ゼロトラスト 2025.01.22

認証後のセキュリティも強化！IDaaSに求められる新たな要素とは

IDaaS

３行でわかる本記事のサマリ

一般的なIDaaSは、ユーザー認証を重視するが、サインイン後のセッション管理に課題がある。
Okta Identity Threat Protection（ITP）は、認証後のセッション監視と不審行動を検出し、Universal Logoutを実現する。
Netskopeとの連携により、認証後の不正行動を検知し、セッションを自動切断することでIDベースの攻撃を防ぐ。

はじめに

一般的な認証基盤（Identity Access Management）は、ID/パスワード管理、シングルサインオン、多要素認証など多くの役割を持っています。
その中でも、「アクセスしているユーザーが正しいユーザーか」という認証のプロセスに重きを置いている方が多いです。
本記事では、徐々に普及してきた認証基盤の課題や、今後求められる機能について解説します。

1．認証基盤の課題

認証基盤を導入した際に残る課題には、どのようなものがあるでしょうか。それは、「アクセスしているユーザーが正しいユーザー」と、一度認証したユーザーに対して、再評価がIDaaSにおいて一切行われないという点です。

＜一般的なIDaaSの評価ポイント＞

上記のような、一般的なIDaaSの評価ポイントから考えられる懸念点は、主に下記３点です。

サインイン時のみでしかアクセスができず、サインイン後のセッションに関しては野放しになる
サインイン後のセッションを盗まれた場合、連携アプリに自由にアクセスが可能となる
セッションを盗まれても気が付かないため、IDaaS/アプリ側のセッション切断が不可

そのため、昨今のIDベースの攻撃（フィッシング/セッションハイジャック/クレデンシャルスタッフィング等）に対して、これまでのIDaaSの機能のみで完全に守り切ることは難しいと考えられます。
この課題を解決する方法をいくつか考えてみましょう。

• 毎回のサインイン時に認証をかけていく
➡ユーザー利便性の低下のため非推奨

• 認証後、危険な挙動を検知した際に再認証またはシングルログアウトを実施
➡ログイン後の挙動を検知することはIDaaS単体では不可

いずれも、以前までは想定する対応例ではデメリットや対応機能がないなどの課題があり、対策が難しい状態でした。

2．IDの脅威を制御するITPとは？Okta製品における機能概要・連携例

この課題を解決するために登場した「Identity Threat Protection（以下、ITP）」は、その名の通り ID の脅威に対する制御を行う機能です。
例えば、IDaaS の場合では、認証後の ID に関するセキュリティを保護するという概念で利用され、EDR 製品などでは、デバイスではなく認証に対する攻撃を防ぐという観点で機能がリリースされています。

今回は、IDaaSの場合を例に、具体的な「Okta Identity Threat Protection with Okta AI（以下、Okta ITP）で、その機能と連携例をご紹介します。

まず、Okta ITPは、簡単にまとめると、下記2点が実施できる機能です。

認証後のセッションを監視する
セッションにリスクがある場合、サポート対象のアプリやOktaからログアウトする(Universal Logout機能)
o セッションのリスクについては、セキュリティ製品との連携も可能となります

Universal Logout機能に対応しているアプリについては現状、下記になります。
・Box
・Dropbox for Business
・Google Workspace/Google Cloud Platform
・Microsoft 365、Defender for Cloud Apps、Defender for Endpoint、Defender for Office365、Azure Portal
・PagerDuty
・Salesforce
・Slack
・Surf
・Zendesk
・Zoom

※Universal Logoutの動作についてはアプリごとに異なりますのでご注意ください。
※最新のサポート対応アプリはこちら　