アーロン・ターナー：[00：00：00]
まず、90年代半ばのビル・ゲイツの考え方を理解する必要があります。彼は、ノベルがエンタープライズディレクトリで莫大な利益を上げていることを目標に掲げました。そこでマイクロソフトは、「ノベルの利益を奪い取らなければならない」と考えました。Active Directory機能仕様の最初のバージョンは、ノベルを潰すことを目的としていました。それが彼らの使命だったのです。
Active Directoryは当初、「Windowsの販売台数を増やすにはどうすればいいか」「Officeの販売台数を増やすにはどうすればいいか」という観点から捉えられていました。それは展開メカニズムであって、必ずしもセキュリティ境界ではありませんでした。仮にファイアウォールに250億ドルが費やされたとしましょう。では、ID管理にはどれだけの費用が費やされたでしょうか？おそらくその2%程度でしょう。こうした投資不足の結果、私たちは今、膨大なID負債を抱えている状況に陥っているのです。
だから、彼らは「よし、25年間も放置されてきたグループポリシーオブジェクトを修正するにはどうすればいいんだ？」と自問自答するために、レガシーシステムに特化した投資をしなければならないだろう。それが、下さなければならない決断なのだ。
ロイ・アッカーマン：
本人確認は単なる運用上の問題ではなく、セキュリティ上の問題でもあり、ほとんどのチームはリアルタイムでその解決策を見つけ出そうとしている。
ロブ・アインスコフ：
このポッドキャストでは、アイデンティティセキュリティの意味を逆算的に探り、内部からアイデンティティセキュリティを構築、修正、再考している人々について率直な会話をお届けします。
ロイ・アッカーマン：
私はロイ・アッカーマンです。
ロブ・アインスコフ：
そして、私はロブ・アインスコウです。
ロイ・アッカーマン：
さあ、ダイビングしましょう。
ロブ・アインスコフ：
やってみましょう。
おかえりなさい。こんにちは、ロイ。元気ですか？
ロイ・アッカーマン：
元気だよ。ロブ、会えて嬉しいよ。
ロブ・アインスコフ：
お会いできてとても嬉しいです。ええと、とてもワクワクしています。というのも、今回のエピソードにはアーロン・ターナーさんをお迎えしているからです。アーロンさんは業界で30年の経験があり、自身の会社を設立しましたが、私たちにとって最も重要なのは、マイクロソフトで働いていたことです。 Active Directory まさにあの重要な時期に、それが流行り始めていたんですよね。
彼はベースキャンプにいました。彼と話せて、私たちにとってはすごく興奮しました。
ロイ・アッカーマン：
例えば、デザイナーとか、建築家とか。
ロブ・アインスコフ：
責めるべきは彼だ。ああ、でも
アーロン・ターナー：
ええと、ここは慎重にいきましょう。私は組織の最下層でした。
ロイ・アッカーマン：
そこで彼は言った
ロブ・アインスコフ：
でも、あなたはそこにいた…最初に衝撃を与えたのはあなただった。あなたはそこにいたんだ。
ロイ・アッカーマン：
うん。
アーロン・ターナー：
ああ、
ロブ・アインスコフ：
私もそこにいた。あなたもそこにいた。
アーロン・ターナー：
私はそこにいましたが、ええと、私は厳密にはサポートエンジニアだったので、すべてのバグやあらゆる厄介事に対処しなければなりませんでした。つまり、私は最悪の事態を目の当たりにしたのです。
ロブ・アインスコフ：
わあ。そうですね。それでも、恵まれた立場なので、それについて少し話しましょう。アイデンティティが長年にわたってどのように変化してきたかについて話します。 Active Directoryの役割、それが今日の攻撃者と防御者にとって何を意味するのか、ということですよね？
ということで、とても興味深いセッションになりそうですね。では、まずはアーロンさん、ご自身の経歴や自己紹介を少しお聞かせいただけますか？
アーロン・ターナー：
私がこの旅を始めたきっかけは、映画『ウォーゲーム』を見たことです。1984年に映画『ウォーゲーム』が公開されて、「これはすごい」と思いました。
「私にもできるかな？」と。それで、時々コンピューターでトラブルに巻き込まれる旅に出たんです。そして最終的には、コンピューターで悪いことをしてお金を稼ぐ方法を見つけました。私は、90年代前半から中頃にかけての初期の侵入テスト担当者で、最終的には、セキュリティテストの雑務をこなすよりも良い給料がもらえる仕事に就けるかもしれない、と気づいたんです。
