弱いパスワードポリシーとは？ リスクとその修正方法

弱いパスワードポリシーとは？

弱いパスワードポリシーとは、十分な認証情報の強度を強制できない認証設定のことであり、システムをブルートフォース、クレデンシャルスタッフィング、パスワードスプレー攻撃に対して脆弱な状態にします。MITREにより正式にCWE-521として分類されるこの脆弱性は、アプリケーションまたはシステムが、攻撃者によって現実的に推測、解読、または大規模に試行可能なパスワードを許可している場合に存在します。

弱いパスワードポリシーでは、悪意のあるコードを1行も必要としません。攻撃者に必要なのは有効な認証情報だけです。ひとたび取得されると、攻撃者は正規ユーザーとして行動し、シグネチャベースのセキュリティツールには見えず、多くの場合何か月も気付かれません。Verizonの2025 Data Breach Investigations Report（DBIR）では、認証情報の悪用が最も一般的な初期攻撃ベクトルであることが判明しました。IBMの2025 Cost of a Data Breachレポートでは、認証情報ベースの侵害は特定までに最大186日を要し、攻撃カテゴリ全体の中でも最も長い特定タイムラインの1つであることが判明しました。これは、攻撃者が信頼された誰かとしてサインインする半年間に相当します。

被害は個々のアカウントを超えて広がります。弱いパスワードポリシーは ラテラルムーブメント、権限昇格、および環境全体にわたる永続的アクセスを可能にします。これらの結果はすべて、誰かが変更できるポリシー上の判断に起因します。

弱いパスワードポリシーはどのように機能するのか？

弱いパスワードポリシーは、認証プロセスの複数の層にわたって悪用可能な条件を生み出します。この脆弱性は単一の失敗ではなく、攻撃者が順番に評価して悪用する不十分な制御の連鎖です。

攻撃者の意思決定ツリー

認証情報攻撃を開始する前に、攻撃者はポリシー偵察を実施します。MITREではこれを ポリシー探索と記録しており、攻撃者はロックアウトしきい値、最小文字数要件、複雑性ルールを把握して、特定を回避しながら最適な攻撃手法を選択します。

悪用の連鎖は通常、次のように展開します。

1. 偵察。 攻撃者は外部に公開された認証エンドポイント、remote desktop protocol (RDP)、virtual private network (VPN)、Outlook Web Access (OWA)、single sign-on (SSO) ポータルを特定し、ポリシー特性を調査します。
2. 手法の選択。 観測されたポリシーの弱点に基づいて、攻撃者は最も効率の高い攻撃を選択し、発見された具体的なギャップに手法を対応付けます。
3. 認証情報の取得。 攻撃者は、選択した手法を通じて有効なユーザー名/パスワードの組み合わせを取得します。
4. 侵害後の悪用。 MITREではこのフェーズを 有効なアカウントに分類しており、攻撃者は初期アクセス、永続化、権限昇格にわたって正規ユーザーとして行動します。

保守的なロックアウトポリシーであっても、それだけでは不十分です。MITREは Quad7 campaignを取り上げており、この事例では攻撃者が侵害された small office/home office (SOHO) ルーターを介して、24時間以内にアカウントごとに1回の試行だけを行う password sprayingを実施しました。アカウント単位のレート制限だけでは、それをすり抜けるように設計された攻撃を止めることはできません。

セキュリティフレームワークは、その失敗の連鎖を3つの異なる方法で分類しており、どれを引用するかによって修正の優先順位付けが決まります。

OWASPおよびMITREの分類

弱いパスワードポリシーは、3つの主要なセキュリティフレームワークの交点に位置しており、それぞれが異なる観点からこの弱点を分類しています。この対応関係を理解することで、セキュリティチームはポリシー監査を脆弱性管理および脅威インテリジェンスのワークフローに結び付けやすくなります。

CWE分類は根本原因を捉え、Open Worldwide Application Security Project (OWASP) はこれを関連する認証障害とともに分類し、MITRE ATT&CK はその後に続く攻撃者の振る舞いを対応付けます。この多層的な見方により、CWE-521が存在する弱点はまれであることも明らかになります。

