最大の脅威は、認証情報に関連するリスクだ。

　レポートによると、クラウドセキュリティツールからの有効なアラートの44％が認証情報に関連する脆弱（ぜいじゃく）性に起因していたようだ。さらに全てのアラートのうち33％が認証情報に関係していた。

　レポートによると、攻撃者が認証情報ベースの攻撃を好む理由は3つある。

（1）認証情報がダークWebで安価に入手できること
（2）（正規の認証情報を使えば）多くの検知ツールを回避できること
（3）なりすましに適した認証情報が膨大に存在すること

　企業が資産をクラウドプラットフォームへ移行するにつれ、認証情報の管理は最も重要なセキュリティ対策の一つだと位置付けられるようになってきた。攻撃者の多くは不正に入手した正規の認証情報を利用することでセキュリティ保護を回避して、標的のネットワーク内に足場を築くことができる。防御側は強固なアクセス制御が不可欠なだけでなく、次に示すようなそれ以上の対策も必要だろう。

　ReliaQuestは「企業は認証情報を現代における真の境界線として扱うようにセキュリティ戦略を再調整しなければならない。転換にはネットワークの境界の外側から始まる能動的な姿勢が必要だ」と述べた。同社は、デジタルリスク保護機能を使って、侵害された従業員の認証情報がダークWebに流出していないかどうかをスキャンするように企業に推奨している。

ZSPモデルを使って特権IDを管理しよう

　レポートによると、特権管理も認証情報ベースの攻撃を阻止する上で役立つようだ。ReliaQuestが確認した認証情報ベースのアラートの半数以上は、特権昇格に関係していた。最も権限が低い従業員から始めて、管理職、さらにはシステム管理者へと芋づる式にアクセス権限を高めていく。

　認証情報の管理上、もう一つ重要な注意点がある。同社は「攻撃者は不適切に広い範囲で特権を持つ正規の認証情報を使用する手法を好む。この方法で攻撃すると、脆弱性スキャナーを使ったり、既知の脆弱性向けエクスプロイトコードを実行したりといったノイズの大きい攻撃手法よりもはるかに見つかりにくいからだ。つまり防御側のアラートが鳴り響く可能性が低い」と述べた。

　ReliaQuestは「クラウドIDの99％が過剰な特権を付与されている」という衝撃的な統計を提示した。Amazon Web Services（AWS）などのクラウドプラットフォームを利用している組織には、広範なアクセス権があらかじめ設定されたアカウントを厳格に制限するよう促した。

　ReliaQuestによると、企業はゼロ・スタンディング・プリビレッジ（ZSP）のモデルを採用すべきだという＊。

＊ZSPモデルでは、特権IDが必要な瞬間にだけ、動的に作成されて、付与され、使用後に自動削除される。永続的な特権IDを排除することで、攻撃者が悪用可能な特権IDをゼロに近づけることが可能だ。ZSPモデルを採用すれば攻撃者が好む特権昇格やラテラルムーブメントのリスクを最小化できる（キーマンズネット編集部）。

防衛側不利の状況が続くのはなぜか

　認証情報ベースの攻撃は、膨大なデータを分析して侵入者を特定しなければならないという点でも防御側が不利だ。前述したように全アラートの33％が認証情報に関連しているため、企業の負担は大きい。

　同社は「確認された侵害の原因のトップが認証情報である一方、最も多くのアラートを生む要因でもあるという二重の負担がある。これはセキュリティチームを圧倒して、運用コストを押し上げている」と述べた。

　「こうしたアラートの選別には特にコストがかかる。自動システムが検証のためにユーザーへメッセージを送信することはできる。だが、セキュリティチームは無害なものか悪意があるものかを最終的に手動で評価しなければならず、その際に組織固有のリスクポリシーに依存することが多い」とも述べた。