Microsoftは、パスワード攻撃やフィッシング攻撃の阻止に向け、「Azure Active Directory（Azure AD）」の多くのユーザーにセキュリティデフォルトを段階的にリリースしている。
同社は、2019年10月以降にAzure ADテナントを作成した顧客にセキュリティデフォルトのロールアウトを開始していたが、同月より前にAzure ADテナントを作成した顧客は対象外だった。
同社によると、Azure ADのセキュリティデフォルトは現在、およそ3000万の組織に使用されており、今後数カ月でより多くの組織にロールアウトしていくことで、さらに6000万のアカウントがデフォルトで保護されるようになるという。
Microsoftのアイデンティティーセキュリティ担当ディレクターAlex Weinert氏は、「このロールアウトの完了時点で、さらに6000万のアカウント（この数は英国の人口に匹敵する！）が最もよく見かけるアイデンティティー攻撃から保護されるようになる」と述べている。
Azure ADは、オンプレミスやクラウドのアプリにおけるアイデンティティーと認証を取り扱うMicrosoftのクラウドサービスだ。「Windows 2000」の頃に登場した「Active Directory Domain Services」の進化形として生み出された。
Microsoftは2019年、パスワード攻撃やフィッシング攻撃に対する防御能力を強化したいが、リソースを豊富に有していない組織に向け、アイデンティティー関連の基本的なセキュリティメカニズムを実現するセキュリティデフォルトを導入した。Azure ADライセンスの無料ティアーを使用している組織も対象とされており、組織の管理者がAzureポータルで「セキュリティデフォルト」を有効化できるようにしている。
Weinert氏が説明するように、このデフォルトはライセンスを問わず、多要素認証（MFA）やモダンな認証機構に代表される「基本的なセキュリティハイジーン（衛生）」を確実に実装するために、新たなテナント向けとして導入された。同氏は、セキュリティデフォルトを有効化している3000万に及ぶ組織で、攻撃を許す可能性が大きく減少していると指摘している。
Weinert氏は、「テナント全体で見た場合、これら組織は侵入される可能性が80％低くなっている。ほとんどのテナントでは有効化されたままにしているだけだ。準備が整えば、『Conditional Access』ポリシーでより強固なセキュリティを実現しているテナントもある」と説明した。
同氏によると、セキュリティデフォルトでは、ユーザーはロケーション、デバイス、ロール、タスクに基づき、「必要に応じて」MFAによる認証の対象となる。管理者はサインインのたびにMFAを使用する必要がある。
今回のロールアウトは、Conditional Accessポリシーを使用していない組織のほか、セキュリティデフォルトを使用したことがない、あるいは「レガシーな認証クライアントを積極的に活用していない」組織から開始される。
対象となるAzure ADテナントのグローバル管理者には、セキュリティデフォルトについて電子メールで通知される。6月中に「Outlook」の通知で、「セキュリティデフォルトを有効にする」をクリックするよう促し、「セキュリティデフォルトは14日以内にユーザーの組織向けに自動的に有効になる」と知らせるプロンプトが表示される。
Weinert氏は、「グローバル管理者はすぐにセキュリティデフォルトをオプトインするか、14日間スヌーズできる。この間、セキュリティデフォルトを明示的にオプトアウトすることもできる」と説明している。有効化されれば、テナントのすべてのユーザーは、「Microsoft Authenticator」を利用してMFAを登録するよう求められる。グローバル管理者はさらに電話番号が求められる。
また、組織でセキュリティのベースラインレベルを利用しないリスクを理解していれば、Azure Active Directoryプロパティの「プロパティ」セクション、あるいは「Microsoft 365」の管理センターからデフォルトセキュリティを無効にすることもできると説明されている。
同氏は、「ハッキングされたアカウントを調べると、99.9％以上がMFAを導入しておらず、パスワードスプレー攻撃やフィッシング、パスワード再利用などに対して脆弱な状態になっている」と指摘する。
この記事は海外Red Ventures発の記事を朝日インタラクティブが日本向けに編集したものです。