そしてマイクロソフトは、このチームに加わるバイリンガルでインターネットに精通し、ノベルの経験がある人材を求める求人を出しました。彼らはラテンアメリカでのビジネスチャンスに注力したいと考えていたのですが、私はスペイン語が話せますし、メキシコに少しの間住んでいました。ウォーゲーム以来、インターネット関連の仕事をしてきたので、インターネットについても少しは知っていました。そしてマイクロソフトで素晴らしい機会を得て、彼らと共に、インターネットやエンタープライズコンピューティングの基礎を築く旅に出ました。
そこで8年間過ごしました。素晴らしい時間で、たくさんのことを学びました。
ロイ・アッカーマン：
我々の情報将校が、あなたに確認しなければならないことが2つあると教えてくれました。1つ目は、ビル・ゲイツ自身が、1年間の在任期間を経て、あなたに、そこで実際にやりたいプロジェクトを何でも行うための全権を与えたということです。もちろん、大きな価値を持つプロジェクトです。
そして2つ目は金色の星についてなので、まずはこれについてお話を聞かせていただき、それからアイデンティティについてのお話に移っていただけると嬉しいです。それについて少しお話いただけますか？
アーロン・ターナー：
それで、1998年か99年頃、ベネズエラの知事がマイクロソフトに来て、「ベネズエラのすべての国民のための全国的な身分証明プラットフォームを構築したい」と言ったんです。
ロイ・アッカーマン：
うわー。
アーロン・ターナー：
そして彼らは現地に赴き、NT4を使ってこのエンタープライズIDプラットフォームを構築しようと試みましたが、その試みはうまくいきませんでした。有望そうに聞こえますが、何度も何度も故障しました。私たちのチームにはベネズエラに行く勇気のある者はいませんでした。ベネズエラは、今ではさらに評判が悪くなっていますが、当時でさえ不安定な場所だったからです。
それで、私はラテンアメリカに詳しかったので、「よし、私が行く」と思い、手を挙げて現地へ向かいました。そして、その問題を解決する手助けをしたことで、NTコードにいくつかの変更を加える方法を見つけ出し、それが後にWindows 2000のコードとなりました。その変更を行い、さらに勇気を出してベネズエラへ行ったことで、1999年に金星を授与されました。当時、ビル・ゲイツが授与する賞は非常に限られていました。
でも、その恩恵を受けたことで、実験する自由が与えられたんですよね？「君は素晴らしいことを成し遂げた。マイクロソフトをさらに発展させるために何ができるか見てみよう」という自由が与えられたんです。だから、私のスペイン語の知識、ベネズエラに行く勇気が、素晴らしいことを成し遂げ、 Active DirectorySQL Server、Windows Mobile、Xbox Live。
つまり、私はそこにいた期間中に、本当に色々な素晴らしい仕事に携わることができたんです。
ロイ・アッカーマン：
すべてはアイデンティティの観点から
アーロン・ターナー：
時にはアイデンティティ、時には破壊。
ロイ・アッカーマン：
うん。
アーロン・ターナー：
うんうん。そうだよね？脅威モデルについて人々に考えてもらうのも、時には役に立つ。実は、2002年か2003年頃までは、本格的なサイバーセキュリティチームはなかったんだ。
ええと、ご存知のように、初期の頃は、Windows Updateのようなエンタープライズグレードのアップデートシステムを構築した人は誰もいませんでしたよね？当時、20億台のコンピュータをどうやってアップデートするかなんて誰も考えたことがありませんでした。ノートパソコンを紛失した場合に備えてハードドライブを暗号化することなんて誰も考えていませんでした。
誰もそんなことを考えたことがなかったんです。だから、誰も考えたことのないようなことを考えなければならなかったんです。
ロブ・アインスコフ：
今日はそれに焦点を当てていきます Active Directory ストーリーですよね？つまり、ほとんどの企業にとって、クラウドや、過去10年、15年の間に起こったすべての変化について話すことはまだ続いているということです。
しかし現実には、それは今でも多くの企業にとって企業アイデンティティの中枢であり、非常に重要なものです。そして、先ほども申し上げたように、あなたはそれが誕生し、成長し、今日のような形になる過程を目の当たりにしてきたという、非常に興味深い立場にいらっしゃいます。そこで、私は、それがどのようにして Active Directory から来る？
それは何のために設計されたのですか？何を達成しようとしていたのですか？ Active Directory その時？
アーロン・ターナー：
まず、90年代半ばのビル・ゲイツの考え方を理解する必要があります。ビル・ゲイツは基本的に成功する会社を築くことを使命としていました。なぜなら、彼は常に、ワンやデジタルに何が起こったのか、つまり80年代と90年代のコンピューター業界で道端に横たわっている死体を見ればわかるように、多くの死体があったことを恐れていたからです。