この弱点はCWE階層において"Base"抽象化レベルに位置しており、根本原因分析および脆弱性開示における推奨分類となっています。その親弱点は CWE-287であり、不正アクセスを可能にするより広範な認証障害ファミリーに属します。

OWASP A07における共通マッピングされた弱点

CWE-521はOWASP A07の中で単独で現れるわけではありません。このカテゴリでは、同じ環境内でしばしば共存する複数の関連弱点とともに分類されています:

• CWE-307: レート制限またはロックアウトがなく、無制限のブルートフォース試行を可能にする
• CWE-640: 強力なポリシーがあってもそれを回避する脆弱なパスワード回復メカニズム
• CWE-262/263: パスワード有効期限管理が存在しない、または無効である
• CWE-798: どのようなポリシー変更でも是正できないハードコードされた認証情報

この共通マッピングが重要なのは、たとえば最小文字数を長くすることでCWE-521だけを修正しても、隣接する弱点が残っていれば、より広範なA07の露出は解消されないためです。効果的な是正には、弱点群全体への対処が必要です。

フレームワークはこの弱点を定義します。環境は通常、繰り返し発生する8つのギャップを通じてこれを生み出します。

脆弱なパスワードポリシーの原因

脆弱なパスワードポリシーが単一の設定ミスに起因することはほとんどありません。ほとんどの脆弱な環境では、複数の制御上のギャップが組み合わさって相互に悪影響を及ぼし、単独では軽微な弱点に見えるものが、信頼性の高い攻撃経路へと変わります。

1. 最小文字数の強制なし

NISTの最小文字数ガイダンス、またはCISAの15文字という運用目標を強制しないことは、CWE-521に対応付けられるブルートフォース攻撃パターンを直接可能にします。NISTの 適合基準では、記憶された秘密の長さが強度を判断するための最も信頼できる指標であるとされています。

2. 既知の脆弱または一般的なパスワードを許可する

"Password1"や"admin/admin"のようなパスワードを、既知の危険なリストと照合せずに許可するアプリケーションは、他のポリシー制御に関係なく脆弱です。OWASPの 認証ガイドラインでは、最低限のベースラインとして最悪のパスワード上位リストに対するテストを推奨しています。

3. レート制限またはロックアウトメカニズムなし

スロットリングがなければ、brute force attacks は複雑性要件に関係なく成功します。レート制限とパスワード強度は独立した制御であり、その失敗は相乗的に悪化します。

4. 脆弱または安全でないパスワード保存

平文、暗号化済み（可逆）、または弱いハッシュ化（MD5、ソルトなしSHA-1、NTLM）による保存は、オンライン限定の攻撃対象領域をオフラインのものに変え、認証スロットリングを完全に無効化します。

5. 効果のない認証情報回復メカニズム

知識ベースのセキュリティ質問は、OWASPによれば"安全にすることはできません"。 CWE-640である脆弱なパスワード回復メカニズムは、強力なパスワードポリシーであっても、脆弱な回復フローによって完全に回避されることを意味します。

6. MFAの欠如または無効

OWASPの A07分類では、多要素認証（MFA）の欠如が直接的な脆弱性条件として明示的に挙げられています。NIST SP 800-63B は、パスワード単独が適切なのは低保証コンテキストに限られることを定めています。

7. 逆効果となる複雑性ルールと必須ローテーション規則

OWASPは、必須ローテーションと文字構成の複雑性が、ユーザーに脆弱なパスワードの再利用を促し、予測可能なパターンを生み出すと指摘しています。NIST SP 800-63-3は2017年にこれらの慣行を正式に非推奨としました。

8. 組織およびライフサイクル管理の失敗

認証情報の衛生管理の不備、休眠アカウント、共有認証情報、退職者アカウントは、どのようなパスワード複雑性ルールでも対処できない運用上の弱点を示しています。 CIS Control 5 では、これらを個別の弱点として分類しています。

