アイデンティティプロバイダーセキュリティとは
アイデンティティプロバイダー（IdP）は、デジタルアイデンティティを管理し、ユーザーを認証した後、フェデレーション環境内の信頼先に対して暗号的に署名されたアサーションを発行します。NIST SP 800-63Cによると、IdPはクラウドアプリケーション、オンプレミスシステム、ハイブリッドリソースへのアクセスを許可する前に、加入者のアイデンティティを検証する暗号操作を実行します。
IdPは、すべてのアプリケーションが信頼するゲートキーパーと考えてください。Salesforce、Microsoft 365、または社内アプリケーションにシングルサインオンでログインする際、IdPがあなたのアイデンティティを保証します。IdPが侵害されると、IdPのアサーションを信頼するすべてのものが危険にさらされるため、アイデンティティセキュリティは組織防御にとって極めて重要です。
.png)
IdPセキュリティが重要な理由
認証情報を狙ったフィッシング攻撃は2024年に813%増加し、FBIインターネット犯罪苦情センターの報告によると2,856件から23,252件に急増しました。これらは無作為な攻撃ではなく、認証情報収集オペレーションを支える体系的なキャンペーンであり、IdPを標的としています。攻撃者がIdPを侵害すると、環境内のすべてのフェデレーションアプリケーションへの信頼されたアクセスを獲得します。
IdPは、下流システムが追加検証なしで受け入れる認証アサーションを発行します。NSA-CISAのアイデンティティフェデレーションに関するガイダンスによると、この信頼関係はフェデレーションセキュリティが破綻した際に脆弱性となり、フェデレーションシステムへの管理者アクセスを得る既知の脅威ベクトルとなります。
IdPの実際の動作
IdPは、ユーザー認証とアクセス許可を連携して実現する3つの主要な技術レイヤーで構成されています。
- ディレクトリサービスは、ユーザーアカウント、グループメンバーシップ、デバイス登録、アクセス制御ポリシーなどの階層的なアイデンティティデータを管理します。アイデンティティアクセス管理を理解することで、適切なディレクトリセキュリティの実装が可能となります。
- 認証エンジンは、認証情報を検証し、セキュリティトークンを発行します。これらのエンジンは、SAMLアサーション、OAuthアクセストークン、OpenID Connect IDトークンなど、プロトコル固有のロジックを実装します。Entra IDのような最新のIdPは、これらの認証エンジンが大規模に動作する様子を示しています。
- アカウント管理は、プロビジョニングから廃止までのアイデンティティライフサイクルを管理し、パスワードリセット、多要素認証登録、認証情報のローテーションなどを含みます。
これらの技術レイヤーは、外部アプリケーションやサービスとの通信に標準化されたプロトコルに依存しています。
IdPが使用するプロトコル
IdPは、環境全体でフェデレーションアクセスを実現する3つの主要な認証プロトコルに依存しています。
- SAML 2.0は、IdPとサービスプロバイダー間でXMLベースの認証アサーションを交換します。NIST NVD CVE-2025-47949は、攻撃者がSAMLレスポンスを偽造し、任意のユーザーとして認証できる脆弱性を記載しています。
- OAuthおよびOpenID Connectは、認証情報を共有せずに委任アクセスを許可します。IETF RFC 9700によると、OAuth実装はトークン窃取、認可コードの傍受、クライアント認証情報の侵害など、特有の脅威に直面しています。
- OpenID Connectは、OAuth 2.0上にアイデンティティレイヤーを構築し、ユーザーアイデンティティクレームを含むIDトークンを追加します。セッションハイジャック攻撃は、認証後に有効なトークンを盗みます。FBIは、LockBitランサムウェアの関係者がCitrix NetScalerのCVE-2023-4966を悪用してMFAを回避した事例を記録しています。フィッシング耐性のあるMFAの理解は、これらのバイパステクニックを防ぐために不可欠です。