ロイ・アッカーマン：
んん。
アーロン・ターナー：
だから彼は、ほら、外に出て征服しなければならない、と偏執的だった。それで、彼は、ノベルがエンタープライズ ディレクトリで大儲けするという目標を設定した。ノベルは、基本的にエンタープライズ ディレクトリの構築をリードしてきた非常に強力な会社だった。どうすれば人々に良いコンピュータ体験を提供できるだろうか？
ユーザー名とパスワードはどうやって取得するのか？ 適切なファイル構造はどうやって実現するのか？ そこでマイクロソフトは「我々は、その金を盗みに行かなければならない。ノベルの昼食代を盗みに行かなければならない」と言った。そして最初のバージョンは Active Directory 機能仕様はノベルを潰すことだった。つまり、それがミッションステートメントだったんだ。
ええと、他にあまり選択肢がなかったので、残りの部分は面白かったですよね？例えば、私はKerberosの大ファンでした。当時、Kerberosはかなり新しい技術でした。MITがKerberos標準をリリースしたばかりでした。私は「Kerberosは最高だ。これは本当にずっと良くなると思う」と思っていました。だって、私たちはまだNTLMを扱っていたんですからね。
NTLM は、非常に脆弱で、リバースエンジニアリングが容易で、ハッシュが破られるなど、非常に脆弱なプロトコルです。私たちはまだ NT LAN Manager を扱っていますが、これは Windows NT4 プロトコルでした。それで、どうすれば... 私たちの問題は、Novell を潰すことだけが目的の場合、それをセキュリティ システムとして機能させることができるかということです。
そして、それが存在していた緊張感でした。ええ。ほら、セキュリティに情熱を傾けている私たちのような人たちは、 Active Directory 最初は、どうすればWindowsの販売数を増やし、Officeの販売数を増やすことができるか、という視点で見られていました。つまり、それは…展開メカニズムだったのです。必ずしもセキュリティ境界ではありませんでした。
ロイ・アッカーマン：
本当に興味深いですね。ええ、興味深いですね。そこにいて、実際に、成長し始めた何かの代わりとなる、おそらくより良い何かを再建するような感じです。
それで、きっと、いくつものトレードオフをしなければならなかったんでしょうね？市場投入までの時間とか、その他いろいろなことがあって、それにコンピューターの世界も変化していたでしょうし。それで、少し時間を遡って、例えば98年頃、あるいはもう少し後だったかもしれませんが、開発者や設計者が最初に決断しなければならなかったトレードオフは何だったのか教えていただけますか？
アーロン・ターナー：
ええと、先ほど申し上げたように、目標は Active Directory WindowsとOfficeの販売数を増やすことが目的でしたよね？展開のスピードが重要でしたよね？たくさんのシステムをどのように展開するか？ええと、市場投入のスピードを重視するあまり、多要素認証のようなものが失われてしまいましたよね？MFAは、コア設計原則ではありませんでした。 Active Directory、 右？
それは、「ああ、もしかしたらパートナーがそれを解決してくれるかもしれない」というようなことでした。そして、RSAやGemaltoのような企業が、ええ、ええ…「ええ、MFAの作業は私たちがやります」と言って名乗り出てくれましたよね？でも、例えば、私に課せられた仕事の一つは、すべてのサードパーティMFAトークンの回帰テストを行うことでした。
そして、その時点では、MFAトークンを機能させる唯一の方法は、GINAを置き換えることでした。GINAシムを構築する必要がありました。ああ、それは深いですね…これはカーネルレベル、つまりWindowsドメインコントローラー、場合によってはエンドポイント上のカーネルレベルの操作です。1日に300個のブルースクリーンを見なければ、私は仕事をしていないことになる、と言っておきましょうか？
GINA の記述が不十分だったからです。マイクロソフトでは、そのためのガイダンスが不十分でした。それで、誰かがあなたのところにやってきて、「MFA を導入しましょう」と言って、概念実証を行ったところ、10 回のブルースクリーンが発生し、「いや、大丈夫です。MFA なしでも問題ありません、ありがとう」ということになったのです。
「MFA は使いたくない」という意見もありました。セキュリティの観点から見ると、焦点が定まっていない例と言えるでしょう。なぜなら、今日では MFA はコア機能、つまりコアとなる基本的な機能として認識されるからです。これがその一例です。ええ。もう一つの例は、セキュリティ境界が森だったことです。