8つのギャップは、それぞれ単独では小さなものです。しかし、それらが組み合わさることで、1つの弱い認証情報がヘルプデスクのチケットではなく、ビジネスリスクになる理由が説明されます。

脆弱なパスワードポリシーの影響とリスク

脆弱なパスワードポリシーの影響は、個々のアカウント侵害から、組織全体の侵害、規制上の罰則、評判の低下にまで及びます。

財務的影響

2024年の IBM report では、世界全体の平均侵害コストが488万ドルに達したことが判明しました。

特定の遅延

認証情報ベースの侵害は、特定までの期間が最も長い部類に入り、IBMの2025年データによると、特定までに最大 186 days かかります。この期間中、有効な認証情報を使用して活動する攻撃者は正当なトラフィックに紛れ込みます。SANSはこのパターンを「living off the land」と表現しています。シグネチャベースのツールには成功したログインに対するシグネチャが存在しないため、彼らの行動は何も攻撃のようには見えません。

規制上のエクスポージャー

現在、規制フレームワークでは、脆弱なパスワードポリシーを測定可能なコンプライアンス違反として扱っています。 PCI DSS FAQ では、2025年3月時点で、決済カード環境における必須の最小パスワード長が定められています。英国のProduct Security and Telecommunications Infrastructure Actは、 デフォルトパスワードを禁止しています。たとえばIoTデバイスでの「admin」のようなものが該当し、非準拠には金銭的罰則が科されます。

非管理対象デバイスによるリスクの増幅

The Verizon 2025 DBIR では、企業が一度も管理していないデバイスから収集されたインフォスティーラーのログ内に、企業ログイン情報が存在していたことが判明しました。これらの認証情報は、組織の管理外で盗まれ、管理内で使用されるため、境界中心のモデルでは対処のしようがありません。

攻撃者はこれらを即興で行っているわけではありません。彼らは、文書化され、使い古された一連の手法から選択しています。

攻撃者が脆弱なパスワードポリシーを悪用する方法

すべての認証情報攻撃手法は MITRE ATT&CK に分類されており、親手法はT1110、 Brute Force です。各サブテクニックは異なるポリシーギャップを標的とし、攻撃者は偵察中に発見した弱点に最も適したアプローチを選択します。

パスワード推測 (T1110.001)

攻撃者は標的アカウントに対して体系的にパスワードを試行し、SSO、クラウドアプリケーション、フェデレーション認証エンドポイントに重点を置きます。MITREの T1110.001 entry には、APT28が標的アカウントごとに数時間または数日にわたり繰り返し試行を行ったことが記録されています。

• 悪用されるポリシー上の弱点: ロックアウトポリシーがない、最小文字数が短い、変更されていないデフォルト認証情報。

パスワードスプレー (T1110.003)

1つのパスワード、または少数のリストが、アカウントごとのロックアウトしきい値を下回るようにしながら、数千のアカウントに対して試されます。MITREの T1110.003 entry には、APT28、APT29、Midnight Blizzardを含む複数の既知グループがこの手法を使用していることが記録されています。

• 悪用されるポリシー上の弱点: 予測可能なパスワードパターン、Season+YearやCompanyName+Number、アカウント間での分散した失敗の特定がない、外部公開サービスでMFAがない。

認証情報スタッフィング (T1110.004)

サードパーティの侵害ダンプから得られた認証情報が、パスワードの使い回しを悪用して企業サービスに対して試されます。OWASPの credential stuffing overview では、攻撃者が漏えいした電話番号、メールアドレス、秘密の質問の回答を使用して認証情報回復メカニズムを回避するためにも侵害データを利用することが指摘されています。

• 悪用されるポリシー上の弱点: サービス間でのパスワード使い回しに対する強制がない、ログイン時の侵害認証情報チェックがない、MFAが存在しない。

パスワードクラッキング (T1110.002)

