.png)
多要素認証（MFA）とは何ですか？
多要素認証(MFA)は、ユーザーがアカウント、アプリケーション、またはシステムにアクセスする前に、2種類以上の異なる認証要素を提供することを求めるセキュリティ手法です。
パスワードだけに頼るのではなく、多要素認証（MFA）は、ユーザーが本人であることを証明するための追加の証拠を要求する。これには認証アプリのワンタイムコード、物理的なセキュリティキー、指紋などの生体認証要素が含まれます。
MFAはアカウントセキュリティを強化します。なぜなら、パスワードを盗むだけでは攻撃者がアクセスできない場合があるからです。これはアイデンティティ・アクセス管理(IAM)、 ゼロトラストセキュリティ、そして多層的な サイバーセキュリティ 戦略の重要な要素です。
主なポイント
- 多要素認証(MFA)は、パスワード、セキュリティキー、生体認証など、2つ以上の認証要素を使って本人確認を義務付けることで、追加のセキュリティ層を追加します。
- MFAは不正アクセスや認証情報に基づく攻撃を防ぐのに役立ちます。たとえ攻撃者がパスワードを盗んだとしても、追加の認証要件を設けることで、アカウントの侵害をより困難にすることができる。
- すべての多要素認証方式が同じレベルのセキュリティを提供するわけではありません。フィッシング耐性のMFAは認証情報盗難に対するより強力なセキュリティを提供しますが、従来の方法はMFA疲れ、ソーシャルエンジニアリング、セッションハイジャックのリスクにさらされることがあります。
- MFAだけではラテラルムーブメントを防いだり、セキュリティ侵害を封じ込めたりすることはできません。組織はMFAとゼロトラスト原則、最小権限アクセス、セグメンテーションを組み合わせて、侵害後の攻撃者のシステム間移動を制限すべきです。
多要素認証はどのように機能するのですか？
多要素認証は、複数の独立した認証要素を用いてユーザーの身元を確認する。
一般的な多要素認証（MFA）プロセスは次のようになります。
- ユーザーがアカウントまたはアプリケーションにログインしようとします。
- ユーザーは、パスワードなどの最初の認証要素を提供する。
- システムは追加の要素を要求します。
- ユーザーは認証アプリやセキュリティキーなど、異なる種類の要素を使って本人確認を行います。
- システムは両方の要素を検証します。
- 認証要件が満たされれば、ユーザーにはアクセス権限が付与されます。
多要素認証の鍵は、認証方法が異なる要素カテゴリに属していることです。例えば、2つのパスワードを要求するだけでは、どちらも同じ種類の要素であるため、一般的には多要素認証とはみなされません。
認証要素の種類にはどのようなものがありますか？
認証要素は一般的に、ユーザーがどのように本人確認を行うかに基づいて、いくつかのカテゴリに分類されます。
あなたが知っていること
知識要素とは、ユーザーが知っている情報のことである。
例としては、次のようなものがあります。
- パスワード
- PINコード
- パスフレーズ
パスワードは広く使われているが、フィッシング、クレデンシャルスタッフィング、マルウェア、その他のサイバー攻撃によって盗まれる可能性がある。
あなたが持っているもの
所有要素とは、ユーザーが物理的に所有しているもののことである。
例としては、次のようなものがあります。
- スマートフォン
- 認証アプリケーション
- ハードウェアセキュリティキー
- スマートカード
- ハードウェアトークン
ユーザーのパスワードを盗んだ攻撃者は、認証要件を満たすために、所有権という要素にもアクセスする必要がある。
あなたが何か
