多要素認証でフィッシング攻撃を防ぐ方法

小規模（従業員50～249名）、中規模（従業員250～999名）、大規模（従業員1,000～4,999名）、エンタープライズ（従業員5,000名以上） 小規模、中規模、大規模、エンタープライズ

特徴

高度な攻撃検出、高度な自動化、どこからでも復旧など

グレイログ

多要素認証の仕組み

認証情報を盗むフィッシング攻撃に対する最善の防御策の一つは、MFAです。MFAは、アクセスを許可されるために個人が実行しなければならない追加の手順を課します。そのため、サイバー犯罪者がアカウントに侵入したとしても、アクセスに必要な追加の要素がないため、被害を及ぼすことは不可能です。

MFA は、認証プロセスに次のようないくつかの追加のセキュリティ要素を導入します。

• 知っていること：パスワードまたは PIN。
• コードを受け取るための電話、USB ドライブ、または電子メールなど、お持ちのもの。
• あなた自身を表すもの：指紋または顔認識。

MFA では、認証用の二次コード共有デバイスや生体認証ツールを用意することで、資格情報の窃盗犯がセキュリティ要素を突破することが困難になります。

誰かが悪意のあるリンクをクリックして認証情報が盗まれた場合、MFA は、SMS、電子メール検証、認証アプリ経由など、脅威の実行者がアクセスできない別の検証ポイントを提供します。

エンドユーザーにとっては、デバイスやノートパソコンで生体認証情報を入力するか、テキストメッセージやスマートフォンの認証アプリでコードを受信する必要があることを意味します。これは通常数秒しかかかりません。唯一の問題は、コードの受信に遅延が生じる場合です。

ただし、脅威アクターはMFA認証情報を侵害する方法を見つけ出すことで、攻撃の手口を巧妙化させていることに留意してください。サイバーセキュリティ・インフラセキュリティ庁（CISA）の警告によると、

広く使用されているフィッシング手法では、脅威アクターが標的にメールを送信し、ユーザーを、企業の正規のログインポータルを模倣した、脅威アクターが管理するウェブサイトにアクセスするよう誘導します。ユーザーはユーザー名、パスワード、そして携帯電話の認証アプリから取得した6桁のコードを入力します。

CISAは、フィッシング攻撃に対するクラウドセキュリティ全体を強化する方法として、フィッシング耐性のあるMFAの使用を推奨しています。これを実現するにはいくつかの方法があります。

ビジネスに最適なMFAソリューションの選択

あらゆる種類のMFAは、クラウド内のデータをフィッシング攻撃から保護するのに役立ちます。コンシューマーグレードのMFAは、テキストメッセージで送信されるコードを使用します。しかし、脅威アクターはユーザーを騙してこれらのコードを共有させる方法を見つけ出しています。さらに、ユーザーはすべてのアプリケーションとデバイスでMFAを設定しなかったり、MFAを完全に無効にしたりすることで、脆弱な状態になる可能性があります。

したがって、組織はフィッシング耐性のあるMFAを採用し、2層以上の認証レイヤーを組み込むことで、サイバー攻撃に対する高度な保護を実現する必要があります。MFAの候補に求められる機能は以下のとおりです。

コード共有

コードシェアは、携帯電話にテキストメッセージを送信するか、そのデバイスの認証アプリにコードを送信することで機能します。コードシェアだけでは十分ではありませんが、良いスタートとなります。

オンラインでの迅速なID

Fast ID Online (FIDO) は、別々のキーでデータを暗号化および復号化する非対称暗号化技術を活用します。FIDO 認証は、個別の物理トークンを使用するか、ノートパソコンやモバイルデバイスに埋め込まれた認証デバイスを使用するかの 2 つの方法のいずれかで機能します。

NFC

NFC（近距離無線通信）は、携帯電話、USBデバイス、フォブなどの物理的なセキュリティキーに埋め込まれた短距離無線技術を利用します。一部の方法では、スマートカードに埋め込まれたセキュリティチップを使用する場合もあります。

参照: Linux のセキュリティ保護ポリシー (TechRepublic Premium)

推奨されるMFAソリューション

利用可能なエンタープライズ グレードの MFA ソリューションはいくつかあります。

ピンワンMFA

PingOne MFAは、ワンタイムパスワードや生体認証といった標準的なMFA機能に加え、動的なポリシーを活用します。これにより、IT部門は認証プロセスを最適化し、ビジネスアプリケーションに認証を統合することができます。クラウドベースのMFAサービスであるPingOne MFAは、複数の要素を組み合わせることで、より強力な認証を実現します。例えば、ユーザーにスマートフォン上で生体認証指紋のスキャンを求めるといった具合です。

シスコデュオ

Cisco Secure Access by Duoは、すぐに使用できる多数の統合機能、シンプルな登録プロセス、そして便利なプッシュ認証機能を提供します。最も広く導入されているMFAアプリケーションの1つであり、使いやすさとセキュリティのバランスが取れています。Cisco Secure Access by Duoは、OneLogin、Okta、AD、Pingなどの一般的なIDプロバイダーと連携します。

IBM セキュリティ検証

IBMのMFAは、多くのIBMセキュリティツールおよびIBM製品と統合されているため、IBMツールを愛用する企業にとって最適な選択肢となります。クラウド版とオンプレミス版の両方が用意されており、アダプティブ・アクセスとリスクベース認証も備えています。IBM Security Verifyは、ほとんどすべてのアプリケーションでMFAを有効化でき、設定もほとんど必要ありません。現在、メールOTP、SMS OTP、時間ベースのOTP、音声コールバックOTP、FIDO認証などを第二要素としてサポートしています。