フォレストがあって、ドメインがあって、クロスフォレストの信頼関係を構築できたし、一方向の信頼関係や双方向の信頼関係など、いろいろなことができた。それから、グループやネストされたグループがあって、グループポリシーオブジェクトなど、いろいろなものがあって、これらすべては、関数から設計されていたんだ。
例えば、セキュリティ境界の観点からではなく、Windowsの展開という観点から。
ロブ・アインスコフ：
うん。
アーロン・ターナー：
では、クロスフォレスト信頼関係を適切な粒度で強制するにはどうすればよいでしょうか? また、Microsoft のライセンスが有効になったとき、ほとんどの人はドメイン管理者用のドメイン アカウントと Exchange サーバー用のドメイン アカウントを受信トレイに用意することには興味がありませんでした。
それらを混同しますよね？つまり、コントロールプレーンを混同したということです。メールを読むのに使っているアカウントと、ドメイン管理に使っているアカウントが同じになります。
ロイ・アッカーマン：
んん。
アーロン・ターナー：
そうですよね？だから、それは良い状況とは言えません。
ロイ・アッカーマン：
ええ。うーん。つまり、信頼に関しては、ドメイン間、フォレスト間など、多くのレベルの抽象化があったようですね。
例えば、単一の、つまり異なるエンティティを作成する際に、そのエンティティを検証し認証して信頼を築くにはどうすれば良いのか、といったことです。きっと、それについて多くの議論があったことでしょう。
アーロン・ターナー：
まず、以前にも同じようなことを試みた人はいましたが、例えばAT&TがUnix関連の多くの作業で試みたり、政府機関がそうしたりといったように、人々はこの道を進もうとしていましたが、Microsoftが実現しようとしていたような低コストで実現しようとした人はいませんでしたよね？
うんうん。例えば、ベル研究所に博士号取得者がいる場合、精巧な企業認証システムを構築するのは一つのことだよね？ AT&Tの人たちは、自分たちが何をしているのか分かっていた。でも、地元の病院のシステム管理者をドメイン管理者に任命すると、地元の病院のシステム管理者とベル研究所で働く博士号取得者とは全く違う。
つまり、それらは2つの異なる人格です。それらは2つの異なるペルソナです。そして、これらの非常に有能なシステム、Windows Server、Exchange Server、SQL Serverを、セキュリティアーキテクチャが優れていない、セキュリティ運用チームが優れていない、つまり、このような機能を備えていない中規模から小規模のエンタープライズ環境に導入することで、「全員をドメイン管理者にすればいいじゃないか」といった非常に悪い状況が生まれてしまいました。
そうすれば楽になります。すべてのドメイン管理者が対象です。」
ロイ・アッカーマン：
うん。
アーロン・ターナー：
そして、ドメイン全体がドメイン管理者になっているケースも見られました。その方が簡単だったからです。単に、彼らの仕事が楽になっただけです。このアプリケーションが動作しない理由などをトラブルシューティングする必要がなかったのです。ええ。そして、初期の頃に最小権限などのことを試みていたときに見られた逆風のほとんどを見ると、初期のAdobeアプリケーションの中には、高度な管理者でないと実行できないものもありましたよね？
うんうん。ただ、それはそうはならないだろう。
ロブ・アインスコフ：
走る。よくあることだよ。
アーロン・ターナー：
そして、結果としてこのような過剰な権限を持つ状況に陥ってしまうのです。つまり、多くの場合、ベンダーのエコシステムはあなたに不利に働くのです。例えば、最小権限の原則に従いたいとします。しかし、このアプリを使用する必要があるため、それができないのです。
ロブ・アインスコフ：
うーん。
アーロン・ターナー：
ああ、大丈夫。
ロイ・アッカーマン：
まあ、それは考慮すべき点ですね。時々、インフラ構築者や基礎的なものを非難することがありますが、 Active Directory彼らは、他のベンダーなど、開発の他の多くの分野を満たす必要があった。
そして、また、これらのトレードオフは、今日の多くの攻撃者にとって、いわば基本中の基本ですよね？ ええ。つまり、私たちは単に Active Directory 単なるツールとしてではなく、私たちが今日アイデンティティについて考えることを実際に確立した一連の概念として捉えています。ですから、私がそれをあまりにも性急に行っているわけではないと願っていますが、興味があります。
