VPNを制するものがランサムウェアを制す！ 認証強化で防御率はどこまで上げられるのか？ 防御率99％への対策優先順位とロードマップを作る 第２回 認証選定・実装編

おきじー

第１回（原因分析編）の振り返り

ランサムウェア侵入の最大要因は「VPN経由のログイン」であり、その本質は突破される認証を使っていたから突破されたという点にありました。
つまり、突破できない強力な認証を例外なく必須化すれば、VPNは安全に使えるという結論に至りました。

第２回では、この「強力な認証」とは何か、どの方式を選ぶべきなのか、そしてどう実装すればよいのかを具体的に検討します。ここで紹介する認証方式を実装することで、VPNを安全に使えるだけでなく、サプライチェーン攻撃、IoT機器を踏み台にした攻撃、そしてセッションハイジャック攻撃のように「防ぎようがない」とされてきた攻撃を、専門の技術者がいなくても“構造的に無害化”できるようになります。

この「突破されない認証構造」の実装こそが、三部作全体の基盤となる中核であり、ここを押さえることで次回のクラウド・検証・検知編が一つの線としてつながります。

第二歩：強力な認証はどれを選べばよいのか？ なぜFIDOカードなのか？

ランサムウェア対策として用いる「強い認証」を選ぶ条件は次のとおりです。

  • リアルタイムフィッシングやインフォスティーラーで窃取されないこと

  • 使用するツール・装置（IDaaS、PAM、VPN、RDP、ZTN）がその認証をサポートし、必須化できること

  • クラウドサービスにネイティブ対応していること

  • 社内・職場内だけでなく外部委託先・サプライチェーンでも運用できること

  • 登録・削除・再発行を管理者以外が行えないこと

  • 必須化するために全員配布できる費用感であること

これらを満たさない認証は、どれほど“多要素”を名乗っていてもランサムウェア対策としては不十分です。

認証の強さを「鍵と錠」でイメージする

  • ID・パスワード方式：針金で開く錠

  • 従来型MFA（SMS/OTP/アプリ）：ピッキングで開く錠

  • FIDO（パスキー含む）：ピッキング対策済みの錠と鍵

ここまでは多くの人が理解していますが、実はここに“重大な落とし穴”があります。

パスキーの「合鍵問題」

少し前に、ピッキング対策済みの鍵なのに家に侵入された事件が話題になりました。鍵そのものは盗まれていないのに、鍵に刻印された番号（合鍵番号）を写真で撮られただけで合鍵が作られたというものです。

パスキーにもこれと同じ構造があります。

  • パスキーの秘密鍵は、スマホの機種変更でも使えるようクラウド同期される

  • 同期に使う Apple ID / Google アカウントが“合鍵番号”の役割を果たす

  • 攻撃者がクラウド同期アカウントを奪うと、秘密鍵が攻撃者の端末に自動ダウンロードされる

つまり、パスキーはクラウド同期アカウントを奪われると“合鍵を作られる”というリスクがあり、ランサムウェア対策としては強度が足りません。

FIDOセキュリティキーは“合鍵が作れない鍵”

同じFIDO技術でも、FIDOセキュリティキーは秘密鍵を物理デバイス内で生成し、取り出しもコピーも不可能です。

これは「合鍵が絶対に作れない鍵」に相当します。

そしてFIDOセキュリティキーは、

  • CISAもFIDOセキュリティキーのみを強く推奨

  • 主要IDaaS・PAMがネイティブ対応

  • VPN・RDP・ZTNはIDaaS連携でFIDO必須化が可能

  • IDaaSで登録・削除・再発行を集中管理できる

  • IDaaSでサプライチェーンにも同じ運用を強制できる

  • クラウドサービスも Microsoft 365、Google Workspace、AWS/Azure/GCP など主要サービスがネイティブ対応しています。

強度・互換性・運用性のすべてを満たす唯一の認証がFIDOセキュリティキーです。

問題は「価格」だけ

FIDOセキュリティキーは強度・運用性ともに唯一の答えですが、
1個5千円〜8千円では全員配布が難しいという課題があります。

解決策：FIDOカード

FIDOカードは、FIDOセキュリティキーのNFC接続部分をカード形状にしたもので、Windows PC、iPhoneでWebAuthn動作を確認済みです。
今回用意したFIDOカードは、