固有要因とは、ユーザーに関連付けられた身体的または行動的特性を利用するものです。
例としては以下のようなものが挙げられます。
- 指紋
- 顔認識
- Iris scans
- その他の生体認証識別子
生体認証は便利な認証手段となり得るが、組織は生体認証情報を慎重に保護する必要がある。なぜなら、漏洩した場合、パスワードのように簡単に変更することはできないからだ。
多要素認証が重要な理由とは？
多要素認証（MFA）は、パスワードが漏洩した場合に即座に不正アクセスにつながるリスクを軽減します。
パスワードはフィッシング、データ侵害、認証情報の詰め込み、パスワードの再利用、マルウェア、ブルートフォース攻撃などで漏洩する可能性があります。アカウントがユーザー名とパスワードのみに依存している場合、攻撃者はそれらの認証情報を入手するだけでログインできてしまう可能性がある。
多要素認証は新たな障壁を生み出す。
攻撃者が正しいパスワードを入手したとしても、アクセス権を取得するには、別の認証要件も満たす必要がある。
組織はMFAを以下の目的で使用します。
- 従業員および顧客のアカウントを保護する
- 認証情報に基づく攻撃を減らす
- 安全なリモートアクセス
- クラウドアプリケーションを保護する
- 特権アカウントを強化する
- ゼロトラストの取り組みを支援しましょう
- 機密情報への不正アクセスを減らす
- セキュリティおよびコンプライアンス要件を満たす
MFAと2FAの違いは何ですか？
二要素認証（2FA）は、多要素認証の一種です。
多要素認証（MFA）では、2つ以上の異なる認証要素が必要です。2段階認証には、具体的に2つの要素が必要です。
例えば、パスワードを入力してハードウェアセキュリティキーでログインを承認するのは、ユーザーが知っているものと持っているものを組み合わせるため、2段階認証です。
3つの異なる要素を必要とする認証プロセスは依然としてMFA（多要素認証）であるが、2要素認証とは呼ばれない。
実際には、MFAと2FAという用語は時として同義語として使われることがあるが、MFAの方がより広い概念である。
一般的な多要素認証（MFA）の方法にはどのようなものがありますか？
組織はセキュリティ要件や技術に応じて複数の方法でMFAを実装できます。
一般的な多要素認証の方法には以下が含まれます。
- ワンタイムパスコードを生成する認証アプリ
- 信頼できるデバイスにプッシュ通知が送信されます
- ハードウェアセキュリティキー
- スマートカード
- SMSまたはテキストメッセージコード
- メール認証コード
- 生体認証
- ワンタイムパスワード（OTP）
すべての多要素認証方式が同じレベルの保護を提供するわけではありません。
例えば、SMS認証はパスワードのみの認証に比べて追加の保護を提供できるが、SIMスワッピングやフィッシングなどの手口に対して脆弱である可能性がある。
機密性の高いシステムを保護する組織は、より強力でフィッシング攻撃に強い認証方法を選択する可能性がある。
フィッシング対策型多要素認証とは何ですか？
フィッシング耐性MFAは、攻撃者がフィッシング攻撃を通じて認証情報を盗んだり再生したりするのを防ぐために設計されています。
従来の多要素認証（MFA）方式の中には、ユーザーが誤って攻撃者に提供してしまう可能性のあるコードや承認プロンプトに依存するものがある。フィッシング対策手法では、認証プロセスを正規のサービスに紐付けるように設計された暗号認証を使用します。
ハードウェアセキュリティキーやFIDO標準に基づく技術が一般的な例です。
フィッシング対策機能を備えた多要素認証は、機密性の高いシステムへのアクセス権を持つ、価値の高いアカウント、管理者、およびユーザーに対して、より強力な保護を提供できます。