では、少し現代に話を移しましょう。また後で戻るかもしれませんが。ええと、ご覧のとおり、アイデンティティは今日、非常にホットな話題になっていますよね？その問題を解決するために莫大な資金が投入されています。AIやNHI、その他多くの流行語とともに進化しています。
えっと、攻撃側と防御側のゲーム展開をどう見ていますか？つまり、現在も攻撃側によって悪用されている、あるいは悪用されていない中核的な原則は何だと思いますか？そして、それを取り巻くゲーム展開はどうでしょうか？
アーロン・ターナー：
ではまず、アイデンティティの経済学を見てみましょう。では、1999年から今日までファイアウォールに費やされた総額を見てみましょう。
そこで、この準備をする前に、大まかな調査をしてみました。過去25年間でファイアウォールに250億ドルが費やされたとしましょう。では、アイデンティティ管理にはどれくらい費やされたのでしょうか？
ロブ・アインスコフ：
うん。
アーロン・ターナー：
おそらくその2%くらいでしょう。いや、全然違いますよね？つまり、ほんのわずかな割合です。その理由の一つは、マイクロソフトの戦略が、 Active Directory 市場へ。
ああ、Windows Server ライセンスを購入すれば、ああ、ちなみに、この ID 機能は無料で、無料で、ええと…含まれています。ええ。それで、CIO が「あなたの ID 戦略は何ですか？」と尋ねられたら、「ええと、それは Active Directory。" 良い、 Active Directory これはアイデンティティ戦略ではない。 Active Directory 認証システムかもしれません。
これはアイデンティティガバナンスプラットフォームではありません。ええ、そうです。権限管理プラットフォームでもありません。フェデレーションプラットフォームでもないですよね？
ロブ・アインスコフ：
んん。
アーロン・ターナー：
つまり、その投資不足の結果、ファイアウォールに比べてアイデンティティ負債が膨大になっているということですよね？ ええ。ファイアウォールは25年間予算に項目が設けられてきたのに、アイデンティティは今になってようやく予算に項目が設けられたという状況です。
つまり、アイデンティティの経済学が人々を窮地に追い込んでいるのです。ですから、それを経済学の真実として受け入れるならば、まず「では、従来のアイデンティティを破壊してデジタル変革を通じてこの状況から脱却するために、私たちは何をすべきか」と問わなければなりません。つまり、ネイティブクラウドアイデンティティなどに移行することで、これらの従来のアイデンティティの問題から抜け出すのか、それとも、従来のアイデンティティを基本的に強化し、持続可能なものにするために、既存のアイデンティティを改修する必要があるのか、ということです。
ロイ・アッカーマン：
んん。
アーロン・ターナー：
だから、それが下さなければならない決断なのですが、残念ながら、ほとんどの企業は、自力でこの状況から抜け出すことができないため、レガシーシステムに焦点を当てた投資を行い、「よし、25年間も混乱したグループポリシーオブジェクトや不十分なSCIMインフラストラクチャ、そしてこれまで行ってきたすべてのことを修正するにはどうすればいいだろうか？」と自問自答する必要があるのです。
ええと、とても経験豊富な人に、私のお気に入りの質問の1つをされました Active Directory ドメイン管理者は、「まだ残っているGPOの数を何回確認しましたか？つまり、クリーンアップしていないためにActive Directoryに残っているGPOの数はいくつですか？」と尋ねます。
ロイ・アッカーマン：
んん。
アーロン・ターナー：
そして、ADを20年間運用している組織の場合、通常は数百もの未使用のGPOが存在します。
ロブ・アインスコフ：
うん
アーロン・ターナー：
そこにあって、ええ…誰かがそれを展開したんです。誰もそれを片付ける責任を負っていなかったし、それは、
ロブ・アインスコフ：
潜在的な負債ですね。そして、それは本当に興味深いことです。というのも、私が今企業と話していると、企業はそれを補強するか、近代化して解消するかのどちらに進むべきかという道のりの途中で行き詰まっているように見えるからです。
ええ。どちらも、世の中にあるツールセットの中には、特に手軽で簡単に使えるものはありません。そして、彼らは「よし、5年後にはクラウドファーストでエフェメラルで、世界をより良くするような素晴らしいことをすべて実現できるだろう」という中途半端なところで立ち止まってしまうのです。しかし実際には、重要なシステムがまだ稼働している次の5年間はどうなるのでしょうか。 Active Directory?