  • 1万枚発注時：千円台

  • 10万枚発注時：千円台前半

  • →全員配布が現実的な価格帯になる

  • カード形状は既存のクレジットカード製造ラインをそのまま使えるため、設備投資ゼロで大量生産が可能になります。

さらに用意したFIDOカードはMifareカードとして4バイトのUIDを出力可能であり、

  • 社員証・職員証

  • 入退室管理

  • 勤怠管理

  • 電気錠の鍵

としても利用できます。物理セキュリティとサイバーセキュリティを1枚で統合できる点は、他の認証方式にはない大きな利点です。

管理者用には指紋認証機能付きFIDOカード

物理デバイスの弱点として、盗難・紛失の問題があります。FIDOセキュリティキーは仕様としてPINコードがサポートされており、PINを入力しなければFIDO認証を開始しない設定が可能です。これにより盗難・紛失時でも第三者が認証に使うことができません。これをさらに強化する方法として指紋認証機能をFIDOカードに搭載することができます。

  • 指紋で本人確認ができた場合のみ、FIDO認証チップがONになる

  • スキミング耐性が大幅に向上する

  • PINを使わずに“本人のみが使えるカード”を実現できる

  • 管理者アカウントの価値とリスクを考えれば最も合理的な選択肢となる

特に管理者アカウントは、侵害された場合の被害規模が桁違いであるため、
一般ユーザーとは別レベルのセキュリティ強度が求められます。

さらに重要なのは、指紋認証はFIDOカード内で完結し、指紋データが外部へ送信されることは一切ないという点です。クラウドやサーバーに指紋データが保存されることはなく、プライバシー面でも安心です。

まとめ

  • ランサムウェア対策に必要な「強力な認証」の条件をすべて満たすのはFIDOセキュリティキーのみ

  • 価格の課題を解決し、全員配布を可能にするのがFIDOカード

  • 以降のステップ（IDaaSによるFIDO必須化・PAMによる横移動封鎖）は、このFIDOカードを前提に構築します

次の第三歩では、このFIDOカードを例外なく必須化するためのIDaaS統制について解説します。

第三歩：IDaaSを使ったFIDOカード必須化　例外を作らない

ランサムウェアの主要な侵入経路は、VPN・RDP・ZTNなどの“外部からのログイン”です。ここをFIDOカード必須の認証構造に統一し、例外を一切作らないための中核ツールがIDaaSです。IDaaSを使うことで、FIDOカードの登録・削除・再発行・例外管理をすべて中央で統制でき、組織内外を含めた「認証の完全管理」が可能になります。

具体的なIDaaSを使ったFIDOセキュリティキーの設定方法については別記事で詳細を書いていますので、そちらを参照して下さい。

侵入されなければ、ランサムウェア被害は起こらない！ EDRアラートが鳴らない世界への鍵とは？
 https://note.com/oki_g/n/n4bea63a4bc52

