compromise“を翻訳した資料です。内容については、最大限の努力を持って正確に期していますが、本書の内容に基づく運用結果については責任を負いかねますので、ご了承ください。GitHub』を参照してください。ブログは『セキュリティコンサルタントの日誌から』を参照してください。365の侵入と、あらゆる規模の組織が考慮すべき防御方法の詳細を提供します。このアドバイザリで紹介された防御方法を取る際には、リスクベースアプローチに基づき実行する必要があります。Partnership)内で共有できることを意味します。TLPに従い、レポートを保存・取り扱い・やり取りする必要があります。Centre)と業界内の情報源から入手した情報から記述されています。すべてのリスクを回避することを目的としたものではなく、推奨事項に従うことによってそのようなリスクがすべて除去されることを保証するものではありません。情報リスク管理は、常に関連するシステムオーナーの責任となります。Officeアプリケーションのオンラインバージョンです。このサービスは、毎月支払われるサブスクリプションに基づきクラウドを経由してユーザに提供され、最近利用者が増加しています。O365はいろんな規模の組織・業界でますます受け入れられているため、金銭的利益を探し求める攻撃グループの主要な攻撃対象となりつつあります。FBIによれば、2013年から2016年においてビジネスメールへの攻撃は5.3億ドル以上の損失を生んでいます。1NCSCは、標的型のサプライチェーン攻撃など複数の攻撃手口を含め、英国企業のO365アカウントに対して侵入が行われ複数のインシデントが発生していることを確認しています。した攻撃の最終的な目標は明らかになっておらず、攻撃対象は特定の業界へ限定されたり、特定の攻撃グループにのみ見られる傾向でもありません。NCSCアドバイザリは、攻撃グループによるO365への侵入手法を紹介し、情報漏洩が発生するリスクを低減するために組織が取り得る施策を詳細なガイドラインとして提供します。詳細O365侵入の目的O365アカウント侵入への影響は、攻撃グループの目的により深刻度が変化します。攻撃グループがO365アカウントの認証情報を奪取できれば、O365のインターフェース(SharePoint・OneNoteなど)に存在する文書へアクセスできるだけでなく、組織内に更なる侵入を実行するための起点として利用できるでしょう。攻撃グループが窃取したO365アカウントを悪用する様々な方法は以下の通りです。金銭情報を操作・移動したり、組織内の情報を得るため、奪取したO365アカウント所有者に成りすますこと。企業にレピュテーション被害をもたらすため、情報を公開・販売したりすること。奪取したアカウントを通じてセンシティブ情報を盗み出すこと。奪取したO365アカウントを利用し、スピアフィッシングメールを配布し、メール受信者から更なる認証情報を奪い取ること。攻撃グループが組織・サプライチェーン内における別のO365認証情報へアクセスをできるようにすること。奪取したO365の認証情報を利用し、ソーシャルメディアの個人情報や、攻撃グループが利用・販売できるセンシティブ情報へアクセスすること。奪取したO365アカウントにおいて、転送ルールを設定し、受信したメールをこっそり攻撃者のメールアカウントへ転送すること。O365アカウントに対する攻撃O365へ不正アクセスするため、攻撃グループは二つの攻撃テクニックを使います。総当たり攻撃とスピアフィッシング攻撃です。Attacks)は、パスワード推測を含まれ、しばしば自動ツールを活用します。O365アカウントに対する攻撃を行う際には、クラウドサービス業者によって攻撃を検知される可能性を減らすため、複数の社員を狙うよりも、組織内にある特定の個人に対して攻撃を行うことがより一般的です。攻撃グループは、スピアフィッシング攻撃のメールを送信し、偽ログイン画面へユーザを誘導するため被害者にリンクをクリックさせます。この偽ログイン画面を通じて、攻撃グループは、被害者のO365認証情報を収集することができます。Authentication)の実装が挙げられます。ユーザはオンラインサービス・エンタープライズサービスで、パスワードを再利用する傾向にあるため4、多要素認証を追加することではパスワードを奪取される潜在的可能性を低減してくれます。多要素認証は、以下の認証方法のうち二つ以上を必要とします。Are(生体認証)O365プラットフォームは、サブスクリプションにより様々な多要素認証メカニズムがサポートされており、組織は様々な方法を組み合わせて使うことができます。O365プラットフォーム全体に多要素認証を効果的に実装するためには、IT組織が対象となるユーザグループについて深く理解している必要があります。組織が多様性に富む従業員を抱えている場合、特に重要です。モバイル電話があまり普及していない地域に従業員がいる場合、SMSトークンを受け取る多要素認証方式は問題が起こり、O365プラットフォームへアクセスすることを困難にしてしまう可能性が考えられます。このシナリオの場合、さらなる配備に抵抗されないため、利用可能な別の多要素認証メカニズムを検討する必要があります。services』(未翻訳)という資料を最近公開しています。