私たちはそこで何をしているのでしょうか？だって、そういうことには意図的である必要があるでしょう？
ロイ・アッカーマン：
つまり、それは複雑さであり、つまり、脆弱性につながるアーキテクチャ上の負債を負い始めたのです。
ロブ・アインスコフ：
うん。
ロイ・アッカーマン：
そして、また、これらすべての無視された GPO や、壊れていないなら直す必要はないというアプローチなどが、今日ではこれが最も攻撃されやすい表面の 1 つであるという段階に私たちを導きました。
とはいえ、私たちが話しているのは、28年に設計され、ええと、すみません、1998年に開発された技術で、まだ修正する時間は十分にあったはずです。
アーロン・ターナー：
では、例を挙げてみましょう。平均的なランサムウェア・アズ・ア・サービスのキルチェーンを見てみると、ええと、ランサムウェア・アズ・ア・サービスというのは、ご存知ないかもしれませんが、ロシア人のグループがランサムウェア・アズ・ア・サービスのプラットフォームを構築していて、フランチャイジーであるあなたは彼らからツールを購入できる、ということですよね？
つまり、RBAは基本的に、情報窃盗ツールや横方向移動ツールを販売しているのです。パッケージのようなものですよね？これらのツールを入手できます。これらのツールはすべてLSASSの脆弱性に依存しています。ですから、スタックについて考えてみると、 Active Directoryなぜなら、パッチが適用されていないWindowsサーバー上のLSASSにアクセスできるのであれば、それがドメインコントローラーであるかどうかは関係ないからです。
ロブ・アインスコフ：
んん。
アーロン・ターナー：
1998年に設計されたLSASSは、システムが起動している限り、そのサーバーで使用されたすべての認証情報をキャッシュするように設計されていますよね？つまり、可用性を重視するあまり、LSASSプロセスがずっと実行され続けてしまったのです。LSASSは永久に実行されるように設計されたわけではありません。週に一度程度起動されることを想定して設計されたのです。
「いや、これを更新するだけでいい」みたいな感じですね。それで、ランサムウェアグループに属する攻撃者がパッチ未適用のWindowsサーバーにアクセスできた場合、LSASSプロセスが数ヶ月、数年、あるいはそのサーバーが稼働している期間ずっと実行されている場合、そのマシンで使用されたすべての認証情報がそこにあります。
すごい。そして彼らはそれをすべて入手し、それによって横方向の動きが可能になり、「ふむ」と思えるようになります。そしてランサムウェア・アズ・ア・サービスの連中は、そのLSASSプロセスをダンプし、彼らのツールが自動的にそれを受け取り、「よし、ここにドメイン管理者の認証情報があるか？よし、ドメイン管理者がいる。」と確認します。
よし、GPOを使って暗号化ツールを展開しよう。そうそう…管理ツールも展開して、データも流出させて、必要なことはすべてやるんだ。」これがランサムウェア・アズ・ア・サービスで起こることだ。彼らにはスキルは必要ない。ランサムウェア・アズ・ア・サービス・グループとのフランチャイズ契約を通じて入手したツールを持っているからだ。
ロイ・アッカーマン：
んん。
アーロン・ターナー：
つまり、これは1998年に設計されたLSASSの一例で、永久に実行されるとは想定していなかったプロセスです。しかし、永久に実行されるようになったため、それらの認証情報はすべて盗難の危険にさらされたままになっています。
ロブ・アインスコフ：
んん。
ロイ・アッカーマン：
そしてそれは今もそこにあります。そして、私たちがまだ接続性を実現しようとしているからこそ、クラウドにも引きずり込まれているのだと思います。
つまり、AD の認証情報をクラウドと同期しているわけですが、これらの攻撃については皆さんご存知ですよね？
ロブ・アインスコフ：
右。
ロイ・アッカーマン：
ええと、他にもあります。つまり、何らかの形で解決されるのではなく、引きずられ続けているということです。ええ。あるいは、おっしゃるように、多くのベンダーが参入して、その上に保護レイヤーを構築する余地を与えているということです。
ロブ・アインスコフ：
ええ。セキュリティの観点からすると、私たちは成功の犠牲者になりつつあるので、とても興味深いと思います。 Active Directoryそうですよね？ 人間の場合、当然、Windows コンピューターはすべて電源に接続されます。 SQL Server も接続しましょう。 ああ、Linux を AD にブリッジ接続してみましょうか？