MFA疲労とは何ですか？
MFA疲労は、MFA爆弾やプッシュ爆弾とも呼ばれ、脅威アクターがユーザーのデバイスに認証要求を繰り返し送信する攻撃です。
攻撃者は通常、被害者のユーザー名とパスワードを既に入手している。彼らは、ユーザーが混乱から、あるいは単に通知を停止するために、最終的に誤ってMFA認証を承認することを期待して、MFA認証のプロンプトを繰り返し表示します。
MFA疲労は、単にMFAを有効にするだけでは不十分である理由を示している。組織は、より強力な認証方法を検討し、異常な認証行動を監視し、ユーザーを教育し、過剰または疑わしい認証試行を制限する必要がある。
多要素認証はハッキングされたり、回避されたりする可能性がありますか？
多要素認証は認証を大幅に強化するが、回避が不可能というわけではない。
攻撃者は、次のような手法を用いて多要素認証（MFA）を突破しようとする可能性があります。
例えば、攻撃者はユーザーを騙して悪意のあるフィッシングサイト経由で認証させ、その結果得られたセッショントークンを盗む可能性があります。
したがって、MFAは機密資源を保護する唯一の制御ではなく、層構造化されたセキュリティ戦略の一部であるべきです。
多要素認証（MFA）とシングルサインオンの違いは何ですか？
多要素認証とシングルサインオン（SSO）は、それぞれ異なる本人確認とアクセスに関する問題を解決する。
多要素認証（MFA）は、アクセスを許可する前に複数の種類の証拠を要求することで、認証を強化します。
SSO（シングルサインオン）を使用すると、ユーザーは一度認証するだけで、認証情報を繰り返し入力することなく、接続されている複数のアプリケーションにアクセスできます。
組織はMFAとSSOを併用することが多い。ユーザーは、最初のSSO認証プロセス中にMFAを完了し、確立されたIDセッションを通じて承認されたアプリケーションにアクセスできます。
多要素認証（MFA）とパスワードレス認証の違いは何ですか？
多要素認証とパスワードレス認証は関連しているが、異なる概念である。
多要素認証（MFA）には複数の認証要素が必要です。パスワードレス認証とは、ユーザーが従来のパスワードを入力せずに認証を行える仕組みです。
例えば、システムはパスワードの代わりにハードウェアセキュリティキーと生体認証でユーザーを認証できます。
パスワードレス認証は、盗難されたパスワード、使い回されたパスワード、または脆弱なパスワードに関連するリスクを軽減できます。実装方法によっては、パスワードレス認証でも複数の要素を用いる場合がある。
MFAはゼロトラストセキュリティをどのようにサポートしていますか?
MFAはゼロトラストのセキュリティ戦略において重要な役割を果たします。なぜならゼロトラストでは、ネットワークの位置に基づいて自動的に信頼するのではなく、組織がユーザーやデバイスを検証することを求めるからです。
多要素認証（MFA）は、アクセスを要求しているユーザーが正当なアカウント所有者であることを示す、より強力な証拠を提供する。
しかし、ゼロトラストはユーザーが認証に成功した時点で終了しません。
認証後も、組織は最小権限の原則に基づいてアクセスを制限し、どのアプリケーション、ワークロード、リソースが通信できるかを制御する必要があります。正規のアカウントであっても侵害される可能性があり、認証済みのユーザーであっても、環境全体への無制限のアクセス権を自動的に付与されるべきではない。
MFAと最小権限アクセス、継続的な監視、セグメンテーションを組み合わせることで、複数の防御層が生まれます。
MFAはラテラルムーブメントを防ぐことができますか?