これらのプロトコルを理解することで、攻撃者がアイデンティティインフラを主要な侵入経路として体系的に狙う理由が明らかになります。
アイデンティティプロバイダーセキュリティの主要コンポーネント
アイデンティティプロバイダーセキュリティは、連携した防御レイヤーによって不正アクセスを防止します。
- 暗号鍵管理は、IdPが認証アサーションを発行する際に使用する署名鍵や証明書を保護します。NIST SP 800-57によると、これらの鍵はハードウェアセキュリティモジュール（HSM）での保管、定期的なローテーションスケジュール、アクセスログ記録が必要です。署名鍵が侵害されると、攻撃者はIdP自体を直接破らずとも任意のユーザーの有効な認証トークンを偽造できます。
- ディレクトリの強化は、ユーザーアカウント、パスワード、グループメンバーシップを含む基盤となるアイデンティティストアを保護します。これには、特権アカウントと標準ユーザーを分離する階層型管理モデルの実装、管理作業用の特権アクセスワークステーションの導入、DCSync攻撃の兆候を検知するためのディレクトリレプリケーショントラフィックの監視が含まれます。
- プロトコルセキュリティの強制は、SAMLアサーション、OAuthトークン、OpenID Connect IDトークンが暗号要件を満たしていることを検証します。これには署名検証、タイムスタンプ検証、オーディエンス制限の確認が含まれます。
これらのコンポーネントを理解することで、アイデンティティインフラの防御がどこで成功し、どこで失敗するかが明らかになります。
アイデンティティプロバイダーを保護するための主要原則
効果的なアイデンティティプロバイダー保護戦略には、3つの基本的なセキュリティ原則があります。
- 信頼境界をまたぐ多層防御は、単一のセキュリティ制御が失敗することを認識します。IdPセキュリティには、複数の重複する制御が必要です。フィッシング耐性MFAは初期侵害を防ぎ、行動分析は異常な認証パターンを検知し、セッション制御は認証情報が盗まれた場合の被害を限定します。
- 侵害前提の考え方は、攻撃者が最終的に認証情報を盗むかエンドポイントを侵害することを想定してIdPセキュリティを設計することを意味します。これにより、厳格なセッションタイムアウトポリシー、継続的な認証検証、侵害検知時の全セッションのグローバル無効化能力が求められます。初期アクセスが発生することを前提とする組織は、ラテラルムーブメントの制限や特権昇格の検知に注力します。
- 静的な信頼ではなく継続的な検証は、認証済みユーザーがセッション中ずっと信頼できると仮定するのではなく、現在のリスクコンテキストに基づいてリアルタイムでアクセス判断を行うことを要求します。
これらの原則は、アイデンティティベースの攻撃を阻止する技術的制御の実装フレームワークを提供します。
アイデンティティインフラを狙う脅威
NSAおよびCISAは、オンプレミスのアイデンティティプロバイダー侵害を「既知の脅威ベクトル」として明示し、クラウド管理者アクセスへのピボットに利用されると指摘しています。アカウント乗っ取りや認証情報窃取手法を理解することで、これらのアイデンティティ中心の攻撃から組織を守ることができます。
攻撃者がIdPを侵害する方法
攻撃者は、アイデンティティプロバイダーを侵害し、フェデレーションシステムへの永続的なアクセスを得るために、主に3つの手法を使用します。
- フェデレーションインフラの標的化は、オンプレミス環境から始まります。攻撃者はローカルIdPを侵害し、フェデレーション証明書やSAMLセキュリティキーを抽出し、盗んだ暗号資材を使って認証トークンを偽造します。NSA-CISAのアイデンティティフェデレーションガイダンスによると、これによりクラウドリソースへの管理者アクセスへのピボットが可能となります。偽造トークンは、クラウドリソースがフェデレーション関係を信頼しているため、境界セキュリティを完全に回避します。
