従来のIAMとITDRの比較：静的ルールがもはや通用しない理由

By Mirko Peters · 2026-08-13

ブログへようこそ。ポッドキャストをお聴きいただいている方はご存じのとおり、当チームでは複雑なセキュリティフレームワークを解説し、管理者の皆様がクラウドとオンプレミス環境を理解できるよう努めています。今回は、現代のセキュリティオペレーションセンター（SOC）の運用を変えつつあるテーマを取り上げます。レガシーなセキュリティ境界からの脱却と、高度なID保護への移行です。具体的には、従来のIDおよびアクセス管理（IAM）が、巧妙な資格情報ベースの攻撃から組織を守るには、もはや十分ではない理由を見ていきます。そして、ID脅威の検出と対応（ITDR）が、継続的なセキュリティ監視のゴールドスタンダードになっている理由も説明します。

Automatically translated with AI from the original post. Read the English original

Cover: Microsoft Defender for Identity - Simply Explained

リモートワーク、ハイブリッドクラウド構成、自動化されたスクリプトが日々の運用の前提となった今、境界防御はすでに意味を失っています。攻撃者はもはやファイアウォールを突破しようとはしません。盗まれた資格情報を使って、正規のユーザーとしてサインインするだけです。静的ルールがなぜ通用しなくなっているのか、そして最新のツールがそのギャップをどう埋めているのかを理解するには、関連ポッドキャストのエピソードMicrosoft Defender for Identity - Simply Explainedもぜひお聴きください。企業のIDを安全に保つための実践的な仕組みを詳しく扱っています。

従来のIAMとITDRの違い

現代のセキュリティ手法がなぜこれほど速く進化しているのかを理解するには、まず過去のツールを見る必要があります。従来のIDおよびアクセス管理ツールは、主にライフサイクル管理とプロビジョニングのために作られました。その主な役割は、単純な問いに答えることでした。このユーザーは誰か。どのグループに所属しているか。この特定のファイル共有やアプリケーションにアクセスする許可があるか。ユーザーが認証に成功し、トークンやバッジを受け取ると、従来のIAMシステムの多くは一歩引いて、すべて問題ないと想定していました。

ここで登場するのが、一般にITDRと呼ばれるID脅威の検出と対応です。ITDRは、認証後に存在する大きな可視性のギャップに対処するために設計されています。従来のIAMがアクセス制御、プロビジョニング、静的ポリシーに焦点を当てるのに対し、ITDRは継続的な監視、異常なユーザーの動作の検出、そしてIDを標的とした攻撃へのリアルタイムの対応に焦点を当てます。正しいパスワードを入力しているからといって、それを入力している人物が本当にそのアカウントの正当な所有者であるとは限らない、という前提に立っています。

現代のセキュリティにおける静的ルールの限界

レガシーなセキュリティモデルの最大の欠点の一つは、静的ルールへの依存度の高さです。長年にわたり、セキュリティチームはハードコーディングされたポリシー、単純なしきい値によるトリガー、既知の悪意ある攻撃者の事前定義リストに頼ってきました。ログイン試行が、業務時間中の社内IPアドレスからのアクセスといった特定の静的条件を満たしていれば、その後に何が起きたかに関係なく、自動的に安全とみなされていました。

残念ながら、現代のサイバー犯罪者はこうした静的な防御線を容易に回避する方法を習得しています。攻撃者は正規の管理者資格情報を使い、Living-off-the-Land（LotL）バイナリを実行し、通常の業務トラフィックを巧みに装います。そのため、従来のルールベースのアラートに検知されずに活動できます。セキュリティ態勢が静的ルールだけに依存している場合、それは攻撃者が既知で予測可能な手口を使ってくれることを期待しているに等しいのです。攻撃者がわずかでも手口を変えたり、フィッシングで入手した正規の資格情報を悪用したりすると、従来のIAMシステムは、環境内で進行している悪意のある活動を完全に見逃してしまいます。

振る舞い分析がゲームを変える

静的ルールを回避する攻撃に対抗するため、セキュリティアーキテクトは企業のトラフィックを監視する方法を根本から見直す必要がありました。ここで登場するのが振る舞い分析です。振る舞い分析は、ある操作が厳格に定義された事前ルールに違反するかどうかを問うのではなく、より強力な問いを立てます。この操作は、この特定のユーザーにとって通常のものか。

挙動分析エンジンは、時間の経過とともに通常のアクティビティをベースラインとして学習します。ユーザーの典型的なサインイン時刻、普段使っている端末、ファイルへのアクセス速度、標準的なグループメンバーシップの変化、さらにはタイピングのリズムや操作の癖まで把握します。アカウントが侵害されても、攻撃者が被害者の日常的な行動パターンのすべての細部を模倣することはまずありません。これらの挙動パターンを継続的に評価することで、セキュリティソリューションは、不審な横方向の移動、ディレクトリレプリケーションの突然の要求、想定外の権限昇格といった微妙な異常を検出できます。脅威の攻撃者が最終的な目的を達成するずっと前に、です。

