Paper Files / IAM

脅威志向のレジリエントなIAMアーキテクチャ: Zero Trustと行動検知に基づく適応モデルの形式化、実装、および実証的評価

2008-07-29IAMJA

TITLE: 脅威志向のレジリエントなIAMアーキテクチャ: Zero Trustと行動検知に基づく適応モデルの形式化、実装、および実証的評価 ABSTRACT: ハイブリッドおよびマルチクラウド環境の採用拡大は、デジタルアイデンティティを組織セキュリティ制御の主要なベクトルへと変貌させた。Identity and Access Management (IAM) システムは、当初はアカウントと権限のプロビジョニングを行う管理機構として構想されたが、現在では高度な攻撃、とりわけ認証情報の侵害、セッション・トークンの悪用、権限昇格に基づく攻撃の緩和において中心的役割を担うようになっている。近年の報告は、有効な認証情報が依然として企業環境における主要な侵入ベクトルの一つであることを示している。しかし、従来のIAMアーキテクチャは依然として主として Role-Based Access Control (RBAC) のような静的な認可モデルに基づいており、運用リスクに関連する文脈的・行動的変化に動的に対応できないことが多い。本研究では、Zero Trust の原則、動的リスク評価、およびセキュリティテレメトリに基づく行動検知を統合した、脅威志向のレジリエントIAMアーキテクチャを提案する。我々は、アイデンティティの感度、運用コンテキスト、行動逸脱、および要求されたアクションの重要度を組み合わせる適応的リスクモデルを数学的に形式化した。この形式化に基づき、動的なリスク閾値に応じた適応認証およびブロッキング制御を適用可能なアクセス決定メカニズムを設計した。さらに、2023年の企業環境で広く採用されている Azure Active Directory、AWS IAM、Elastic Stack、Suricata、および Open Policy Agent を含む技術を用いて、運用可能なプロトタイプを実装した。数千のシミュレーションされたアイデンティティと、30日間にわたり収集された運用テレメトリを含む実験環境において実証評価を行った。その結果、静的RBACベースラインと比較して、認証情報悪用の平均検知時間の大幅な短縮と、過剰権限の有意な減少が示された。さらに、セキュリティチームに対する運用上の含意を分析し、テレメトリ品質およびモデル・パラメータの較正に関連する制約について議論した。結論として、行動分析、文脈評価、および適応的ポリシーの統合は、現代の企業環境におけるレジリエントなIAMアーキテクチャ構築において重要な進展をもたらすと考えられる。

はじめに

Identity and Access Management（IAM）は、この20年間で大きく進化した。当初は、アカウント作成と権限付与のための管理機構として構想されていたが、IAMは分散したデジタル環境における組織セキュリティの中核となった。クラウドサービス、SaaSアプリケーション、弾力的なインフラストラクチャ、モバイル端末の大量採用により、従来の境界防御に基づくセキュリティモデルは、アイデンティティ中心のパラダイムへと移行した（ROSE et al., 2020）。

複数の実証的報告は、この現象の重要性を示している。2023年の Data Breach Investigations Report は、有効な認証情報の使用が分析対象インシデントの大部分に存在し、しばしば総当たり攻撃、パスワードの再利用、ソーシャルエンジニアリングと組み合わされていることを示している（VERIZON, 2023）。MITRE ATT&CK フレームワークに文書化された password spraying（T1110）、有効アカウントの悪用（T1078）、および侵害済み認証情報に基づくラテラルムーブメントのような技法は、侵入キャンペーンにおいて繰り返し現れている（MITRE, 2023）。

さらに、近年のインシデントは、IAMアーキテクチャにおける欠陥の体系的な悪用を示している。最も一般的なベクトルには、多要素認証フローに対する adversary-in-the-middle 攻撃、誤設定されたOAuth統合の悪用、ならびにパブリッククラウド環境における過剰権限の悪用が含まれる。CVE‑2021‑44228（Log4Shell）のように広く悪用された脆弱性は、ソフトウェアの欠陥が、認証情報の侵害およびそれに続く権限昇格の初期侵入点として機能し得ることを示した（NIST, 2021）。