- 認証情報の収集は、フィッシングサイト、マルウェア、ソーシャルエンジニアリングを通じて体系的に認証情報を集めます。Identity Theft Resource Centerは、2024年に少なくとも29件の認証情報詰め込み攻撃を記録しており、攻撃者は既に侵害された認証情報を使って不正アクセスを得ています。IdPは、無関係な侵害から盗まれたパスワードを使った有効なユーザー名による数千件の認証試行を目にします。IdPセキュリティと併用してネットワーク侵入検知システムを導入することで、これらの攻撃パターンを成功前に特定できます。IDPS（侵入検知・防御システム）とは何か？これらのシステムは監視とブロック機能を組み合わせており、侵入検知システムは不審な活動を警告し、侵入防止は悪意のあるトラフィックを積極的に遮断します。IDPSの意味を理解することで、アイデンティティインフラを狙う攻撃を発見・阻止する多層防御を展開できます。中間者攻撃を理解することで、さらなる多層防御の導入が可能です。
- MFAバイパスのためのセッションハイジャックは、正規の認証完了後に発生します。高度な攻撃者はMFA自体を直接破るのではなく、認証済みセッションを盗みます。FBI IC3 LockBit 3.0ランサムウェア勧告によると、連邦法執行機関はMFAバイパスのためのセッションハイジャックの積極的な悪用を記録しています。
フェデレーションアーキテクチャのセキュリティ上の影響
フェデレーションは連鎖的な信頼の脆弱性を生み出します。フェデレーション信頼関係を確立すると、セキュリティ境界はIdPのセキュリティ体制および信頼先のアサーション検証能力まで拡大します。NSA-CISAガイダンスによると、既知の脅威ベクトルはオンプレミスIdPの侵害と管理者アクセスへのピボットです。組織はアイデンティティセキュリティ体制を強化し、包括的なアイデンティティ脅威検知能力を実装する必要があります。
フェデレーションセキュリティが破綻するポイント
フェデレーションアーキテクチャは、攻撃者が体系的に悪用する3つの重大な脆弱性クラスを導入します。
- ハイブリッド環境は攻撃面を拡大します。同期エージェント、信頼境界をまたぐフェデレーションプロトコル、クロスオリジンポリシーなどを保護する必要があります。CISAのハイブリッドアイデンティティソリューションガイダンスによると、攻撃面はオンプレミスとクラウドの両方に広がります。クラウドセキュリティ原則の実装により、この拡大した攻撃面の管理が可能となります。
- プロトコル実装の欠陥は成熟した仕様にもかかわらず残存します。 SAMLのセキュリティ脆弱性やOAuth攻撃は依然として一般的です。NIST NVD CVE-2025-47949によると、SAML実装の署名ラッピング攻撃により、攻撃者は「SAMLレスポンスを偽造し、任意のユーザーとして認証」できます。
- マルチクラウドフェデレーションはトークン窃取リスクを増大させます。認証フローが複数のクラウドプロバイダーをまたぐ場合、トークンは追加の管理ドメインを通過し、傍受、リプレイ、フィッシングのリスクが高まります。サプライチェーン侵害はフェデレーションの連鎖効果を示しています。ITRCは2025年前半に79件のサプライチェーン侵害を記録し、690の下流組織と7,830万件の被害通知に影響を与えました。包括的なクラウドワークロード保護は、これらのマルチクラウドフェデレーションリスクに対応します。
一般的なIdPセキュリティの失敗
組織は、認証情報窃取やフェデレーション攻撃を可能にする同じIdPセキュリティの誤りを繰り返しています。
- 脆弱なMFA実装の受け入れは、バイパスの機会を生み出します。SMSベースのワンタイムパスワードはSIMスワッピング攻撃で傍受される可能性があります。認証アプリも、攻撃者がコードを即時中継するリアルタイムフィッシングに脆弱です。プッシュ通知疲労により、ユーザーが悪意のある認証試行を承認してしまうこともあります。FBI IC3 LockBit 3.0ランサムウェア勧告によると、攻撃者はこれらのMFAの弱点を積極的に悪用して認証制御を回避しています。