こうしたシステムリスクを構築していたところにクラウドが登場し、「よし、認証情報を同期させよう。もっと簡単にしよう」と言い出した。つまり、クラウドは自らの成功の犠牲者となり、結果として企業にとってシステムリスクという点で、より脆弱な立場に置かれることになったのだ。
アーロン・ターナー：
多くの組織は、 Active Directory 実際に提供している。
彼らは「ああ、ただ動くだけだよ」って感じですよね？ NTLMなのか、NTLMv2なのか、LDAPなのか、Kerberosなのか、私には分かりません。実際に何が使われているのかも分かりません。
ロブ・アインスコフ：
んん。
アーロン・ターナー：
ですから、どの組織にとっても最初のステップは、成功ログを有効にすることだと思いますが、これは費用がかかり、リソースも多く必要とします。そのため、すべての組織が成功ログを有効にしているわけではありません。
ほとんどの組織では、認証が失敗した場合にログを記録する仕組みになっていますよね。ですから、まず最初に、一定期間、成功ログを有効にして、すべての成功ログを保存するのに十分なストレージ容量があることを確認する必要があります。
ロブ・アインスコフ：
うん。
アーロン・ターナー：
これで成功ログが手に入りました。それから、低コストのデータや分析ツールなど、ツールを使うのが好きなんです。
コミュニティ版がある中で私のお気に入りは Gravwell です。GRAV は Victor の WELL と同じです。Gravwell にはコミュニティ版があり、ドメイン コントローラーから生の XML ログを取り込んで、例えば、今日 LDAP を使用しているすべてのユーザーを表示したい、LLM を使用しているすべてのユーザーを表示したい、といった視覚的な力指向グラフを構築できます。
Kerberos などで ping しているサーバーをすべて確認したいんです。そうすれば、これらのポケットを視覚的に作成できます。なぜなら、人間は視覚化を必要とするからです。つまり、それが戦略を立てる方法なんです。だから今、私は視覚化によって「ああ、1,500 人のユーザーが平文の LDAP に依存していることに気づかなかった」と気づくことができるんです。
それはまずいですね。つまり、それで、でも成功ログを有効にしないと、それはわかりません。これがステップ 1 です。ステップ 2 は、何が外部にあるかがわかったので、それを使用しているものを何で停止できるかです。私のお気に入りの柔道トリックの 1 つは、ここに LDAP を使用している 5 つのサーバーがあるとします。
それらは何をするものですか？ああ、それは、ええと、アクセスデータベース上で動作する税務コンプライアンスシステムです。なるほど。では、そのデータをPower Platformに移行してクラウドネイティブにし、そのサーバーを廃止しましょう。そうすれば、LDAPについて心配する必要はなくなりますよね？問題の原因を取り除いた上に、Power Platformでアクセスデータベースを実行できるので、ビジネスニーズも満たせます。
もうそのサーバーをそこに置いておく必要はありません。では、その依存関係を解消するために、どのように近代化を進めればよいでしょうか？そして最後の要素は、その方向へ進んだら、クラウドの特権管理とオンプレミスの特権管理を分離する、セグメント化されたID戦略を構築するために何ができるかということです。
私は知識労働者と特権ユーザーを分離するつもりです。私は、理にかなったアイデンティティのセグメンテーションを行うつもりです。実際、2020年にNSAは、私の意見では最も重要な機密解除されたアイデンティティ文書の1つを公開し、そこで彼らはどのようにしてロシア人を米国財務省から追い出したかを明らかにしました。
つまりこれは、NSAがロシアと戦った6か月間の詳細な記録であり、彼らがそれを謙虚に行うのは素晴らしいことだ。なぜなら、「この混乱を片付けるのに6か月かかった」と手を挙げて言う人はあまりいないからだ。そして彼らはそれを実行した。その文書の中で彼らは、「見てください」と述べている。根本的な問題は、財務省が5つのアイデンティティプレーンを持っていたことだった。
彼らはオンプレミスの AD を持ち、Entra と同期するための AD FS を持っていました。当時は Azure AD と呼ばれていました。Okta と Duo も持っていました。つまり、5 つの異なる ID レイヤーを持っていたのです。そして、興味深いのは、多くの人が「Okta があるので、すでにクラウドに移行済みです」と言うことです。
Oktaプロジェクトが動作しているのを見たことがない Active Directoryええ。つまり、Oktaのコア機能が単独で動作するのを見たことがないんです。
ロブ・アインスコフ：