https://www.ncsc.gov.uk/guidance/multi-factor-authentication-online-services組織はこのガイダンスに加え、O365サービスに特化された以下の防御方法について検討することを強くお勧めします。防御方法このセクションは、全ての組織が実装すべき、最低限必要なセキュリティ施策を記載しています。考慮すべき追加ポイントについても指摘しています。Scoreを確認することを推奨します。これは、組織の設定を分析し、時系列でその状況変化を追跡し、セキュリティに影響する更なる推奨策を提言してくれます。定量的なスコアは一部使いづらいかもしれません。分析結果と推奨案は、組織が実装しているセキュリティコントロールを監査し、新しく登場したセキュリティ技術を知る上で役立つでしょう。Scoreに関する更なる情報、および活用方法については、Microsoft社のサポートページを参照してください。365を実装することを推奨しています。その中には以下が含まれています。Guidanceと制限つきアクセス(https://docs.microsoft.com/en-us/azure/active-directory/conditional-access/)を有効にする必要があります。追加認証の種類は、現在のユーザがどのようにサービスへアクセスしているかに依存します。通常は以下の一つを利用します。ADに登録・準拠した既知の業務用デバイスからサービスへのアクセスする方式VPN経由でネットワークにリモートアクセスし、信頼されたネットワークからサービスへのアクセスする方式SMSや事前に登録した電話コールを使う方式。SMSは最もセキュアな種類の二要素認証ではありませんが、何もないよりもどんな二要素認証でも実装すべきだと言えます。NCSCは、特権ユーザや管理者権限でアクセスする際には、認証アプリに加え、既知で信頼されたデバイスかネットワークからアクセスする両方の認証を実装することを推奨しています。昔からある認証プロトコルの一部は、最近の認証方式を完全にサポートしているわけではありません。場合によっては、多要素認証などのセキュリティコントロールを無効化・回避を求める場合があります。2010)や、IMAP・SMTP・POPなどのメールプロトコルを使うメールクライアントなどではそうした古い認証プロトコルが使われています。そのため、NCSCは古い認証プロトコルを組織の条件付アクセスポリシーの一部として無効化することを強く推奨しています。Monitoring)組織は、情報漏洩の成功や試みに気付くために十分な監査データを集める必要があります。365でも一部の監査データはデフォルトで有効になっていますが、NCSCは以下の機能を有効にすることを推奨しています。監査ログデータの記録。どんなユーザがサービスとやり取りしているか記録してくれます。このアクションは、全てのサービスに反映するために最大24時間かかります。メールボックスの監査。様々な侵入に対する時系列の可視化を提供してくれます。デフォルトでは、所有者ではないユーザのメールボックスへのアクセスのみが監査されています。Securityなどのオプショナルサービスを利用することで、レポート作成したり、一般ユーザ・特権ユーザに対する不審なアクセスや異常な認証イベント・アクセスイベントに対してアラートを挙げてくれるでしょう。365サービスとデバイスの設定を適切に行う必要があります。最低限組織が検討すべき内容は以下の通りです。Onlineを適切に設定することで、組織外へメールを自動転送することを防ぐこと。Officeのマルウェア対策メカニズムを設定すること。Online保護とスパムフィルタリングを有効化すること。ATPなどのオプションがライセンスに含まれていれば、有効にすべきでしょう。この機能は、添付メール、SharePoint・OneDriveなどに格納されたファイル、メールやドキュメントのリンクに対する高度なセキュリティ分析を実行してくれます。サードパーティのメールフィルタリング機能もメールフローの一部として設定することも有効でしょう。Onlineで設定すること。これにより、組織ドメインからのなりすましメールを防ぐことができます。Email)にDMARCが適用されるようになっています。Email)SPF・DKIM・DMARCを設定するドキュメントを提供しています。Anti-Phishing機能やサードパーティサービスなどのオプションなど、組織のユーザに届く悪意のあるメール数を減らすことができます。Guidanceを参照されることを推奨します。組織は、ユーザと他のユーザに付与されている権限をレビューする必要があります。統合されたアプリを通じて、サードパーティサービスにどんな権限が付与されたか理解する必要があります。365に対する多くの緩和策はサービス自体に適用される一方、サービスにアクセスするデバイスのセキュリティについて検討することも重要です。最低限として、デバイスにパッチがきちんと適用されていること、管理者権限を使わないこと、マルウェアへの防御メカニズムを実装していること、セキュリティログを収集することなどが挙げられます。NCSCは、関連するガイドラインを参照することを推奨します。