- フェデレーション信頼関係の監視不備は、攻撃者による認証トークンの偽造を許します。組織はサービスプロバイダーとフェデレーション信頼を確立しますが、SAML証明書の安全性やOAuthクライアント認証情報の侵害有無を検証しません。NSA-CISAガイダンスは、フェデレーション証明書が侵害されると、IdP自体を破らずとも攻撃者が任意のユーザーとして認証できると明示的に警告しています。
- セッションタイムアウトポリシーの軽視は、攻撃者のアクセスウィンドウを拡大します。利便性のためにセッションタイムアウトを数日や数週間に設定すると、攻撃者が盗んだセッショントークンの有効期間が延びます。認証情報が侵害された場合、これらの長期間有効なセッションは迅速に無効化できず、被害の封じ込めが困難になります。
- デフォルト設定の信頼は、既知の脆弱性を露出させます。IdPは導入の容易さを優先した許容的な設定で出荷されます。組織はこれらのデフォルトを強化せず、最小権限アクセスや高度なログ記録も有効化しません。CISAのScubaGear評価では、アイデンティティインフラが自動検証ですぐに検出できる不安全なデフォルト設定で運用されている事例が継続的に見つかっています。
これらの設定やポリシーの失敗が、攻撃者が組織のアイデンティティインフラを侵害するために体系的に悪用するフェデレーション脆弱性を生み出します。
IdPセキュリティのベストプラクティス
NIST SP 800-63-3は、アイデンティティセキュリティに必要なリスクベースのフレームワークを提供します。アイデンティティ保証レベル（IAL）、認証器保証レベル（AAL）、フェデレーション保証レベル（FAL）の3つの次元で適切な保証レベルを選択します。条件付きアクセス制御や堅牢な多要素認証の実装により、アイデンティティセキュリティフレームワークを強化できます。
攻撃を阻止する認証制御
フィッシング耐性認証とゼロトラスト原則が、防御可能なアイデンティティセキュリティの基盤となります。
FIDO2/WebAuthnを用いたフィッシング耐性MFAを実装してください。NSAは明確に警告しており、「すべてのMFAが同じ保護レベルを提供するわけではない」と述べています。FIDO2認証は、ハードウェア認証器に格納された秘密鍵による公開鍵暗号で認証情報のフィッシングを排除します。SMSベースのOTPコードはフィッシングや傍受の対象となり、認証アプリのTOTPコードもリアルタイムフィッシング攻撃に脆弱です。FIDO2の暗号チャレンジレスポンスプロトコルは、これらの攻撃ベクトルを完全に防ぎます。組織はフィッシング耐性認証方式を優先すべきです。
ゼロトラスト原則をアイデンティティインフラに適用してください。NIST SP 800-207は、アクセス判断にユーザーコンテキスト、デバイスポスチャ、環境属性をリアルタイムで考慮する必要があると定めています。ゼロトラストアーキテクチャの理解は、多層防御戦略の実装に不可欠です。
セッションハイジャックに耐性のあるセッション管理
安全なセッション管理には、暗号的に強力なトークン、厳格なタイムアウトポリシー、グローバルな再認証強制能力が必要です。
セッショントークンは、少なくとも128ビットのエントロピーを持つ暗号的に安全な乱数生成器で生成してください。セッショントークンは必ずHTTPS経由で送信し、HttpOnlyフラグを実装してクライアントサイドスクリプトによるセッションクッキーへのアクセスを防止します。これにより、クロスサイトスクリプティング攻撃によるトークン窃取を防ぎます。最大セッション期間の絶対タイムアウトを実装してください。認証情報の侵害が疑われる場合、すべてのセッションを無効化するグローバル再認証を強制できる能力が必要です。 セッションハイジャック防止手順を理解することで、迅速なセッション無効化を確実にします。
