毎日どれくらいのWindowsログオン認証が行われているかご存知ですか？世界中の何十万人もの従業員が、毎日ノートパソコン、デスクトップ、仮想環境にアクセスして業務を行っています。しかし、多要素認証が広く普及しているにもかかわらず、 認証 クラウドアプリケーション向けの多要素認証（MFA）では、この重要な層が保護されないままになっていることが多い。
このセキュリティ上の課題はよく知られているものの、真の理由は、それを実行に移すことの難しさにある。 MFA さまざまな環境において、MFAは大きな課題となります。Windows Hello for Businessのようなネイティブソリューションでは追加のインフラストラクチャが必要になる場合があり、多くの仮想デスクトッププラットフォームにはMFAのサポートが組み込まれていないことがよくあります。OT（運用技術）や遠隔地では、接続環境の制限やモバイルデバイスの使用不可などにより、MFAの適用はさらに困難になる可能性があります。
このブログでは、 Windows 用 MFA ログインはとても難しく、 Silverfort Windowsログオンソリューションは、これらのギャップを克服するのに役立ちます。
作業を開始する前に：最初のステップはWindowsログオンです
組織におけるWindowsログオンには、通常、ローカルWindowsログオンと仮想デスクトップログオンという2つの主要なタイプが見られます。
ローカルWindowsログオン
これは、Windows マシンに直接サインインするプロセスです。 ローカル またはドメインベースのアカウント。これは、個人用デバイス、業務用ノートパソコン、小売業や医療業界の共有端末、OT環境のコンピュータなどで一般的に使用されています。
これらのマシンは、多くの場合、中央集権的なIDシステムの監視外で動作します。 Active Directory (AD) や最新の ID プロバイダー (IdP) では、MFA の適用が非常に不安定になり、特にどのドメインにも接続されていないローカル アカウントでは、これらのマシンが認証情報の漏洩にさらされます。
仮想デスクトップログオン
このプロセスでは、ユーザーはAzure Virtual Desktop、Citrix、またはリモートデスクトッププロトコル（RDP）セッションなどの仮想環境に認証を行います。これらの環境は一元的に管理されますが、最初のログオンプロセスでは、多要素認証（MFA）が行われる前に、Windows認証レイヤーが使用されます。
現時点では、多くの仮想デスクトップインフラストラクチャはネイティブの多要素認証（MFA）をサポートしておらず、リモートアクセス時に攻撃者が悪用できるセキュリティ上の脆弱性が生じています。MFAが適用されない場合、組織は管理されていないデバイスや外部デバイスから接続する攻撃者に対して、重要なデータやアプリケーションを危険にさらすことになります。
WindowsログオンにMFAを適用するのが簡単ではない理由
Windowsログオン全体にMFAを適用することは一見簡単そうに見えますが、実際にはセキュリティチームにとって単なる技術的なチェック項目ではありません。SaaSアプリケーション、クラウドワークロード、VPNは集中型IDプロバイダー（IdP）で保護できますが、Windowsログオンはしばしば見過ごされ、監視も保護もされないままになっています。
集中型SSOプラットフォームに依存するクラウドアプリケーションとは異なり、Windowsログオン認証はエンドポイントレベルで行われ、MFAの適用と可視性は基盤となるインフラストラクチャに依存します。多くの場合、特にローカルマシンやオフラインマシンでは、セキュリティチームが一貫したポリシーを適用したり、認証アクティビティを追跡したりすることが困難になります。
これは、 追加のインフラ要件, 仮想環境に対するネイティブサポートの欠如, オフラインユーザーシナリオの現実これらのリスクを念頭に置き、攻撃者はしばしば環境内でWindowsログオン認証の存在を探し、認証情報を侵害して横方向への移動を開始します。 特権昇格 その後。
Windowsログオンを多要素認証（MFA）で保護することが、見た目よりも難しい理由を詳しく見ていきましょう。
- 追加のインフラ要件：導入の障壁
Windowsログオンを多要素認証（MFA）で保護するには、証明書ベースの認証、公開鍵基盤（PKI）、生体認証デバイスの登録など、追加のインフラストラクチャの導入が必要となる場合が多くあります。これらのコンポーネントはセットアップの複雑さを増し、多様な環境におけるMFAの拡張性を制限します。人員が限られている組織や、既存の証明書インフラストラクチャがない組織にとって、これはボトルネックとなり、MFAの導入を遅らせたり、完全に阻止したりする要因となります。結果として、導入コストと労力が高すぎるために、重要な認証レイヤーが脆弱なまま放置されることになります。
