OOB認証 · 横展開対策

侵入された端末から、次の1台へ。その接続に本人認証を求める

社員のPCが1台、侵害されたとします。

攻撃者はそのPCを操作でき、社員の資格情報も手にしています。次に狙うのは、社内のファイルサーバーや管理用サーバーです。接続先が盗まれた資格情報を受け入れるなら、正規の利用者に見えるまま、被害が別の機械へ広がる可能性があります。

Lantern DSSEが取り組んでいるのは、この「次の接続」です。接続先の認証とは別に、ネットワークの接続を許可する段階で、本人認証を求めます。

重要な接続には、ステップアップ認証を必須にする

端末にログインしていることや、接続先のパスワードを持っていることだけでは、重要なサーバーへの接続を許可しない。そこでもう一段、強い認証を要求する。これがステップアップ認証の考え方です。

例えば、指紋・顔認証を伴うパスキーや、セキュリティキーによる認証を、対象の接続に必須とするポリシーです。攻撃者が盗んだパスワードを入力し直すだけでは、条件を満たせないようにします。

どの接続に、どの強さの認証を求めるかは、業務や接続先の重要度に合わせて決めます。日常的な通信と、重要なサーバーへの管理接続を、同じ条件で扱う必要はありません。

追加認証を要求する接続に、有効な許可がない場合、DSSEは接続を保留します。

ここで動くのが、エージェントに組み込まれたOOB（Out-of-Band）認証です。エージェントが専用の認証画面を提示し、利用者はそこで求められた認証を行います。

認証が完了し、必要な条件を満たすと、保留していた接続がそのまま進みます。利用者が接続操作をやり直す必要はありません。

操作は、「接続する、求められた認証を済ませる、そのまま使う」という流れです。接続先のアプリケーションごとに、DSSEの認証画面を組み込む必要もありません。

OOBとは、接続しようとしている通信と、その接続を許可するための認証を、別の経路で扱うことです。DSSEでは、その認証をエージェントが仲介します。

ここで想定するのは、攻撃者が一般ユーザーの権限で端末を操作できる一方、DSSEの制御を無効化する権限や、ステップアップ認証に必要な手段までは得ていない場面です。

攻撃者が社内サーバーへの接続を要求しても、必要な認証条件を満たせなければ、その接続は進みません。端末を操作できることと、次の機械への接続を許可されることの間に、本人認証を置きます。

この仕組みで重要なのは、認証画面を表示することだけではありません。攻撃者が持っている資格情報だけでは通過できない認証を要求することです。同じ盗まれたパスワードを再入力するだけなら、追加認証を置く意味は薄れてしまいます。

生体認証を伴うパスキーやセキュリティキーなどを利用し、必要な場面で本人の操作を求める。これが、OOB認証を横展開への対策として使うときの中心になります。

運用では、認証方式に加えて、認証結果をどこまで再利用できるかも重要です。

どれだけ前の認証を受け入れるのか。許可をどの接続先に適用するのか。いつ再認証を求め、いつ許可を失効させるのか。これらを、接続先の重要度と業務上の使いやすさに合わせて検討します。

また、対象の通信が実際にDSSEの制御を通ることも前提です。管理対象の端末や通信経路、適用除外を含めて、守りたい接続が制御の対象になっているかを確認します。

DSSEとあわせて、EDRを導入することを推奨します。DSSEは接続の認証とアクセス制御を担いますが、端末内の不審な活動を検知し、調査・隔離するEDRの代わりにはなりません。

本人が認証しても、侵害された端末が安全な状態に戻るわけではありません。同じ端末上の攻撃者が、本人の認証で得られた有効な許可を利用する可能性もあります。

また、端末内だけで完結する情報窃取や暗号化は、別の機械への接続を制御するだけでは防げません。

DSSEで接続先や許可の有効期間を管理し、EDRで端末内の侵害を検知して対処する。この両方を組み合わせることで、横展開の抑制と、侵害された端末への対応を進めます。

Lantern DSSEは現在、Experimentalとして公開しています。利用できる認証方式は、連携する認証基盤と端末の構成によって異なります。評価環境で、必要なステップアップ認証と接続制御の動作を確認してください。

評価では、接続が保留され、エージェントが認証を求め、認証後にそのまま接続が成立する一連の流れを確認します。あわせて、認証を完了しなかった場合や、要求する認証条件を満たさなかった場合に、接続が許可されないことも確かめます。

正当な利用者は、求められた認証を済ませ、そのまま仕事を続ける。攻撃者には、盗んだ資格情報だけでは満たせない条件を課す。

侵入された、その次の接続に、本人認証を。これがLantern DSSEのOOB認証が目指す防御です。