つまり、これは神経中枢ですよね？それは、その基本的な安全性に支えられているのです。 Active Directory 核心部分です。
アーロン・ターナー：
ええ。それで、NSAのケーススタディでは、財務省に何が起こったかについて話しているのですが、ロシア人はNSAが近づいてくるので隠れていました。そして、仮にNSAが近づいてきたら Active Directory 妥協の兆候が見られたら、彼らはそこへ追いかけに行き、それからロシア人はオクタの中にしばらく住み、オクタの土地で生活するだろう。
そして、Okta で近づき、少しの間 Duo に移動します。Duo で近づき、Entra に移動します。Entra で近づき、AD FS に移動します。つまり、基本的に、ゴキブリのように、光が当たっていない場所に移動していただけで、そうやって生きていました。
だから、私が強くお勧めするのは、アイデンティティスタックをできるだけシンプルにすることです。うんうん。使用をなくす...実際、NSAのホワイトペーパーの3ページ目には、「Exchange Onlineを使用している場合、Entra Protectを使用するのは愚かだ」と書かれています。つまり、彼らはそれを非常に明確にしています。
クラウドIDの利用には十分注意する必要があります。
ロイ・アッカーマン：
うんうん。その話は理にかなっていると思う。でも、セグメンテーションは本当に本当に難しい。資産を知る必要がある。自社開発のアプリケーション、つまりアクセスの本質を知る必要があるんだ。だから、財務省でさえ、5つのIDP、つまり同期する必要のある5つの異なるディレクトリを持っていたと思う。そして、それぞれはおそらく異なる担当者によって運用されていたんだ。
セグメント化の複雑さゆえに、ええと、つまり、私たちがアクセスしようとしている資産やリソースの一部は、ええと、つまり、あなたがIMリーダーとして働いていた大手小売企業でも、おそらく同じような経験をされたのではないでしょうか。何十万、何十万、何十万もの人間のID、そして人間以外のIDは言うまでもありませんよね？
うん、
ロブ・アインスコフ：
まさにその通りです。会社には400,000万人いると思います。ええ。そうですね、そのくらいから500,000万人くらいまで、時期によって変わりますが、とにかく巨大です。
ロイ・アッカーマン：
セグメンテーション、そう、セグメンテーションって悪い言葉なのか、それとも実際に可能なのか？
ロブ・アインスコフ：
できると思います。重要な点が2つあると思います。1つ目は、アイデンティティが何のためにあるのかについての考え方の転換です。アカウントを保護したり、MFAを追加したりするだけではない、ということですよね？
あなたは、自社のビジネスにとって重要なものを守るためにここにいるのです。そして、おっしゃる通り、何が重要なのかを理解し、認証フローやアクセス権限がどのようなものかを理解し、それらのルールを設計する上で、それを真にサポートしてくれるテクノロジーを持つことが非常に重要です。
あれほどの規模でそれを実現するのは容易ではありません。断片化と複雑さが増している状況ではなおさらです。しかし、まず最初にすべきことは、そういった視点で物事を考え、全体像を把握して何が起こっているのかを理解することだと思います。そして、そこから一歩を踏み出すのです。なぜなら、あらゆる場所のすべてを一度に保護することは不可能ですが、ビジネスにとって本当に重要なものを守るために、着実に前進していくことはできるからです。
アーロン・ターナー：
だからあなたは必要です
ロイ・アッカーマン：
確認する
ロブ・アインスコフ：
森全体
アーロン・ターナー：
ロブ・アインスコフ：
あなたはまさに…そうしているんです。
ロイ・アッカーマン：
正確に。
ロブ・アインスコフ：
ロイ・アッカーマン：
次にあなた
アーロン・ターナー：
適切な制御を行う。
ロイ・アッカーマン：
私たちのフォロワーは、カルテルが流動的な作戦を実行するためにテクノロジーをどのように利用しているか、そしてその一方で、法執行機関側では、どのように身元が操作され、侵害され、二重化される可能性があるか、といったことから、どのような教訓を学ぶことができるでしょうか。
ええ、どうやら私たちはここで非常に興味深いエピソードを構築しているようですね。興味深い。
ロブ・アインスコフ：
今回の「アイデンティティ・デコード」は以上です。
アーロン・ターナー：
この会話でIDセキュリティに関する考え方が変わった場合は、IDセキュリティに取り組んでいる人に共有してください。
ロイ・アッカーマン：
同じ困難を乗り越えて。
ロブ・アインスコフ：
見逃さないように番組をフォローしてください
次回。