これは2段階の攻撃です。まず、攻撃者は認証情報ストア、NTDS.dit、および /etc/shadow からパスワードハッシュを抽出します。次に、Hashcat や John the Ripper などのツールを使用して、GPU で高速化されたインフラ上でハッシュをオフラインで解読します。これは完全に被害者の手の届かない場所で行われます。MITRE の T1110.002 エントリ には、FIN6 がオフライン解読のために ntds.dit からパスワードハッシュを抽出したこと、および Salt Typhoon がネットワークデバイスの設定ファイルから弱い暗号化パスワードを解読したことが記載されています。

• 悪用されるポリシーの弱点: 短いパスワードは解読時間を短縮します。レガシーな ハッシュ化 アルゴリズム、MD5、NTLM、およびソルトなしの SHA-1 は、事前計算攻撃を可能にします。

Kerberoasting (T1558.003)

認証済みのドメインユーザーであれば誰でも、Service Principal Names を持つアカウントに対して Kerberos Service Tickets を要求できます。これらのチケットは、サービスアカウントのパスワードハッシュで暗号化されています。攻撃者はチケットをエクスポートし、オフラインで解読します。昇格された権限は不要であり、チケット収集後に追加のネットワーク操作も必要ありません。

• 悪用されるポリシーの弱点: 弱いパスワードを使用するサービスアカウント、大量の SPN クエリに対する監視の欠如、およびユーザーレベルの複雑性要件が免除されたサービスアカウント。

5つの手法、1つの前提条件: そのすべてに、より強力なポリシーであれば拒否されていたはずのパスワードが必要です。そこが作用点です。それがどこに適用されるかは、どのシステムが公開されているかによって決まります。

弱いパスワードポリシーの影響を受けるのは誰か?

弱いパスワードポリシーは、パスワードベースの認証を使用するすべての組織とシステムに影響します。ただし、露出度は業界、システムの種類、導入モデルによって異なります。

最も脆弱なアプリケーションの種類

MITRE ATT&CK のドキュメントでは、攻撃者が日常的に標的とする特定のサービスとプロトコルが特定されています:

最もリスクの高い業界

上記のサービスに共通するのは、攻撃者が到達可能なネットワークに対して認証を直接公開していることです。リスクは特定の業界にさらに集中します。

• 重要インフラ事業者 は、CISA の Cybersecurity Performance Goals (CPG) 2.0 と運用上の脅威インテリジェンス勧告の両方による規制上のエクスポージャーに直面しています。 
• 医療および金融サービス は、高価値データと複雑なレガシー環境を併せ持っています。 
• 政府機関 は Federal Information Security Modernization Act (FISMA) の継続的監視要件および NIST SP 800-63B-4 コンプライアンスの対象です。
• IoTおよび運用技術（OT）環境 は構造的な問題に直面しています。デバイスは変更できないハードコードされた認証情報またはデフォルト認証情報を備えた状態で出荷されることが多いためです。CISAは、ICS advisory を公開しました。これは、デフォルトパスワードが公に知られており、変更を強制する仕組みがないSinoTrack GPSデバイスに関するものです。
• 中小企業 は通常、パスワードポリシーの監査、MFAの適用、または認証情報攻撃の監視を行う専任のセキュリティチームを欠いており、攻撃対象領域が小さいにもかかわらず不均衡に脆弱です。

脆弱なパスワードポリシー悪用の実例

これはどれも理論上の話ではありません。以下の各インシデントは1つの認証情報から始まっており、脆弱なパスワードポリシーがさまざまな業界やシステム種別にわたってどのように運用上および財務上の損害につながるかを示しています。

SolarWinds サプライチェーン攻撃（2020年）

2018年6月から2019年11月まで露出していたSolarWinds更新サーバー上の脆弱なパスワードによりアクセスが許され、 サプライチェーン侵害 が可能となり、米国の連邦省庁および政府機関に影響を及ぼしました。

Colonial Pipeline ランサムウェア攻撃（2021年）

米国最大の精製石油製品パイプラインは、攻撃者がレガシーVPNアカウント上の単一の認証情報を侵害した後に停止しました MFAなしで。同社は 440万ドル のBitcoin身代金を支払いました。

