるリスクを低減できます。セキュリティの専門家は、セルフサービス パスワード リセット（SSPR）の有効化も推奨しています。これにより、ユーザーは自分でパスワードを再設定できます。

レガシ認証のブロックと基本ポリシー

古い認証方式は MFA に対応していません。攻撃者は、パスワードを平文で送信するこれらの古い方式を狙います。新しい認証方式は暗号化を使用し、詳細なアクセス許可を設定できます。安全性を保つため、古い認証をブロックする必要があります。

基本的なセキュリティポリシーを有効にすると、一般的な攻撃を阻止できます。これらのルールにより、ユーザーは MFA を使用し、古いプロトコルはブロックされ、ユーザーは MFA の登録を求められます。セキュリティの既定値を使用すると、盗まれたアカウントが最大 80% 減少する場合があります。

ゼロトラストとの整合

ゼロトラストとは、誰も無条件に信頼しないことを意味します。アクセスを許可する前に、必ずユーザーとデバイスを確認します。強力な ID とアクセスの管理が必要です。条件付きアクセスは、ユーザーの詳細情報とリスクを評価してから、アクセスを許可するかどうかを判断します。

ゼロトラストにより、攻撃者がネットワーク内を自由に移動することを防げます。攻撃者は行きたい場所へ自由に移動できなくなります。ネットワークを分割し、トラフィックの流れを制御します。強力な検証と常時の監視により、データ、アプリ、エンドポイントを保護します。

Entra IDをZero Trustと組み合わせれば、Castle Gateを強固に保てます。リスクを下げ、攻撃者を締め出せます。

アイデンティティを主要な防御策にする必要があります。Castle Gateは今この瞬間もクラウドを守っています。攻撃者がアイデンティティ基盤を狙うのは、侵害の多くが窃取された資格情報を利用して発生しているからです。組織の半数以上が、アイデンティティへの攻撃を受けたと回答しています。Entra IDが脆弱なままだと、次のような問題に直面するおそれがあります。

Entra IDの保護は今すぐ始めましょう。

1. アクセス許可を見直しましょう。

2. パスワードレスMFAを使った条件付きアクセスのルールを作成しましょう。

3. 保護された操作を必要な人だけに割り当てましょう。

4. ルールをテストしましょう。

誰がどのような方法でサインインしているかを確認してください。クラウドを守るため、今すぐ行動に移しましょう。

よくある質問

Microsoft Entra IDとは何ですか？

Microsoft Entra IDは、クラウド上のサービスです。ユーザーアカウントの管理を支援し、誰にアクセスを許可するかを制御できます。組織のデータを保護し、強力なセキュリティで攻撃者を締め出します。

なぜすべてのユーザーにMFAを有効にすべきなのですか？

MFAは安全性を高める追加の層です。盗まれたパスワードを使った攻撃の大半を防ぎます。攻撃者がユーザーになりすましてサインインすることが難しくなります。

ヒント: まず管理者と重要なアカウントから始め、その後すべてのユーザーにMFAを追加しましょう。

条件付きアクセスはどのようにセキュリティを向上させますか？

条件付きアクセスは、すべてのサインインを検証します。リスク、場所、デバイスに関するルールを設定でき、不審なサインインはブロックされ、信頼できるサインインは許可されます。Castle Gateを通過できる人を決めるのはあなたです。

Privileged Identity Management (PIM) とは何ですか？

PIMを使うと、管理者は必要なときだけ特権アクセスを取得できます。強力なアクセス許可を持つ期間を制限でき、盗まれた管理者アカウントが悪用されるリスクを下げられます。

レガシ認証をどのようにブロックしますか？

Entra IDの設定で古いサインイン方法を無効にします。攻撃者は脆弱なプロトコルを使えなくなり、安全で最新の認証方式のみが許可されます。