本記事ではIDaaSを使ってFIDOカードをどのように運用できるのか、ランサムウェアの防御率はどうなるのかについて解説します。

IDaaSでFIDOカードを運用すると実現できること

1. 外部からのログインをIDaaSに統一し、「FIDOカードなしの認証」を排除できる

  • VPN、RDP、ZTN、クラウド管理画面など、外部から入れる入口をすべてIDaaSに集約して管理

  • IDaaS側で「FIDOカードなしのログインを許可しない」設定が可能

  • 外部委託者・メンテナンス業者・サプライチェーンも例外なし

  • 認証情報が盗まれても、FIDOカードがなければログイン不可能

特にRDPは侵入のほぼ100％が“認証突破”であり、FIDOカード必須化によりRDP経由の侵入は構造的にゼロにできます。

2. FIDOカードの登録・削除・再発行をIDaaS側だけに限定できる

  • 現場の管理者や外部委託者が勝手にFIDOカードを登録・削除できない

  • 登録されたFIDOカードはすべて中央で可視化・監査可能

  • 「知らないFIDOカードが勝手に登録されていた」という事態をゼロにできる

内部不正・サプライチェーン側の不正の両方を防ぎます。

3. 紛失・忘れなどの緊急時も、管理者が安全に臨時カードを発行できる

  • IDaaS側でブランクカードを登録 → 一時的なFIDOカードとして発行

  • 予備カードは原則禁止（悪用リスクが高い）

  • 管理者用の緊急カードのみ金庫で厳格に保管

  • 遠隔地の場合は「権限なしの予備カード」を渡し、必要時にIDaaSで権限付与

“緊急時の例外運用”が攻撃の入口になることを防ぎます。

4. 野良VPN・未登録IoT機器を排除し、サプライチェーンの責任範囲を明確化

  • 外部から接続可能な機器は「IDaaSへの登録を契約で義務化」

  • 定期的な脆弱性診断で未登録機器を検出

  • 発見した機器はIDaaSの管理下に置くか、接続禁止

入口の棚卸しを継続的に行うことで、攻撃者が潜む余地を消します。

5. IDaaS管理者アカウントは最重要。FIDOカード以外のログイン手段は封印する

  • 管理者はFIDOカード必須

  • 緊急用パスワードは封印して金庫保管

  • 管理者アカウントの乗っ取り＝組織崩壊なので、最も厳格に保護する

IDaaS全体の安全性を支える根幹です。

まとめ

第三歩で認証突破の侵入は「構造的に100％阻止」できる

認証突破はランサムウェア侵入のうち実質50〜70％を占めます。
その中でも特に大きいのが以下の2つです。

  • RDP侵害：30〜40％ → ほぼ100％が認証突破 → FIDOカード必須化で完全に封じられる

  • VPNの認証経由のログイン：10％前後 → FIDOカード必須化で防げる

したがって、IDaaSでFIDOカードを必須化する第三歩により、
全体の約40％の侵入経路を構造的に遮断できます。

参考：認証突破40％を潰すと、EDRの世界が劇的に変わる

第三歩の防御率40％という数字は控えめですが、認証突破による侵入は正規アカウントを使ったログインと同じであり、EDRが検知しにくい侵入を構造的に阻止しています。その結果、EDRが“本当に危険な動きだけ”に集中できる環境が整い、従来の対策に対して第三歩を加えるだけで防御率は一気に跳ね上がります。

第四歩：PAMを使った権限昇格・横移動の防止

― 認証を経由しない侵入は“無害”だが、放置すると必ず権限昇格に向かう ―

第三歩で「認証を経由する侵入」をほぼ封じた後に残るのが、VPN機器の脆弱性などを突いた認証を経由しない侵入です。これは世界中で完全に防ぐことができていない領域であり、ゼロデイが出れば誰でも侵入されてしまいます。ここで重要なのは次の点です。

攻撃者がネットワークを掌握するには、必ず次の3段階を踏みます。

  1. 侵入（認証なし）

  2. 権限昇格（ローカル管理者 → ドメイン管理者）

  3. 横移動（AD・サーバ・バックアップ・EDR・PAMの破壊）
    つまり、②の権限昇格を止めれば③も止まり、攻撃は詰む。
    この②を止めるための唯一の仕組みが PAM（Privileged Access Management：特権ID管理）とMDM（Mobile Device Management）です。

海外ではIDaaS＋PAMが定番

多くの人が「PAMで権限昇格を止められる」なんて聞いたことがないと感じられると思います。ところが海外ではランサムウェア対策としてIDaaS＋PAMが定番となっています。日本では「侵入は100％止められない」という前提を受け入れ、検知以降の対策に集中してきた歴史があります。そのため「権限昇格後の対策」ばかりが議論されてきました。

一方、海外では攻撃チェーンを分解し、どの段階で攻撃を止めるかを長年試行錯誤してきました。その結果、
① 認証突破をIDaaSで止める
② 権限昇格をPAMで止める
という役割分担が確立し、IDaaS＋PAMをセットで使いこなす文化が熟成されています。

ここで重要なのは、PAM単体で権限昇格が止められるわけではないという点です。PAMは「特権操作をすべて一つの経路に集約し、その経路を強固に守る」ことで初めて権限昇格を封じることができます。海外ではこの“特権経路の一本化”を徹底してきた歴史があります。