アイデンティティ特化型検知のためのログ記録
包括的なログ記録は、認証イベントを十分なコンテキストで記録し、認証情報悪用パターンやIdP侵害試行の検知を可能にします。
ログ管理は、すべての認証試行の結果、手法、失敗理由を記録します。MFA登録変更、バイパス試行、デバイス登録イベントも記録してください。OWASP Logging Cheat Sheetによると、イベントログには「いつ（タイムスタンプ）」「誰（ユーザーID、送信元IP）」「何（実行アクション）」「どこ（対象リソース）」「結果（成功/失敗）」「コンテキスト（セッションID、認証方式）」を記録する必要があります。IdPログをSIEMに統合し、認証情報詰め込み、パスワードスプレー、不可能な移動、異常なアクセスパターンを検出する相関ルールを適用してください。アイデンティティ攻撃検知手法の理解は、IdP侵害の兆候を積極的に探索する能力を高めます。
検証による設定セキュリティ
自動設定検証は、セキュリティドリフトを防ぎ、攻撃者に悪用される前に設定ミスを発見します。
CISAのSecure Cloud Business Applicationsプロジェクトは、テナント設定を連邦セキュリティベースラインと照合する自動設定評価ツールを提供します。手動設定レビューでは設定ミスを見逃します。自動検証は、管理者がセキュリティレビューなしで設定を変更した際のドリフトを検出します。適切なセキュリティ設定管理の実装により、アイデンティティインフラにアクセスするすべてのデバイスで堅牢な保護を確保できます。
SentinelOneでアイデンティティ攻撃を阻止
攻撃者が認証情報窃取、特権昇格、ラテラルムーブメントを通じてIdPを標的とする場合、リアルタイムで相関されたアイデンティティおよびエンドポイントデータの可視性が必要です。Singularity Identityは、リアルタイム保護によりアイデンティティベースの攻撃を阻止し、露出の検知、認証情報悪用の阻止、ハイブリッド環境全体でのアイデンティティリスク低減を実現します。このプラットフォームは、Active DirectoryやEntra ID、SecureAuth、Okta、Ping、DuoなどのクラウドIdPを強化し、攻撃者が永続化を確立する前に偵察や認証情報収集の試みを検知します。
Storylineテクノロジーは、すべてのプロセス作成、接続、アイデンティティ操作をミリ秒単位で再構築します。アイデンティティインフラ調査時、Storylineは認証情報窃取からトークン生成までの完全なシーケンスを示し、セキュリティツール間の手動相関を排除するフォレンジックコンテキストを提供します。
Singularity Platformは、単一エージェントとコンソールでエンドポイントとアイデンティティのテレメトリを統合し、攻撃者がフェデレーションインフラを標的とする際に悪用する可視性ギャップを排除します。この統合アプローチは、アイデンティティイベントとエンドポイント活動を相関し、従来のアイデンティティソリューションが見逃す高度な攻撃を検知します。
Purple AIは、自然言語クエリを用いて認証テレメトリを分析し、脅威調査を加速します。セキュリティチームは「異常な場所からの認証失敗を表示」など、会話形式でアイデンティティセキュリティをクエリでき、初期導入企業によると調査時間を80%短縮できます。
Singularity Endpointは、リアルタイムで認証情報窃取の試みを検知する行動AIによりアイデンティティ保護を拡張し、競合他社と比べて誤検知アラートを88%削減します。MITRE評価では、Palo Altoが178,000件のアラートを生成したのに対し、SentinelOneは12件の実用的な脅威のみでした。
AI SIEMは、全セキュリティインフラにわたるアイデンティティイベントのリアルタイム相関を可能にする100倍高速なクエリ性能を提供します。プラットフォームは任意のIdPから認証ログを取り込み、OCSF標準で正規化し、エンドポイント、ネットワーク、クラウドテレメトリと相関して複雑な攻撃チェーンを検知します。
