特権アカウントのパスワード管理に必要なこと

パスワードは不要？

先日マイクロソフトは個人利用のMicrosoft アカウントのパスワード廃止をアナウンスしました。

ただし、古いものはパスワードを利用しているので引き続き利用する場合は廃止すすることができません。
マイクロソフトアカウントのような個人利用のものはパスワードを廃止する流れがありますが、ビジネス用途だとすべてのパスワードを違う何かに置き換わることは難しいと考えられます。

古くからあるシステムはパスワードを使うことが前提になっており、認証方式を変更する場合台数が多いほど多額の投資と時間が必要になります。

また、Administratorやrootに代表される特権アカウントはある個人に紐づいていないため、それらのアカウントに対してワンタイムパスワードや生態認証を直接割り当てるのも現実的ではありません。

特権アカウントを使用するにはBeyondTrust Password SafeやPrivileged Remote Access (PRA)のような特権アカウント管理システムを利用することで二要素認証を実現します。

侵入を試みるハッカー（クラッカー）は、比較的に侵入しやすいエンドユーザーの端末から、次第に権限の強いアカウントを乗っ取ることを考えます。
特権アカウントを利用する場合、利用されているパスワードをクラッカーに知られないようにするにはいくつかの手法があります。

特権アカウントを誰がいつ、どのような理由で使うか確認するために申請と承認により管理することが可能です。

利用者がパスワードを閲覧できるようにすると、悪意がなくてもウィルスとか、思わぬ事故で第三者にパスワードが第三者に漏れるリスクがあります。

パスワードを見せない方法としては、システムの代理入力によるシングルサインオンが考えられます。

シングルサインオンによるセッションの様子は録画され後で誰が何をしたか確認できます。

シングルサインオンが利用できないシステムの場合では、特権アカウントを使用した後パスワード変更を行うことで、そのユーザーが利用したパスワードは利用できなくなります。

万が一、利用者から利用したパスワードが漏洩してもそのパスワードは利用できないので悪用を防止できます。

クラッカーはシステムの侵入にはかなり長い時間をかけます。侵入後により高い権限をもつアカウントを時間をかけて乗っ取るためです。
そのアカウントを使用しなくても定期的にパスワードを変更することが必要です。

通常、パスワードは人が利用するため覚えやすいものを指定します。簡単な単語や誕生日などを組み合わせることがよくあります。

ただし、そのようなパスワードの決め方だとパスワードを言い当てられる可能性があります。それを防ぐにはエンドユーザーの場合はワンタイムパスワードや生態認証などを組み合わせた二要素認証を採用することで対策できます。

特権アカウント管理システムは特権アカウントのパスワードを管理します。そのため特権アカウント管理システムを通じて利用するため認証情報を覚える必要がなく複雑なパスワードを設定することが可能になります。

Password Safeではパスワードポリシーを設定することで文字数、文字種（大文字、小文字、記号）の指定からランダムでパスワードを生成し対象サーバーにパスワードの更新を行い、保管します。

パスワードは文字数が多いほど解析される可能性が低くなり、ランダムに生成することにより推測することが難しくなります。

ランダムパスワードを使用することで、Password SafeやPrivileged Remote Access (PRA)のような特権アカウント管理システム経由でしか利用できなくなります。そこで、誰がいつ、だれが、どのような理由でどこから利用したか確認できるようにあります。