攻撃者の動きは世界中どこでも同じです。

  1. 認証突破（VPN・SaaS・管理画面）

  2. 権限昇格（Domain Admin / root）

  3. 横移動（RDP・SMB・AD）

  4. ランサム展開・破壊

このうち、

  • ①を止めるのがIDaaS

  • ②を止めるのがPAM

だから海外では、この2つをセットで導入するのが定番になっています。これは本記事の第三歩と第四歩に相当します。では単純にIDaaSとPAMを導入すればよいかというとそれだけでは防御率はそれ程上がらないのは海外でも同じです。

海外でIDaaS＋PAMで高い防御率を実現している企業の共通点

海外で高い防御率に到達している企業は、次のような極めて成熟したゼロトラスト環境を持っています。海外ではランサムウェア被害が桁違いに多く、攻撃チェーンを分解して「どの段階で攻撃を止めるか」を長年試行錯誤してきた歴史があります。その結果として、IDaaSとPAMを“入口”と“権限昇格”の二段階の防御装置として使いこなす文化が形成されました。
しかし、このようなゼロトラスト環境を実現できるのは人的・経済的リソースが潤沢な企業に限られます。そこで以下の共通点から、認証強化によって本当に必要なポイントだけを抽出し、最小限のリソースで再構築していきます。

① ローカル管理者が完全廃止されている

  • 全端末でローカル管理者が無効

  • ベンダー保守もローカル管理者禁止

ローカル管理者が存在しないだけで、攻撃者が横移動に成功する確率は劇的に下がります。

② RDPはPAM経由のみ（直接RDP禁止）

  • RDPポートは全閉

  • PAMのプロキシ経由でしかRDPできない

RDP直打ちが不可能になるため、攻撃者はRDPを使った横移動がほぼできなくなります。

③ VPNが存在しない（ZTNのみ）

  • VPNを完全廃止

  • すべてのアクセスがアプリ単位で制御

  • ネットワーク層の横移動が構造的に消える

ただし、第三歩で入口を封じ、第四歩で権限昇格を封じることができれば、VPNを廃止する必要はありません。VPNは“ただの通信路”となり、攻撃者が悪用できる構造が消えるため、無理にZTNへ移行する必要はありません。

④ IDaaSで全アカウント統合（例外ゼロ）

  • SaaSもオンプレもIDaaSで統合

  • 例外ログインが存在しない

  • パスワードの“裏口”が消える

第三歩でIDaaS統合は既に実施済みなので、第四歩ではPAMログインもIDaaSに統合するだけです。
PAMログインがIDaaSの外にあると、それが“例外ログイン”となり、攻撃者にとって最大の突破口になります。

⑤ PAMで特権操作が完全プロキシ化

  • 特権パスワードは非公開

  • 特権操作はすべて録画

  • 特権昇格が構造的に不可能

PAMは本来「パスワード金庫」ではなく、特権操作を一つの経路に集約し、その入口を強固に守るための仕組みです。海外ではこの“特権経路の一本化”が徹底されています。

⑥ MFAはリアルタイムフィッシング耐性の高い方式

FIDOではないが、次のような強力なMFAが使われています。

  • WebAuthn（プラットフォーム認証）

  • プッシュ通知＋番号マッチ

  • デバイス証明書＋アプリ認証

  • リスクベース認証

FIDOほど強くはないが、パスワード＋OTPよりは圧倒的に強力です。

ただし、PAMログインに関してはこれでも不十分です。
強力なMFAでもセッション乗っ取りや中間者攻撃の余地が残るため、PAMの入口としては強度が足りません。

この共通点では明示されていませんが、PAMのログインがFIDOカードでなく強力なMFAのままだと、PAM自体が突破されるリスクが残ります。IDaaSを経由しないPAMログインが可能な場合は、別途FIDOカード必須化で守らない限り、攻撃者にPAMを乗っ取られ、簡単に権限昇格されてしまいます。