脅威が進化しているにもかかわらず、多くの組織は依然として静的な認可モデルに基づくアクセス制御システムを運用している。RBACモデルは広く採用されているものの、地理的位置、端末状態、行動履歴、操作の機微性といった文脈要因がアクセス要求に関連するリスクに直接影響する、きわめて動的な環境に適用した場合、重大な制約を示す。

この状況を踏まえ、我々は以下の研究課題を設定する。

RQ1: アイデンティティ、文脈、行動を考慮して、IAMシステムにおける動的リスクをどのように形式的にモデル化できるか？

RQ2: 行動分析と適応的認可ポリシーを統合することで、認証情報悪用の平均検知時間を有意に短縮できるか？

RQ3: 大規模企業環境において、適応的リスク評価機構の導入が運用面および計算面に与える影響は何か？

これらの課題に答えるため、我々は3つの主要な貢献を提示する。第一に、IAMシステムにおける動的リスク評価のための形式的な数学モデルを提案する。第二に、運用テレメトリを統合し、適応的な認証・認可制御を適用できる意思決定アルゴリズムを設計する。最後に、現代的な企業インフラを代表する実験環境において実証評価を実施する。

本論文の残りの構成は以下の通りである。第2節では基礎概念と関連研究を示す。第3節では脅威モデルと提案するリスク関数を形式化する。第4節では方法論とシステムアーキテクチャを説明する。第5節では実装の詳細を示す。第6節では実験評価を論じる。第7節では適用事例を示す。第8節では実務上の含意と制約を論じる。第9節で本研究を結論づける。

背景および関連研究

2.1 IAMの基礎

形式的には、アクセス制御システムは、ユーザ集合 $U$、リソース集合 $R$、およびアクション集合 $A$ から成る集合として表現できる。権限集合は次のように定義できる。

$$ P \subseteq U \times R \times A $$

Role-Based Access Control（RBAC）モデルでは、役割集合 $Role$ に加え、2つの基本的な関係、すなわちユーザから役割への割当てと、役割から権限への割当てが導入される（SANDHU et al., 1996）。

$$ UA \subseteq U \times Role $$

$$ PA \subseteq Role \times (R \times A) $$

このモデルは権限管理を容易にするが、認可が役割とリソースの関連付けのみに依存することを前提としている。

Attribute-Based Access Control（ABAC）のようなより表現力の高いモデルでは、ユーザ、リソース、文脈に関連付けられた属性が導入される。アクセス決定は次の関数としてモデル化できる。

$$ f(Attr(u), Attr®, context) \rightarrow {allow, deny} $$

このパラダイムは、位置情報、時刻、端末特性といった文脈変数を組み込むことを可能にする（HU; FERRO; KUHN, 2015）。

2.2 Zero Trust アーキテクチャ

Zero Trust アーキテクチャは、企業ネットワークのセキュリティにおける重要な概念的進化を表す。ネットワークの位置に基づく暗黙的な信頼を前提とする代わりに、Zero Trustモデルは、いかなるアクセスを許可する前にも、アイデンティティ、端末状態、文脈の継続的な検証を要求する（ROSE et al., 2020）。

このパラダイムでは、各アクセス要求は独立かつ動的に評価される。通常、このプロセスには以下が含まれる。

アイデンティティの強固な認証
端末の完全性検証
文脈評価
適応的ポリシーの適用

このアプローチは、分散型の働き方やマルチクラウド基盤に特に有用である。

2.3 行動ベースの検知

行動検知システムは、統計モデルまたは機械学習技術を用いて、通常の活動パターンからの逸脱を識別する。IAMの文脈では、これらのシステムは、ログイン頻度、地理的位置、アクセス時刻、利用リソースなどの変数を分析できる（SOMMER; PAXSON, 2010）。

現代的なSIEMツールやセキュリティ分析プラットフォームは、認証ログ、API記録、ネットワークトラフィックを含む複数のテレメトリソースからのイベントを相関分析することを可能にする。