- 仮想環境におけるネイティブサポートの欠如：リモートアクセスにおけるセキュリティ上の欠陥
仮想デスクトップ環境では、多くの場合、最初のIDレイヤーでMFAの強制が欠落しています。これらのプラットフォームは、アプリケーションアクセスやセッション開始などの後の段階でMFAをサポートする場合がありますが、これにより、ユーザーが追加の検証なしにデスクトップに認証できる盲点が生じます。攻撃者にとって、これはリモートアクセスシナリオにおける重大なギャップであり、認証情報に基づく侵害や 横移動 MFAのトリガーなしで。
- オフライン環境およびOT環境：接続なし、MFAなし
多くの組織では、Windowsマシンはネットワーク接続が制限または制約されている環境で稼働しています。これには、工場内のOTシステム、産業用制御室、倉庫、遠隔地の現場などが含まれます。このような環境では、従業員はプッシュ通知を含む従来の多要素認証（MFA）方式を使用できません。その結果、Windowsログオン認証は完全に保護されず、監視もされないままとなり、重要なリソースが侵害される危険性が高まります。
これらの課題により、Windowsログオンレイヤーが脆弱になり、 アイデンティティベースの攻撃そのため、多くの組織にとって、このレイヤーでのMFAの強制はもはや選択肢ではなくなっています。サイバー保険ポリシーやコンプライアンスフレームワークなど CJIS機密データを保護するため、マシンレベルでの安全な認証が必須となった。
認定条件 Silverfort WindowsログオンのMFAを拡張
Silverfort 組織は、環境に追加のインフラストラクチャを導入することなく、あらゆる種類のWindowsログオンシナリオでMFAを強制できるようになります。 認証プロトコルレベルで直接統合する, Silverfort 物理デバイス、仮想マシン、オフラインシステムを問わず、ドメインベース認証とローカル認証の両方にMFAをリアルタイムで適用します。
方法を探りましょう Silverfort 組織がWindowsログオン認証のさまざまなユースケースに対応できるよう支援します。
ローカルWindowsエンドポイントに対するMFAの強制
Silverfort Windows Logon (S4WL) は、すべての Windows エンドポイントに対してアクセス制御とリアルタイムのリスク分析を提供し、ユーザーがローカル AD または Microsoft のドメインに認証できるようにします。 Entra IDユーザーがログインしようとすると、 Silverfort ポリシーエンジンを通じてリクエストを評価し、プッシュ通知をトリガーすることができます Entra IDアクセスを許可する前に、ユーザーの身元を確認することを保証する。
仮想デスクトップログオンの保護
Silverfort この機能では、Windowsログオン層で直接MFA（多要素認証）を適用することで、RDPセッションを保護します。この構成では、ユーザーがRDP接続を開始する際に、リモートマシンやサーバーへのアクセスを許可する前に、ワンタイムパスコード（OTP）の入力を求められます。OTPは、追加の本人確認レイヤーとして機能します。
オフライン環境およびOT環境のセキュリティ確保
インターネット接続が制限されているか利用できない環境、例えば工場や現場のOTシステムなどでは、 Silverfort 認証試行をローカルで評価し、FIDO2ハードウェアトークンまたはTOTPコードによる認証をユーザーに促すことで、オフラインWindowsログオンをサポートします。
初回ログイン時からIDベースの攻撃を防止する
Windowsログオンは、あらゆる組織で最も一般的に使用される最初のアクセスポイントの1つです。この重要なレイヤーで保護対策が講じられていない場合、攻撃者は認証情報を容易に悪用し、横方向への移動や権限の昇格を検知されることなく実行できてしまいます。 Silverfort ログイン認証プロセスに強力なMFA制御を適用することで、この盲点を解消するのに役立ちます。すべての認証試行に対するエンドツーエンドの可視性とポリシーベースのアクセス制御により、 Silverfort これにより、セキュリティチームはIDベースの攻撃を防止するのにようやく役立つようになる。
Windowsログオン認証のセキュリティを強化したいとお考えですか？ 通話をスケジュールする 当社の専門家の一人と一緒に、 Silverfort 環境のセキュリティ確保に役立ちます。