PAM使って権限昇格を止めるための追加設定

海外の成熟したゼロトラスト環境では、PAMは「特権IDの金庫」ではなく、特権操作を唯一の経路に集約し、その入口を強固に守るための仕組みとして運用されています。しかし、一般的なPAM製品をそのまま導入しただけでは、この構造は再現できません。権限昇格を確実に封じるためには、次の追加設定が不可欠です。

① ローカル管理者の完全廃止（MDMで強制）

  • 全端末からローカル管理者を削除

  • ベンダー保守もローカル管理者禁止

  • 端末管理はMDMで一元化

ローカル管理者が残っている限り、攻撃者は端末を奪取した瞬間に“権限昇格の足場”を得てしまいます。ローカル管理者を廃止するだけで、権限昇格の成功率は桁違いに下がります。

② すべての特権操作をPAMプロキシ経由に統一

  • RDP、SSH、PowerShell、DB接続など、特権操作はすべてPAM経由

  • 特権パスワードは非公開化

  • 操作ログはすべて録画・保全

特権操作が複数の経路に分散していると、攻撃者は“例外経路”を探して突破します。特権操作をPAMに一本化することで、PAMを突破しない限り権限昇格ができない構造が成立します。

③ サービスアカウントもPAMで管理

  • サービスアカウントのパスワードをPAMでローテーション

  • アプリケーションからはPAM API経由で取得

  • 人間がパスワードを知ることがない状態を維持

サービスアカウントは攻撃者にとって“静かに権限昇格できる最強の裏口”です。ここをPAM管理に移すことで、攻撃者が横移動に使えるアカウントが消滅します。

④ RDP直打ち禁止（PAM経由のみ）

  • RDPポートは全閉

  • PAMのプロキシ経由でのみRDP可能

  • ログイン元IPの制御もPAM側で一元化

RDP直打ちが可能な環境では、攻撃者は認証情報を奪った瞬間に横移動できます。RDPをPAM経由に限定することで、攻撃者はPAMを突破しない限り横移動できない状態になります。

⑤ PAMログインをIDaaS経由でFIDOカード必須化

  • フィッシング不可

  • 中間者攻撃不可

  • リプレイ不可

  • デバイス固有鍵で署名

強力なMFAであっても、セッション乗っ取りや中間者攻撃の余地が残ります。PAMは特権操作の唯一の入口”であるため、ここが突破されればすべてが終わります。PAMログインもIDaaSに統合しFIDOカードを必須化することで、PAMログインの奪取が物理的に不可能になります。

⑥ PAMを突破しない限り特権操作ができない構造を完成させる

  • 端末を奪われてもローカル管理者がない

  • RDP直打ちができない

  • 特権操作はすべてPAM経由

  • サービスアカウントもPAM管理

  • PAMログインはFIDOカード必須

これらを組み合わせることで、攻撃者が侵入しても PAMを突破しない限り権限昇格ができない構造が成立します。

⑦（最重要）IDaaS経由だけでなく、PAMネイティブログインもFIDOカード必須化する

ここが最も見落とされやすいポイントです。

PAMには入口が2つあります。

  • IDaaS経由のログイン（SAML/OIDC）

  • PAMネイティブのローカルログイン（製品が内部に持つ独自認証）

IDaaS側でFIDOカードを必須化しても、ネイティブログインが残っていれば攻撃者はそこを攻撃します。
PAMは特権操作の唯一の経路であるため、ネイティブログインが破られた瞬間に PAMそのものが攻撃者の“権限昇格ツール”に変わります。

そのため、

  • IDaaS経由ログイン → FIDOカード必須

  • PAMネイティブログイン → FIDOカード必須

この“二重のFIDO化”が揃って初めて、PAM突破＝物理的に不可能になります。

まとめ

第四歩では、PAMを“唯一の特権経路”として固定する追加設定を行うことで、権限昇格と横移動を構造的に不可能にできます。これにより、侵入後の攻撃チェーン（権限昇格 → 横移動 → Domain Admin → ランサム展開）を100％阻止できます。

第三歩と第四歩を連携させることで、オンプレミス環境における侵入から権限昇格・横移動を二段構えで遮断し、Domain Admin 取得 → ランサム展開 を事前に止めることができます。

