セキュリティの強化: MFA 戦略における FIDO の重要な役割

私はベリタスの最高情報セキュリティ責任者として、サイバー犯罪の過熱を最前線で目にしてきましが、特に資格情報の窃盗が不穏な傾向にあると感じています。私からは、FIDO (Fast Identity Online) で多要素認証 (MFA) を強化することが認証を強化するための最善の方法の 1 つである理由を説明します。

多要素認証への攻撃の増加

資格情報の窃盗は新しい手口ではありませんが、この数カ月間で大幅に増加しています。サイバー犯罪者は、資格情報を盗むだけでなく、高度な手法を使って MFA メカニズムを迂回しています。そのため、不正アクセスとセッションのハイジャックが驚異的に増加しているのです。

私の同僚の多くも同様の懸念を示し、MFA を迂回する試みと広範な資格情報収集キャンペーンが急増していると指摘しています。大手サイバーセキュリティ企業である CrowdStrike 社はこれらの見解を実証し、4 つの主な傾向を明らかにしています。

• マルウェア利用から正規の資格情報悪用への移行

• 公開された脆弱性を即時に悪用

• MFA 防御をくぐり抜けることを目的としたソーシャルエンジニアリング攻撃の急増

• MFA と通知の多さへの疲れからくる MFA の迂回

MFA の重要性: FIDO によるセキュリティの強化

一般に、MFA では ID を検証するための 2 つ目の方法を要求して環境を保護します。キーやスマートカードなどの物体、または指紋、網膜スキャン、音声認識などの生体認証を使用できます。

最近の RSA の会議で、サイバーセキュリティ企業である Mandiant 社 CEO の Kevin Mandia 氏がわかりやすく述べています。「ランサムウェアや影響の大きい攻撃に対して、最大の費用対効果を得られるのは多要素認証と言えるでしょう」

しかし、もはや MFA を実装するだけでは不十分です。使用する MFA によっては、必ずしも同じレベルの保護を実現するとは限らないため、その種類が重要になります。サイバー犯罪者は、MFA を迂回する画期的な方法を新しく見つけ出しています。

Proofpoint 社の EMEA 地域サイバーセキュリティ担当ディレクタである Matt Cooke 氏によると、現在、サイバー犯罪サイトでは MFA フィッシングキットが販売されており、そのほとんどが「コーヒー 1 杯よりも安い」値段で手に入ります。「攻撃者は、通知疲れをよく利用しており、従業員が最終的に屈するまで承認要求を出し続けます」また、プロキシ攻撃、セッションハイジャック、ソーシャルエンジニアリング、SIM スワップ詐欺も利用されています。

FIDO の利点

FIDO を MFA 戦略に組み込むと、セキュリティを強化し、パスワードへの依存を減らし、ユーザーフレンドリな認証エクスペリエンスを実現できます。生体認証、ハードウェアトークン、モバイルデバイスに加え、相互運用性と継続的な認証をサポートする FIDO は、安全な MFA ソリューションを実装するための堅ろうなフレームワークです。具体的な利点は次のとおりです。

• 強力なセキュリティ: FIDO は、公開鍵暗号を活用して強力なセキュリティを実現します。秘密鍵をユーザーデバイスに安全に保管し、認証をローカルで実行して、パスワード漏えいとサーバーベースの攻撃のリスクを減らします。FIDO はパスワードに頼らず、暗号化認証を導入して MFA 戦略のセキュリティ体制全体を強化します。

• パスワードレス認証: FIDO は、攻撃に対して脆弱になりがちなパスワードをなくすことを目的としています。パスワードレス認証によって脆弱なパスワード、パスワードの再利用、フィッシング攻撃などの問題を取り除き、セキュリティを強化します。FIDO では代わりに、生体認証やハードウェアトークンなどの強力な要素を利用して、資格情報に基づく攻撃が成功する可能性を減らします。

• ユーザーの利便性: FIDO は、便利でユーザーフレンドリな認証エクスペリエンスを提供します。ユーザーは、認証に生体認証またはすでに持っている物理デバイス (スマートフォンやハードウェアトークンなど) を使用できるため、複雑なパスワードを記憶して入力する必要がなくなり、認証プロセスがスムーズに合理化されます。

• 相互運用性: FIDO 標準によってさまざまなプラットフォーム、デバイス、サービス間の相互運用性が促進されます。つまり、さまざまなオンラインサービスで FIDO 対応の認証方法を使用できるため、一貫性があるユーザーエクスペリエンスが実現します。この相互運用性により、ユーザーは、同じデバイスまたは方法をさまざまなアプリケーションで使用して認証し、認証メカニズムを複数使用する必要性を減らすことができます。

• フィッシング対策: FIDO のローカル認証モデルを採用すると、フィッシング攻撃に対抗できます。FIDO ベースの認証はユーザーのデバイスでローカルに行われるため、ユーザーをだまして悪質な Web サイトやアプリケーションで資格情報を入力させようとする試みを阻止できます。FIDO により、ユーザーの信頼されたデバイスで認証が検証されるため、フィッシング攻撃が成功するリスクが減少します。

• 拡張性と将来対応: FIDO は、進化する認証ニーズに合わせて拡張および適応できるように設計されています。さまざまな認証方法がサポートされており、将来の生体認証やセキュリティテクノロジの進歩にも対応できます。FIDO の導入により、将来の MFA 戦略にも対応し、新たな認証標準との互換性を確保することができます。

次にすべきことは何でしょうか。

認証への攻撃の頻度が増し、巧妙化し続ける中、認証攻撃に対する防御の強化が不可欠になっています。全体として、FIDO は MFA 戦略に大きな利点をもたらします。セキュリティを強化し、シームレスでユーザーフレンドリな認証エクスペリエンスを提供することを目指している企業にとっては、この利点が魅力的な選択肢になります。

ベリタスは、自社のサイバーセキュリティ防御を強化し、お客様が同じように強化できるよう支援しています。ベリタスの製品 ( NetBackup、Backup Exec など)、そしてCyberArk などの他のソリューションとの統合を通じて FIDO をサポートしています。お客様がセキュリティ体制の強化と堅ろうなソリューションの実装を目指しているのであれば、ベリタスがその実現をお手伝いいたします。協力し、増加している資格情報の窃盗からデジタルエコシステムを保護しましょう。

どの MFA も MFA がないよりはましですが、最高のもの、つまりフィッシングに対して耐性のある MFA を目指す必要があります。今すぐ、セキュリティ対策の計画を強化しましょう。

ベリタスのサイバーレジリエンスソリューションについて詳しくは、こちらをご覧ください。