リアルタイム監視と Active Directory のシグナル

サイバーセキュリティにおいては、可視性がすべてです。ディレクトリサービス全体で何が起きているか把握できなければ、防御することはできません。最新の ITDR プラットフォームは、オンプレミスの Active Directory やクラウドベースの ID プロバイダーを含む、ID 基盤の中核的なシグナルに直接接続することで優れた性能を発揮します。

リアルタイム監視では、実際の認証と認可のプロセス中にリスク要因を動的に評価します。翌朝にレポートを作成するのではなく、堅牢な ITDR ツールは、IP の評判、デバイスのコンプライアンス、異常なユーザーエージェント、不可能な移動（Impossible Travel）といったコンテキスト変数を、リクエストが行われたその瞬間に分析します。セッション中に脅威が検出された場合、システムは即座に多要素認証を要求したり、セッショントークンを取り消したり、構造的な被害が発生する前に一時的にアクセスを制限したりできます。

AI によるリスクスコアリングで脅威に優先順位を付ける

アラート疲れは、現代のセキュリティオペレーションセンター（SOC）において、最も大きな静かな脅威の一つです。監視ツールが毎日何千もの低精度のアラートを吐き出すと、人間のアナリストは必然的に疲弊し、警告の見落としやインシデント対応の遅延につながります。

最新の ITDR システムは、AI によるリスクスコアリングでこの問題を解決します。すべての個別のアラートを独立した緊急事態として扱うのではなく、AI が軽微な挙動の変化とデバイスコンテキストのわずかな変化といった複数の低レベルのシグナルを相関させ、そのエンティティに対する統合リスクスコアを算出します。インシデントは重大度の指標に基づいて透明性高く優先順位付けされるため、SOC アナリストは、どのアラートに即時の手動対応が必要で、どのアラートを自動化されたワークフローで安全に処理できるかをすぐに把握できます。

自動応答で運用を効率化する

サイバーセキュリティにおいて、スピードがすべてです。攻撃者は数分のうちに ID を侵害し、資格情報を窃取し、ネットワーク内を横方向に移動できます。人間のアナリストがアラートを手動で確認し、侵害を検証し、対処するまで待っていては、多くの場合あまりに遅すぎます。

そのため、自動応答機能の重要性が高まっています。最新の ID セキュリティプラットフォームには、事前構築済みのプレイブックと自動ワークフローが備わっており、重大度の高い脅威が確認された瞬間に即座に是正措置を講じられます。サービスプリンシパルやユーザーアカウントにブルートフォース攻撃や資格情報の窃取の明らかな兆候が見られる場合、システムは人の介在なしに、アカウントの無効化、影響を受けたエンドポイントの隔離、インシデント対応チームへの通知を自動的に実行できます。初期封じ込めの段階で人の判断を待つ必要がありません。これにより、攻撃の滞留時間（ドウェルタイム）が大幅に短縮され、攻撃の影響範囲も抑えられます。

ハイブリッド環境とマルチクラウド環境を保護する

純粋にクラウドだけで、あるいは厳密にオンプレミスだけで運用している組織は、今やごくわずかです。現代の大半の企業は、オンプレミスの Active Directory ドメインが Microsoft Entra ID などのクラウドディレクトリとシームレスに同期する、複雑なハイブリッド環境を管理しています。

このハイブリッドな現実は固有のセキュリティ課題を生みます。攻撃者は、オンプレミスとクラウド基盤の境界部分を突いて権限を昇格させることが少なくないからです。最新の ID 脅威検出ツールは、まさにこの隔たりを埋めるために設計されています。オンプレミスのドメインコントローラーとクラウドの ID サービスの両方からシグナルを取り込むことで、これらのソリューションは、デジタル資産全体にわたる不審なアクティビティを一元的に追跡できる統合ビューを提供します。攻撃者がオンプレミスの古いファイルサーバーから侵入を開始し、クラウドベースの生産性アプリへ移動していく場合でも、ID 保護の枠組みは完全な可視性を維持します。

結論：プロアクティブなセキュリティモデルへの移行

静的なID管理から動的な脅威の検出と対応への移行は、一時的な流行ではなく、現代の脅威の状況で生き残るための絶対的な必要条件です。サイバー犯罪者はますま高度化し、境界防御を回避するために正規の資格情報への依存を強めています。そのため、従来型のIAMや硬直したルールセットに頼り続けることは、もはや現実的な戦略ではありません。継続的な行動監視、AIによるリスクスコアリング、リアルタイムの監視、自動化された対応を取り入れることで、組織は受動的な姿勢から、真に先回りするセキュリティモデルへと移行できます。

こうした考え方がエンタープライズ環境でどのように実現されるかを深く知るには、ぜひ私たちのポッドキャストのエピソード全体、Microsoft Defender for Identity - Simply Explainedをお聴きください。これらのツールを理解し、正しく実装することで、今後どのようなID ベースの脅威が現れても、組織の回復力を維持できるはずです。