SentinelOneは、自律型AIによりIdP侵害試行を従来のSIEMソリューションより67%高速に検知し、認証パターンや攻撃進行の完全なフォレンジック可視性を提供します。SentinelOneのデモをリクエストし、行動AIが認証情報窃取、セッションハイジャック、従来のセキュリティ制御を回避するフェデレーション攻撃からアイデンティティプロバイダーをどのように保護するかをご確認ください。
まとめ
アイデンティティプロバイダーの侵害は、組織が直面する最も重大なセキュリティリスクの一つです。IdPの暗号アサーションは、追加検証なしですべてのフェデレーションアプリケーションへの信頼されたアクセスを許可し、究極の単一障害点となります。FIDO2/WebAuthnによるフィッシング耐性MFAの実装、SIEM相関による包括的なログ記録、ゼロトラスト原則の適用、セキュリティベースラインに対する継続的な設定検証を実施し、認証情報窃取、セッションハイジャック、フェデレーション攻撃からアイデンティティインフラを防御してください。
よくある質問
IdPセキュリティは、組織全体のデジタルIDを管理し、ユーザー認証を行うアイデンティティプロバイダーを保護します。これには、ディレクトリサービス、認証エンジン、暗号署名付きアサーションをアプリケーションに発行するアカウント管理システムの保護が含まれます。効果的なIdPセキュリティは、すべての接続システムへのフェデレーションアクセスを可能にする信頼関係の侵害を防ぎます。
IdPは、下流システムが追加の検証なしで受け入れる認証アサーションを発行します。IdPが侵害されると、攻撃者は環境内のすべてのフェデレーションアプリケーションに信頼されたアクセスを得ることができます。NSA-CISAのガイダンスによれば、IdPの侵害はクラウドリソースへの管理者アクセスを得る既知の脅威ベクトルであり、重要なセキュリティ優先事項となっています。
IdPセキュリティは、FIDO2/WebAuthnを用いたフィッシング耐性の高い多要素認証、ハイジャックを防止するセッション管理制御、SIEMとの連携による包括的なログ記録、すべてのアクセス要求を検証するゼロトラストアーキテクチャ、セキュリティベースラインに対する自動構成検証など、複数の防御層を実装します。これらの制御は連携して、認証情報の窃取を防止し、異常な認証パターンを検知し、アイデンティティベースの攻撃に対応します。
認証は資格情報の検証によって本人確認を行い、認可は認証が成功した後にアクセスできる範囲を決定します。認証の侵害は、すべての下流の認可制御を回避します。
NSA-CISAのガイダンスによれば、侵害されたIdPは下流システムが追加の検証なしで受け入れる認証アサーションを発行でき、サプライチェーンの侵害により単一のIdP侵害が数百の下流組織に影響を及ぼす可能性があります。
Ponemon Instituteの調査によると、200日を超える侵害は5.46百万ドルのコストがかかり、迅速に解決されたインシデントの4.88百万ドルより高額です。これは、検知期間が長いほど攻撃者が永続化を確立し、ランサムウェアを展開する余地が生まれるためです。
FIDO2は、デバイスから離れることのないハードウェア認証器内の秘密鍵を用いた公開鍵暗号技術によって、フィッシング耐性のある認証を提供します。SMSやアプリベースのMFAは、リアルタイムのフィッシング攻撃に依然として脆弱です。
NIST SP 800-63-3のリスクベースフレームワークから始め、FIDO2/WebAuthnによるフィッシング耐性MFAを導入し、SIEM連携によるログ監視を展開し、ゼロトラストアーキテクチャを適用し、CISAのScubaGearなどのツールで設定を検証してください。
クラウドIdPは、マルチテナント分離の失敗、共有インフラの脆弱性、過剰なサービスアカウント権限によるAPIセキュリティリスク、およびフェデレーション関係を通じて連鎖するサプライチェーン攻撃に直面します。