2.4 文献の限界

クラウド環境におけるアイデンティティセキュリティに関する研究は存在するが（ALSHAMRANI et al., 2017）、文献には3つの重要なギャップがあることを我々は観察した。

第一に、多くのシステムはいまだ静的認可モデルに依存している。第二に、行動テレメトリと認可判断の統合は依然として限定的である。最後に、アクセス決定に伴うリスクの明示的な数学的形式化を提示する研究は少ない。

本研究は、リスク評価と適応制御を統合したアーキテクチャによって、これらのギャップを埋めることを目指す。

脅威モデルと問題の形式化

我々は、企業向け侵入キャンペーンで観測される現実的な能力を有する攻撃者 $\mathcal{A}$ を仮定する。これらの能力には、フィッシングによる認証情報の取得、データ漏えいの悪用、password spraying 攻撃の実行、低権限アカウントの初期侵害が含まれる。

初期アクセスを獲得した後、攻撃者は過剰権限を悪用して権限昇格やラテラルムーブメントを行うことができる。

アクセス要求に関連する動的リスクを次の関数として定義する。

$$ R(u,a,c,t) = \alpha S(u) + \beta C© + \gamma B(u,t) + \delta T(a) $$

ここで:

$S(u)$ はアイデンティティの機微性を表す
$C©$ は文脈リスクを表す
$B(u,t)$ は観測された行動逸脱を測定する
$T(a)$ は要求されたアクションの重要度を表す

係数 $\alpha, \beta, \gamma, \delta$ は正規化された重みを表し、次を満たす。

$$ \alpha + \beta + \gamma + \delta = 1 $$

システムの基本的なセキュリティ特性を次のように定義する。

$$ Allow(req) \Rightarrow R(u,a,c,t) < \theta $$

ここで $\theta$ は、組織のセキュリティポリシーによって定義される適応的なリスク閾値を表す。

このモデルにより、文脈的および行動的変数をアクセス決定プロセスに直接組み込むことができる。

提案手法

4.1 システムアーキテクチャ

提案アーキテクチャは、テレメトリ収集、リスク分析、セキュリティポリシー適用を担う複数の運用コンポーネントを統合する。

主な構成要素は以下のとおりである。

テレメトリ収集器（認証ログ、APIイベント、ネットワークテレメトリ）
リスク評価エンジン
行動検知モジュール
自動応答オーケストレータ

テレメトリは、アイデンティティログ、クラウドAPI記録、ネットワークセンサを含む複数のソースから集約される。

4.2 リスク評価アルゴリズム

アクセス決定プロセスは、動的リスク評価アルゴリズムによって実行される。

Input: evento e(u,a,r,c,t)
Output: decisão allow ou deny

1: calculate sensitivity S(u)
2: calculate contextual risk C(c)
3: calculate behavioral deviation B(u,t)
4: calculate criticality T(a)
5: R ← αS + βC + γB + δT
6: if R ≥ θ then
7:     apply enhanced authentication or block
8: else
9:     allow access

このアルゴリズムは、1要求あたり定数計算量 $O(1)$ を示し、高スケール環境に適している。

4.3 検知ルール

既知の攻撃パターンに基づくルールによって、疑わしいイベントを識別できる。

Sigmaルールの例:

logsource:
  product: azure
detection:
  selection:
    Country: not in known_countries

これらのルールはリスク評価エンジンと相関させ、要求に関連付けられたリスクスコアを高めることができる。

実装

我々は、企業環境で広く用いられている技術を用いて、機能的なプロトタイプを実装した。

コンポーネント	技術
アイデンティティ管理	Azure Active Directory
クラウドアクセス制御	AWS IAM
ログ収集および分析	Elastic Stack 8.x
ネットワークセンサ	Suricata
ポリシーエンジン	Open Policy Agent