同時期の DOI OIG audit では、米国内務省が資産にMFAを実装しておらず、複数アカウント間でのパスワード再利用を許可し、非アクティブなアカウントを適時に無効化していなかったことが判明し、Colonial Pipelineの障害パターンが連邦組織全体で体系的であったことが確認されました。

Target Corporation（2013年）

この侵害では数千万件の決済カード記録が漏えいしました。侵害後のセキュリティ評価では、 KrebsOnSecurity reported によると、Targetのパスワードポリシーは適用されておらず、有効なネットワーク認証情報を含むファイルが複数のサーバーに保存され、システム全体で脆弱またはデフォルトのパスワードが使用されていたことが判明しました。評価担当者は、それらの脆弱なパスワードを使用して即座にシステム管理者アクセスを取得しました。

RockYou データ侵害（2009年）

A SQL injection の脆弱性により、パスワードハッシュ化が発明されてから30年以上経過していたにもかかわらず、パスワードが平文で漏えいしました。この侵害により「rockyou.txt」ワードリストが生まれ、これは現在でもペネトレーションテストや実際の攻撃における標準的なクラッキング辞書として使われています。

パスワードポリシー脆弱性のタイムラインと歴史

パスワードポリシーの弱点は、コンピューティングの最も初期の時代から悪用されてきました。以下のタイムラインは、パスワードベース認証の発明から最新の規制および標準の変更に至るまでの主要な節目をたどります。

標準は何年も前から正しかったのです。ギャップは導入にあります。それを埋めるには、弱いポリシーが実際に環境内のどこに存在するかを把握することから始まります。

弱いパスワードポリシーを検出する方法

弱いパスワードを見つけるには、既存の認証情報の事前監査と認証アクティビティのリアルタイム監視の両方が必要です。単一の方法だけでは不十分です。

プロアクティブなパスワードハッシュ監査

NTDS.dit または /etc/shadow からパスワードハッシュを抽出し、攻撃者より先に解読可能なパスワードを見つけるためにクラッキングツールにかけます。これはパープルチームの手法であり、敵対者が使用するのと同じツールを、自組織の認証情報ストアに対して定期的に実行するものです。これは、Kerberoasting の標的となる SPN を持つサービスアカウントにとって特に重要です。 

RC4 暗号化の使用を Kerberos ticket リクエストで監視し、大量の SPN クエリを監査してください。これらはいずれも、進行中の Kerberoasting 偵察の指標です。A CISA advisory はこのリスクを確認しました。チームは、グローバルにアクセス可能なバックアップ内で読み取り可能な /etc/shadow を発見した後、一般的なワードリストを使用して特権サービスアカウントの弱いパスワードを解読しました。

SIEM ベースの認証異常相関

SIEM プラットフォームで相関させるべき主要なシグネチャには、次のものがあります。

• Credential stuffing: 単一の IP から、異なるユーザー名/パスワードの組み合わせを使用した複数の認証失敗。
• Spraying: ユーザー名をローテーションしながら発生する認証失敗のバースト。
• Insider threat: 環境内でのパスワード監査ツールの実行。

これらのシグナルを相関させるには、ログの一元的な取り込みと、低速で進行するキャンペーンを可視化するのに十分な保持期間が必要です。アカウントごとのしきい値では分散型攻撃を捉えられない場合、行動ベースのアプローチがそのギャップを埋めます。

認証情報攻撃の行動分析

ロックアウトベースのコントロールでは、分散型スプレー、アカウントごとに 1 日 1 回の単発試行、または大規模なスタッフィングには対処できません。行動分析は、しきい値ではなくパターンに基づいて機能します。 

異常なデバイス特性、人間によるものではないインタラクションフロー、通常と異なるアクセス元の場所、および単一アカウントからの同時ログインをフラグ付けします。

侵害コーパススクリーニング

CISA's FY2025 FISMA metrics では、辞書語やユーザー自身のユーザー名を含む、過去の侵害で流出した認証情報や既知の弱いパスワードを使用してアカウントが侵害され得るかどうかを、継続的に検証することが機関に求められています。これにより、侵害コーパススクリーニングは一時点のチェックではなく、必須の継続的コントロールとして位置付けられます。

