English -> Visit Original BeyondTrust page
最小特権は、最小特権の原則 (Principle of Least Privilege -PoLP) とも呼ばれ、ユーザー、アカウント、およびコンピューティング プロセスのアクセス権を、日常的な承認されたアクティビティを実行するために絶対に必要なリソースのみに制限するという概念と実践を指します。特権自体は、特定のセキュリティ制限を回避する権限を指します。最小特権セキュリティ モデルでは、ユーザーが自分の役割を実行できるようにするための、最小限のレベルのユーザー権限、つまり最低のクリアランス レベルを強制する必要があります。ただし、最小特権はプロセス、アプリケーション、システム、デバイス (IoT など) にも適用され、それぞれが承認されたアクティビティを実行するために必要な権限のみを持つ必要があります。
特権アカウントとアクセスの概要
システムによっては、人々への権限の割り当てや委任が、事業部門 (つまり、マーケティング、人事、IT) などの役割ベースの属性や、その他のさまざまなパラメータ (年功序列、時間帯、特別な状況など）。さらに、さまざまなオペレーティング システムでは、さまざまな種類のユーザー アカウントに対してさまざまなデフォルト権限設定が提供されています。
スーパーユーザーアカウント
主に専門の IT 従業員による管理に使用され、システムに対して事実上無制限の特権、または完全な権限を持つ場合があります。スーパーユーザー アカウントの権限には、完全な読み取り/書き込み/実行権限と、ファイルやソフトウェアの作成またはインストール、ファイルや設定の変更、ユーザーやデータの削除など、ネットワーク全体にシステム的な変更を与える権限が含まれます。Linux および Unix 系 (Mac を含む) システムでは、「root」と呼ばれるスーパーユーザー アカウントがシステムに対して実質的に全権を持ちますが、Windows システムでは、管理者アカウントがスーパーユーザー権限を保持します。特権アカウントにはさまざまな種類がありますが、スーパーユーザー アカウントは最も強力であり、悪用された場合は最も危険です。
標準ユーザーアカウント
最小特権ユーザー アカウント (LUA) または非特権アカウントと呼ばれることもあり、制限された特権セットを持ちます。最小権限の環境では、ほとんどのユーザーが 90 ～ 100% の時間でこれらのアカウントを操作する必要があります。
ゲストユーザーアカウント
標準ユーザー アカウントよりもさらに制限されたアクセス権を持ちます。
実際に、ほとんどの非 IT ユーザーは標準ユーザー アカウント アクセスのみを持つ必要がありますが、一部の IT 役割 (ネットワーク管理者など) は複数のアカウントを所有し、日常的なタスクでは標準ユーザーとしてログインし、スーパーユーザーとしてログインする場合があります。管理者アカウントは、標準ユーザー アカウントに比べてより多くの権限を持っているため、侵害または悪用された場合のリスクが高まるため、これらの管理者アカウントは絶対に必要な場合にのみ、必要な期間のみ使用することで運用をする必要があります。
特権アカウントに加えて、最小特権戦略では、アプリケーションやサービスなど内の特権プロセスも考慮する必要があります。たとえば、一部のアプリは機密リソースへのアクセスを要求したり、機能を実行するためにより高いレベルの特権を必要としたりする場合があります。特権アカウントと同様に、アプリケーションが侵害される可能性があり、攻撃者はアプリケーションの昇格された権限を悪用して攻撃を行うことができます。
最小特権モデルを実装する主な利点
- 凝縮された攻撃対象領域: ユーザー、プロセス、アプリケーションの権限を制限することは、悪用の経路と侵入も減少することを意味します。
- マルウェアの感染と伝播の削減: マルウェア (SQL インジェクションなど) は、インストールまたは実行を許可するプロセスを昇格するために必要な権限を拒否されるため。
- 運用パフォーマンスの向上: 承認されたアクティビティを実行するための特権の数を最小限の範囲のプロセスに制限することで、他のアプリケーションまたはシステム間で非互換性の問題が発生する可能性が減り、ダウンタイムのリスクが軽減されます。
- コンプライアンスへの容易な道筋: 実行できる潜在的なアクティビティを制限することで、最小限の権限を適用することで、複雑さが軽減され、より監査しやすい環境を構築できます。さらに、多くのコンプライアンス規制 (HIPAA、PCI DSS、FDDC、Government Connect、FISMA、SOX など) では、組織が適切なデータ管理とシステム セキュリティを確保するために最小特権アクセス ポリシーを適用することが求められています。
最小権限を実装する方法
概念的には単純ですが、最小特権アクセスは、次のような特定の変数によっては、効果的に実装するのが複雑になる場合があります。
- 異種システム (Windows、Mac、Unix、Linux など)
- アプリケーションとエンドポイントの数と種類の拡大 (デスクトップ、ラップトップ、タブレット、スマートフォン、IoT など)
- 多様なコンピューティング環境 (クラウド、仮想、オンプレミス、ハイブリッド)
- さまざまなタイプのユーザー役割
- サードパーティ/ベンダーのアクセス
最小特権環境の実装を検討している組織は通常、自動化された特権アクセス管理 (PAM) ソリューション、ファイアウォール、ネットワーク セグメンテーション、その他のツールや戦術に依存します。それぞれの簡単な内訳は次のとおりです。
特権アクセス管理 (PAM)
特権アイデンティティ管理 (Privileged Identity Management – PIM) または単に特権管理とも呼ばれ、アカウントを管理および保護し、ユーザー、アプリケーション、サービス、プロセス、タスクなどの特権の委任とエスカレーションのアクティビティを制御するためのソリューションと戦略の作成と展開が含まれます。 PAM ソリューションを使用すると、組織は (サーバーとデスクトップの両方で) ユーザーから管理者権限を削除し、代わりに、必要に応じて、承認されたアプリケーションまたはタスクの権限を昇格できます。
ネットワークのセグメンテーション
ファイアウォールの構成とルールによるさまざまなゾーンの作成などにより、広範な最小権限の強制が可能になります。ファイアウォールは、アプリケーションとサービスが異なる組み合わせで存在する可能性があるゾーン間のアクセスと移動を制御することにより、権限に基づいてユーザーを広範囲に制限できます。たとえば、ファイアウォールは、企業ネットワークと公衆ネットワークの間に DMZ (非武装地帯) を作成するためによく使用されます。ファイアウォールは、ゾーンに適用されるルールに基づいて、不正な権限昇格アクティビティ (サービス リクエストなど) をブロックすることもできます。
特権の分離
さまざまな種類の特権アカウントと非特権アカウントおよびアクティビティの分離、およびさまざまなアプリケーションおよびシステムのサブタスクまたはプロセスの特権の区分化が含まれます。これは基本的に、ユーザーとシステム/アプリケーション プロセスの周囲に堀を作成し、横方向の移動の可能性を減らすことで攻撃対象領域を凝縮します。
システムの強化
不要なプログラム、アカウント、サービスの削除が伴います。システム強化の一般的な使用例は、不要なファイアウォール ポートを閉じることです。この実践により、攻撃対象領域が減り、セキュリティ体制が大幅に改善されるだけでなく、環境の複雑さが軽減され、簡素化されます。
関連情報
製品
Privilege Management for Windows and Mac
Privilege Management for Unix & Linux