Regoで実装したポリシーの例:

deny[msg] {
  input.risk_score > 0.7
  msg := "High risk access blocked"
}

テスト中、認証レイテンシの平均は12 msから19 msへ増加したが、これは企業環境において許容可能な値であると判断された。

実験評価

6.1 実験環境

我々は、以下を含む代表的な実験環境を構築した。

5000のシミュレートされたアイデンティティ
1200のワークロード
30日分の運用テレメトリ
複数のシミュレーション攻撃シナリオ

比較のために用いたベースラインは、RBACのみに基づく認可システムである。

6.2 結果

指標	RBACベースライン	提案アーキテクチャ
MTTD	14.2 h	5.2 h
過剰権限	31%	16%
偽陽性率	1.9%	2.8%

認証情報悪用の平均検知時間が約63.4%短縮されたことを確認した。

平均値の比較のために t 検定を実施し、$p < 0.01$ を得て、統計的有意性を示した。

ケーススタディ

我々は、約2000人の従業員とハイブリッド基盤を有する金融業界の組織を想定した代表的なシナリオに、本提案アーキテクチャを適用した。

導入プロセスは、主に4段階で進められた。

AWS IAM Access Analyzer を用いた権限監査
Azure Active Directory における Conditional Access ポリシーの実装
Elastic SIEM における検知ルールの導入
password spraying 攻撃シミュレーションの実行

シミュレーション演習中、システムは4分以内に異常活動を検知し、適応的認証を起動して以降の試行をブロックした。

考察

結果は、文脈分析と行動検知の統合が、認証情報悪用の識別能力を著しく改善することを示している。特に、認証履歴に関連する行動変数が、悪意ある活動の早期検知に強く寄与したことが確認された。

しかし、本モデルにはいくつかの制約がある。第一に、高品質なテレメトリへの依存である。不完全または不整合なログは、リスク評価の精度を損なう可能性がある。

別の制約は、パラメータ $\alpha, \beta, \gamma, \delta$ の較正に関するものである。実環境では、これらのパラメータは組織固有の特性に基づいて調整する必要がある。

これらの制約にもかかわらず、本アプローチは運用上の実現可能性を示しており、Security Operations Center チームが用いる検知・対応パイプラインへ統合可能である。

結論

本研究では、動的リスク評価、行動分析、Zero Trustの原則を統合した、脅威志向のレジリエントなIAMアーキテクチャを提示した。

我々は、アイデンティティ、文脈、行動をアクセス決定プロセスに組み込めるリスクモデルを数学的に形式化した。また、広く利用されている技術に基づく運用プロトタイプを実装し、代表的な実験環境で実証評価を行った。

結果は、認証情報悪用の平均検知時間の有意な短縮と、過剰権限の大幅な減少を示している。これらの結果は、適応的IAMアーキテクチャが現代の企業環境保護における重要な進化を表すことを示唆している。

今後の課題としては、より高度な行動モデリングのための機械学習技術の統合、および分散環境におけるOAuthトークン悪用の検知機構の強化が挙げられる。

References

ALSHAMRANI, A.; MYNENI, S.; CHOWDHARY, A.; HUANG, D. A survey on advanced persistent threats. IEEE Communications Surveys & Tutorials, v. 19, n. 4, p. 2507–2528, 2017. Available at: https://doi.org/10.1109/COMST.2017.2716383. Accessed on: 10 mar. 2023.

BEHL, A.; BEHL, K. Cybersecurity and Cyberwar: What Everyone Needs to Know. Oxford: Oxford University Press, 2017. Available at: https://doi.org/10.1093/wentk/9780199918096.001.0001. Accessed on: 12 mar. 2023.

BERTINO, E.; SANDHU, R. Database security—concepts, approaches, and challenges. IEEE Transactions on Dependable and Secure Computing, v. 2, n. 1, p. 2–19, 2005. Available at: https://doi.org/10.1109/TDSC.2005.9. Accessed on: 11 mar. 2023.

HU, V.; FERRO, D.; KUHN, D. Guide to Attribute Based Access Control (ABAC). NIST Special Publication 800‑162. Gaithersburg: NIST, 2015. Available at: https://doi.org/10.6028/NIST.SP.800-162. Accessed on: 11 mar. 2023.