Identity Threat Response

SANSの アイデンティティ攻撃分析では、Identity Threat Detection and Response (ITDR) を、アイデンティティシステムを防御し、侵害を検知し、効率的な修復を可能にするためのツールとベストプラクティスの集合として定義しています。中核的な課題は、有効な認証情報を使用する攻撃者が正当なアクティビティに紛れ込むことです。 ITDR には、クラウド、オンプレミス、ハイブリッド環境全体にわたるアイデンティティの可視性が必要であり、すべてのユーザー、すべてのアカウント（人間およびサービス）、すべてのアクセス権、すべての構成を対象とします。

弱点を見つける方法がわかったら、次のステップは予防的コントロールを導入することです。

脆弱なパスワードポリシーを防ぐ方法

予防には、現在の規制基準にパスワードポリシーを整合させるとともに、8つの根本原因それぞれに対処することが必要です。

パスワードの最小長を15文字に強制する

CISAの2025年勧告 では、15文字未満のポリシーが T1110.001、.002、.003、.004 の攻撃実行を可能にすることに明示的に対応付けられています。これは、権威ある情報源の中で最も運用に根ざしたしきい値です。 PCI DSS FAQ では、決済カード環境における最小パスワード長が要求されています。

すべてのアクセスポイントに対してフィッシング耐性のあるMFAを導入する

CISAの2025年ガイダンスでは、単なるMFA実装ではなく、フィッシング耐性のあるMFAが指定されています。PCI DSS v4.0.1 では、すべてのカード会員データ環境アクセスに対してMFAが要求されており、FAQ 1595 に従って FIDO2 パスキーが受け入れられます。 NIST SP 800-63B-4 では、認証器保証レベル2（AAL2）および AAL3 でMFAが要求され、AAL3 ではさらに検証者なりすまし耐性および検証者侵害耐性が要求されます。

侵害済みコーパスに対してパスワードをスクリーニングする

すべての新規および変更されたパスワードを、既知の侵害済み値、辞書語、およびユーザー自身のユーザー名と照合してください。OWASP は、最低限として最悪の上位パスワードに対するテストを推奨しています。CISA FISMA メトリクスでは、一時点のチェックではなく継続的な監視が要求されます。必須のローテーション義務は、この継続的スクリーニングのアプローチに置き換えてください。

安全でない保存を排除し、認証情報ローテーションを確立する

平文パスワードの保存を禁止し、定期的に監査してください。強力なソルト付きハッシュアルゴリズムを使用します: bcrypt、scrypt、Argon2。SANSの 認証情報ローテーション分析 では、組織は毎週の頻度で認証情報をローテーションできる能力を備えていなければならないと特定しています。それができないことは、運用上の認証情報衛生が不十分であることを示します。その能力には、専用のシークレット管理インフラストラクチャが必要です。

休眠アカウントを45日以内に無効化する

CIS Controls では、45日間非アクティブな休眠アカウントの削除または無効化が要求されています。SANS は、非アクティブアカウントの即時無効化を、アイデンティティおよびアクセス管理（IAM）の中核的な衛生管理として位置付けています。

専用の管理者アカウントで最小権限を実装する

管理者権限は専用の管理者アカウントに制限してください。一般的なコンピューティング活動、ブラウジング、メール、生産性向上作業は、非特権アカウントから実施してください。 CISA CPG では、NIST SP 800-53 Rev 5 AC-5（職務の分離）および AC-6（最小権限）を、統制を規定するコントロールとして参照しています。

エンタープライズ向けパスワードマネージャーを導入する

CISAの パスワードガイダンス では、資産ごとに一意の認証情報を強制するため、全社的なパスワードマネージャーの導入を推奨しています。

それがポリシーです。1万のアカウント全体でそれを維持できるようにするのがツールです。

検知と予防のためのツール

脆弱なパスワードポリシーに大規模に対処するには、プロアクティブな監査ツール、認証監視、およびポリシー適用インフラストラクチャを組み合わせる必要があります。以下のカテゴリは、主要なツール領域を網羅しています。