この二段構えにより、EDRが検知する前の段階で攻撃チェーンの大部分を潰すことができ、EDRは“残りカスだけ”を見ればよい状態になります。

第三歩＋第四歩の大きな利点は、FIDOカード全員配布と、IDaaS、PAM、MDMの３つのツールを導入するだけで実現し、導入後はほとんど人手をかけず、VPNを無理にZTNへ置き換える必要もなくオンプレミス環境への侵入からのランサムウェア攻撃を検知前に阻止できる点です。

さらに重要なのは、FIDOカード全員配布とIDaaSによるFIDOカード必須化、そしてPAMとMDMによる権限昇格の封鎖を組み合わせることで、これまで「防げない」とされてきた攻撃の多くを“構造的に無害化”できる点です。

サプライチェーン攻撃

外部委託先・保守業者・サプライチェーンにもFIDOカードを配布し、IDaaSで外部からのログインをFIDOカード必須化することで、サプライチェーンから窃取したアカウント情報を悪用した侵入は物理的に不可能になります。パスワード・OTP・アプリMFAといった“裏口”が完全に消えるため、サプライチェーン攻撃の大部分を構造的に遮断できます。

IoT機器を踏み台にした攻撃

IoT機器が乗っ取られても、FIDOカードがなければログインできず、PAMとMDMにより権限昇格も横移動も不可能です。侵入はされても権限ゼロのまま攻撃が詰むため、IoT機器を踏み台にした攻撃は実質的に無害化できます。

セッションハイジャック攻撃（Cookie盗難・ブラウザ乗っ取り）

セッションを奪われても、特権操作はすべてPAMプロキシ経由であり、PAMログインはFIDOカード必須です。奪ったセッションで一般ユーザー権限で侵入できても、FIDOカードなしでは特権に触れられず権限昇格ができません。そのため、セッションハイジャックは“侵入だけ”で攻撃チェーンが進みません。管理者のセッションが奪われても同様で、FIDOカードなしでは特権操作に到達できません。

これらの攻撃は従来の「検知してから対応する」対策では大量のリソースを投入しても完全に防げなかった領域であり、FIDOカード全員配布とIDaaS＋PAM＋MDMの組み合わせによって専門の技術者がいなくても実現できる“構造的な防御”が可能になります。

防御率については、第三歩で認証突破の侵入（全体の約40％）を封じ、第四歩で認証を経由しない侵入（約10％）に対して権限昇格・横移動を封じることで、攻撃経路の合計50％を“構造的に”遮断できます。認証を経由しない侵入は“侵入直後は権限ゼロ”であるため、権限昇格さえ止めれば実質的に無害化できるという構造的根拠があります。

防御率が50％どまりなのは、現在のオンプレミスとクラウドのハイブリッド環境では、クラウド側の攻撃（SaaS設定ミス・ブラウザセッション奪取・同期アカウント奪取）を第三歩と第四歩では止められないためです。
これらは第五歩〜第七歩で別途対処する必要があります。

次回は・・・

第3回は「クラウド・検証・検知編」として、残りの第五歩から第十歩を扱います。

仕上げとなる第五歩以降では、クラウド権限管理、インフォスティーラー対策、クラウド同期アカウントの保護、脆弱性診断、バックアップ、そして最後の砦としてのEDRまで、クラウドの攻撃チェーンを段階的に潰しながら完成形へと解説していきます。

オンプレミス側の攻撃チェーンは第三歩と第四歩で“構造的に”遮断できますが、現代のハイブリッド環境ではクラウド側の攻撃（SaaS設定ミス・ブラウザセッション奪取・同期アカウント奪取）が残ります。第五歩〜第七歩は、このクラウド側の攻撃チェーンを止めるためのステップです。

第五歩：クラウドの攻撃チェーンを潰す（SaaS／IaaSの権限管理）
第六歩：パスワードマネージャによるインフォスティーラー対策とレガシー認証の実質FIDO化
第七歩：FIDOカードを使ったクラウド同期アカウントの保護
第八歩：脆弱性診断で設定ミスや未登録の穴を塞ぐ
第九歩：バックアップの導入
第十歩：EDRやウイルス対策ソフトによる最後の砦


いいなと思ったら応援しよう！