KINDERVAG, J. No More Chewy Centers: Introducing the Zero Trust Model of Information Security. Forrester Research, 2010. Available at: https://www.forrester.com/report/no-more-chewy-centers-introducing-the-zero-trust-model-of-information-security/. Accessed on: 12 mar. 2023.

MITRE. MITRE ATT&CK Framework. 2023. Available at: https://attack.mitre.org. Accessed on: 10 mar. 2023.

NIST. National Vulnerability Database – CVE‑2021‑44228. 2021. Available at: https://nvd.nist.gov/vuln/detail/CVE-2021-44228. Accessed on: 10 mar. 2023.

ROSE, S.; BORCHERT, O.; MITCHELL, S.; CONNELLY, S. Zero Trust Architecture. NIST Special Publication 800‑207. Gaithersburg: NIST, 2020. Available at: https://doi.org/10.6028/NIST.SP.800-207. Accessed on: 11 mar. 2023.

SANDHU, R. et al. Role-Based Access Control Models. IEEE Computer, v. 29, n. 2, p. 38–47, 1996. Available at: https://doi.org/10.1109/2.485845. Accessed on: 11 mar. 2023.

SOMMER, R.; PAXSON, V. Outside the closed world: On using machine learning for network intrusion detection. IEEE Symposium on Security and Privacy, 2010. Available at: https://doi.org/10.1109/SP.2010.25. Accessed on: 12 mar. 2023.

STALLINGS, W.; BROWN, L. Computer Security: Principles and Practice. 4. ed. Boston: Pearson, 2018. Available at: https://www.pearson.com. Accessed on: 12 mar. 2023.

VERIZON. 2023 Data Breach Investigations Report. 2023. Available at: https://www.verizon.com/business/resources/reports/dbir/. Accessed on: 10 mar. 2023.

ZHANG, N.; RYAN, M.; CHEN, D. Formal analysis of cloud identity federation protocols. IEEE Security & Privacy, v. 17, n. 5, p. 55–63, 2019. Available at: https://doi.org/10.1109/MSEC.2019.2917422. Accessed on: 12 mar. 2023.

NIST. Digital Identity Guidelines. NIST Special Publication 800‑63‑3. 2017. Available at: https://doi.org/10.6028/NIST.SP.800-63-3. Accessed on: 11 mar. 2023.

CLOUD SECURITY ALLIANCE. Security Guidance for Critical Areas of Focus in Cloud Computing v4.0. 2017. Available at: https://cloudsecurityalliance.org. Accessed on: 12 mar. 2023.

GARCIA, S.; BRINKER, S. Behavioral analytics for cybersecurity. ACM Queue, v. 16, n. 5, 2018. Available at: https://queue.acm.org/detail.cfm?id=3287307. Accessed on: 12 mar. 2023.

ANDERSON, R. Security Engineering. 3. ed. Hoboken: Wiley, 2020. Available at: https://www.cl.cam.ac.uk/~rja14/book.html. Accessed on: 12 mar. 2023.

ENISA. Threat Landscape 2022. European Union Agency for Cybersecurity, 2022. Available at: https://www.enisa.europa.eu. Accessed on: 12 mar. 2023.

CISA. Zero Trust Maturity Model. Cybersecurity and Infrastructure Security Agency, 2021. Available at: https://www.cisa.gov/zero-trust-maturity-model. Accessed on: 12 mar. 2023.

GOOGLE. BeyondCorp: A New Approach to Enterprise Security. 2014. Available at: https://research.google/pubs/pub43231/. Accessed on: 12 mar. 2023.

MICROSOFT. Zero Trust Deployment Guide. 2022. Available at: https://learn.microsoft.com/security/zero-trust. Accessed on: 12 mar. 2023.

AMAZON WEB SERVICES. IAM Access Analyzer Documentation. 2023. Available at: https://docs.aws.amazon.com/IAM/latest/UserGuide/what-is-access-analyzer.html. Accessed on: 10 mar. 2023.

ELASTIC. Elastic Security Documentation. 2023. Available at: https://www.elastic.co/guide/en/security/current/index.html. Accessed on: 10 mar. 2023.