パスワード監査およびクラッキングツール（プロアクティブ）

• Hashcat: GPUで高速化されたパスワード監査であり、プロアクティブなハッシュクラッキングの主要ツールです。
• John the Ripper: 複数の認証情報形式をサポートする、無料のオープンソースのパスワード監査ツールです。

これらのツールは、環境内のどの認証情報が、攻撃者が使用するのと同じ手法によって破られるかを明らかにします。何がクラック可能かがわかったら、次に必要なのは進行中の悪用試行を可視化することです。

ネットワークおよび認証の監視

• SIEMプラットフォーム: エンドポイント、アイデンティティストア、クラウドサービス全体の認証イベントを相関分析し、スプレー、スタッフィング、ブルートフォースのパターンを検知します。
• ITDRソリューション: 攻撃者がすでに有効な認証情報を保持し、通常のアクティビティに紛れ込んでいるケースのために設計された、専用のアイデンティティ保護です。

監視は進行中の攻撃を可視化しますが、それを防止するものではありません。適用ツールは、監視によって明らかになるポリシーギャップを埋めます。

ポリシー適用

• Active Directory グループポリシー: Windows 環境全体で最小パスワード長、複雑性、および履歴の制御を強制します。
• 特権アクセス管理 (PAM): 特権認証情報を自動的に保管およびローテーションし、サービスアカウントと管理者パスワードの衛生管理に対処します。

これらのカテゴリは、監査、監視、および強制をそれぞれ独立して扱います。SentinelOne はそれらの機能を単一のプラットフォーム内で統合します。

SentinelOne が支援できること

SentinelOne の Singularity™ Platformは、ID ストア、エンドポイント、およびレスポンスにおいて認証情報攻撃チェーンをカバーします。

• ID 保護。 Singularity Identityは、Active Directory およびクラウド ID ストア全体で認証情報の不正使用と異常な認証アクティビティを検出します。攻撃者がブルートフォースやクレデンシャルスタッフィングによって取得した有効な認証情報を使用する場合、行動 AI は既知のシグネチャを必要とせずにその異常を可視化します。
• エンドポイント上の行動 AI。 SentinelOne のエージェントベースの行動 AI は、デバイスレベルでプロセスの振る舞いを分析します。認証情報攻撃の成功後に続くラテラルムーブメントと権限昇格を検出します。
• Storyline テクノロジー。 Storyline Active Response (STAR)™ は、初期の認証情報悪用からラテラルムーブメント、データアクセスに至るまでの完全な攻撃チェーンを再構築し、アナリストに完全なフォレンジックコンテキストを提供します。攻撃者が有効な認証情報を使用して数週間にわたり活動する場合、Storyline はそのアクティビティを統一されたナラティブに結び付け、アナリストが分断されたツール間でイベントを手動相関する必要をなくします。
• Purple AI™ による調査。 Purple AI™ は、 Singularity Data Lake 全体で自然言語クエリを可能にすることで、認証情報ベースのインシデントの調査を加速します。 IDC found による調査では、Purple AI の顧客は脅威の特定を 63% 高速化し、平均対応時間 (MTTR) を 55% 削減していることが判明しました。アナリストはサービスアカウントに関連する認証異常を問い合わせ、複数のプラットフォームを何時間もかけてクエリする代わりに、数秒で相関結果を受け取ることができます。
• AI SIEM と Data Lake。 SentinelOne の Data Lake と AI SIEM は、Open Cybersecurity Schema Framework (OCSF) の正規化により、あらゆるソースからのリアルタイム取り込みを提供します。AI SIEM は従来の SIEM ソリューションより 100 倍高速に動作するため、攻撃がまだ進行中の間に、ID、エンドポイント、およびクラウドテレメトリ全体でブルートフォース、スプレー、およびクレデンシャルスタッフィングのシグナルを相関できます。
• 自律型レスポンス。 認証情報ベースの攻撃が確認されると、SentinelOne の自律型レスポンスエンジンは侵害されたエンドポイントを隔離し、人の介入を待たずにラテラルムーブメントを停止します。 2024 MITRE ATT&CK Evaluations では、SentinelOne は競合ソリューションより 88% 少ないアラートを生成しました。これは、認証情報インシデントが進行している間に精査すべきノイズが大幅に少ないことを意味します。