MFAは攻撃者がアカウントを侵害しにくくしますが、すべての ラテラルムーブメントを完全に防ぐことはできません。
攻撃者がMFAを回避したり、認証済みセッションを盗んだり、ワークロードを侵害したり、他の脆弱性を通じてアクセスした場合、すでに環境内にいる可能性があります。
攻撃者はその後、他のシステムを発見しようと試み、あるリソースから別のリソースへと移動することができる。
だからこそ、組織は侵害が依然として起こり得ると仮定した管理が必要です。セグメンテーションはシステム間の通信を制限するため、あるリソースへのアクセスが自動的に他のすべての資源への経路を提供できないようにします。
MFAは最初のアクセスポイントを保護するのに役立ちます。セグメンテーションは 、アクセスポイントが侵害された場合に攻撃者を封じ込めるのに役立ちます。
イルミオが多要素認証を補完する仕組み
多要素認証は、盗まれた認証情報を使って攻撃者がアクセスしにくくすることで、本人確認セキュリティを強化します。Illumioは認証制御が回避された場合、攻撃者が到達できる範囲を制限することで追加の保護層を提供します。
Illumioは、ハイブリッドおよびマルチクラウド環境をまたぐワークロード、アプリケーション、リソース間の通信を可視化します。
Illumio Segmentationを用いることで、組織は最小権限通信を強制し、システム間の不要な接続を制限できます。
もし攻撃者が認証済みアカウントを侵害したり、ワークロードにアクセスした場合、セグメンテーションはラテラルムーブメントの経路を制限することで侵害を抑えます。
MFAとセグメンテーションは共に防御の深層アプローチを支援します。MFAは不正アクセスを困難にし、セグメンテーションは成功した侵害の影響を制限します。
Illumio Segmentationで認証を超えよう
多要素認証は不正ユーザーの侵入を防ぐのに役立ちますが、攻撃者が認証を回避したり、正規のアカウントを侵害したりした場合はどうなるのでしょうか？いったん侵入に成功すると、攻撃者は環境内を横方向に移動して、機密データや重要システムにアクセスしようとする可能性があります。
Illumio Segmentationは、ワークロードとアプリケーション間の不要な通信を制限し、攻撃者がアクセス後に悪用しうる経路を減らすことで、さらに保護層を強化します。
よくある質問
MFAとは何の略ですか？
MFAとは、多要素認証のことです。これは、アカウント、アプリケーション、またはシステムへのアクセスを許可する前に、2種類以上の異なる検証を必要とする認証方法です。
多要素認証の例を教えてください。
MFAの例としては、パスワードでサインインし、ハードウェアのセキュリティキーを使って認証を完了する方法があります。パスワードは知っているもので、セキュリティキーは持っているものです。
MFAは2FAと同じですか？
厳密にはそうではない。二要素認証（2FA）は、認証要素が正確に2つ必要な多要素認証の一種です。MFAはより広義の用語であり、2つ以上の要素を必要とする場合がある。
パスワードとPINは多要素認証（MFA）とみなされますか？
一般的には、いいえ。パスワードとPINはどちらも知識要素、つまりあなたが知っているものです。多要素認証（MFA）では、異なる要素カテゴリの認証方法が必要となります。
多要素認証はパスワードよりも優れているのか？
多要素認証は一般的にパスワードのみの認証よりも強力な保護を提供する。なぜなら、パスワードが漏洩しただけではアカウントにアクセスできない可能性があるからだ。多要素認証の有効性は、使用される認証方法とその実装方法に依然として左右される。
最も強力な多要素認証（MFA）の種類は何ですか？
FIDOベースのハードウェアセキュリティキーやパスキーを用いた認証などのフィッシング耐性MFA手法は、手動入力のワンタイムコードやSMSメッセージに基づく方法よりも強力なフィッシング対策を提供します。
ハッカーは多要素認証を回避できるのか？
はい。攻撃者は、フィッシング、セッショントークンの窃盗、MFA疲労、ソーシャルエンジニアリング、マルウェア、その他の手法を用いて、MFAを回避できる場合があります。MFAは認証を大幅に強化しますが、追加のセキュリティ管理と組み合わせるべきです。
多要素認証はフィッシング詐欺を防ぐのか？
多要素認証（MFA）は、フィッシングによって盗まれた認証情報がアカウント侵害につながる可能性を低減できますが、すべてのMFA方式がフィッシングを完全に防ぐわけではありません。フィッシング耐性認証方法は、認証情報を盗んだり中継したりすることを目的とした攻撃に対してより強力な保護を提供します。
なぜMFAはゼロトラストで重要なのか?
MFAは、アクセスを明示的に検証するゼロトラスト原則を支える身元確認を強化します。ゼロトラストはまた、組織が認証後のアクセスと通信を最小権限やその他のセキュリティ制御で制限することを求めています。