デモをリクエスト して、 Singularity Platform が環境全体で認証情報ベースの攻撃をどのように検出して阻止するかをご確認ください。

組織全体のアイデンティティリスクを軽減

Active DirectoryとEntra IDの総合的なソリューションにより、リアルタイムで攻撃を検知し、対応します。

デモを見る

関連する脆弱性

弱いパスワードポリシーは、より広範な認証および認証情報管理の弱点ファミリーの中に存在します。関連する 脆弱性クラスを理解することで、自身の環境における隣接する露出箇所を把握できます。

• CWE-798: ハードコードされた認証情報の使用。 ソフトウェアには、ソースコードにコンパイルされ、管理者が変更できない認証情報が含まれています。運用上のパスワードポリシーでは、バイナリに埋め込まれた認証情報を修正できません。 CWE-798 は、ソフトウェア開発ライフサイクルのレベルで対処する必要があります。 CWE-259 page は、ハードコードされたパスワードに特化しており、コンパイル済み Java クラスを逆コンパイルして認証情報文字列を明らかにできるケースを扱っています。
• CWE-287: 不適切な認証。 認証メカニズム自体がバイパス可能なケースを対象としています。 CWE-287 page には、LDAP パッケージが空のパスワードを使用した認証バイパスを許可する CVE-2017-14623 が記載されています。最大限に強力なパスワードポリシーであっても、メカニズム自体が完全に回避される場合には保護効果はゼロです。
• CWE-262: パスワードの有効期限設定を使用していない。パスワードの有効期限切れを強制しない不備を説明しています。特筆すべき点として、このCWEは異例の位置付けにあります。というのも、その修正策である有効期限設定の義務化自体が、現在では NIST SP 800-63-4 の下でベストプラクティスとして疑問視されているためです。この CWE-262 page では、"Time to retire CWE-262 and CWE-263." というタイトルの2021年のコミュニティディスカッションが引用されています。
• CWE-263: 長い有効期限を持つパスワードエージング。CWE-262とは逆の不備です。ポリシーは存在するものの、設定が緩すぎるため、認証情報の有効期間に対して意味のある制約をまったく提供しません。
• CWE-307: 過剰な認証試行に対する不適切な制限。 OWASP A07 では CWE-521 と併記されており、レート制限またはロックアウトメカニズムの欠如を対象としています。
• CWE-640: 脆弱なパスワード回復メカニズム。 ナレッジベースの秘密の質問を使用する脆弱な回復フローによって、強力なパスワードポリシーが完全に回避されます。

実際の脆弱性開示を追跡している場合、この弱点が製品の CVE にどれほど頻繁に現れるかも確認できます。

関連する CVE

次の表は、脆弱なパスワードポリシー、デフォルト認証情報、およびハードコードされた認証情報の脆弱性に関連する CVE を記録したものです。 

すべてのエントリは SentinelOne 脆弱性データベース内の検証済みページにリンクしており、新しいものから古いものの順に並んでいます。該当する場合は、CISA Known Exploited Vulnerabilities が注記されています。

要点

脆弱なパスワードポリシーは、攻撃者に正規のアクセスを与えてしまうため、最も一貫して悪用される認証不備の1つであり続けています。これを防ぐためのコントロールは、すでに文書化されており、すでに利用可能です。より長い最小文字数、フィッシング耐性のあるMFA、漏えいコーパスのスクリーニング、ソルト付きハッシュ化、行動ベースの分析です。 

そのリストのすべての項目は、組織内の誰かが今四半期に決定できるものです。それらを実行すれば、1つの有効な認証情報が環境全体への侵入経路であることはなくなります。