ユーザーリスクスコアリングで侵害への対応から予防へ

多くのセキュリティチームは、日々、ハイリスクな「もぐら叩き」ゲームに追われています。ユーザーの認証情報がフィッシングに遭ったり、誤って悪意のあるファイルをダウンロードしたりすると、たちまちインシデント対応モードに突入します。 私たちはこの悪循環を断ち切るために、SASEプラットフォーム「Cloudflare One」を構築しました。アプリケーションとインターネットトラフィックの前にAccessとGatewayを配置することで、誰がアクセスでき、どこへ行けるかを決定するツールを提供してきました。 本日、私たちはその判断をさらに高度なものにします。ユーザーリスクスコアをゼロトラストネットワークアクセス（ZTNA）ポリシーに直接組み込めるようになりました。これにより、「このユーザーは誰か？」「デバイスは健全か？」を確認するだけでなく、「このユーザーは最近どのように行動しているか？」を問い、そのアクセス権をリアルタイムで調整できるようになります。 ステップ1: 「何」から「どのように」へ 長年、従来の企業アクセスは二者択一でした。適切なログイン情報と証明書を持っているか、いないかのどちらかです。しかし、アイデンティティは流動的なものです。正当なユーザーでも、アカウントが侵害されたり、「インサイダー脅威」に該当する行動——例えば不可能な移動、複数回のログイン失敗、機密データの移動によるデータ損失防止（DLP）ルールの発動など——を示し始めると、リスク要因となり得ます。 Cloudflare Oneは現在、これらの行動に基づき、組織内の全ユーザーのリスクスコアを継続的に算出します。 チームをCloudflare Oneにオンボードすると、ダッシュボードの「Team & Resources > Users > Risk Score」セクションに移動できます。ここでは、どの行動を重要とみなすかを定義できます。例えば、不可能な移動を「高」リスク、更新が必要なデバイスの使用を「中」リスクと設定することが可能です。 Cloudflareのリスクエンジンは、SASEプラットフォーム全体からのテレメトリを継続的に評価します。内部シグナルについては、Cloudflare Access（例：ログイン成功/失敗、地理的コンテキスト）およびCloudflare Gateway（例：マルウェア検知、危険な閲覧カテゴリ、DLPでの機密データ検知）からのログを監視します。 サードパーティのシグナルについては、CrowdStrikeやSentinelOneなどのパートナーとのサービス間連携を構築しました。これらの連携により、CloudflareはCrowdStrikeのデバイスポスチャ属性などの外部テレメトリを取り込み、ユーザープロファイルに紐付けることができます。 計算ロジックは決定的になるように設計されています： 1. 選択: 管理者は、自組織で有効化する具体的な「リスク行動」（不可能な移動、DLP違反など）を選択します。 2. 集約: エンジンがユーザーに関連する全てのリスクイベントを特定します。 3. スコアリング: ユーザーのリスクスコアは、設定期間中にトリガーされた、有効化されている行動の中の最高リスクレベル（低、中、高）によって決定されます。 4. リセット: 管理者がインシデントを調査し解決した場合、ユーザーのスコアを手動でリセットできます。これにより履歴は保持されますが、以後収集されるリスクデータに基づいてアクセス権限がリセットされます。 ステップ2: 適応的アクセスを容易に適用 ユーザーにリスクがあると知ることが第一歩なら、それを自動的に対処することが第二歩です。 以前は、セキュリティアナリストが不審なユーザーを発見した場合、手動でセッションを無効化するか、アイデンティティプロバイダー（IdP）内でユーザーを「制限付き」グループに移動させる必要がありました。これには時間がかかり、攻撃者はその時間を利用して横向きの移動（攻撃範囲の拡大）を図ります。 現在では、適応的アクセスポリシーを構築できます。アクセスポリシーを作成または編集する際、新しいセレクタ「User Risk Score」をご利用いただけます。 これにより、「ユーザーのリスクスコアが『高』の場合、財務ポータルへアクセス不可」や「ユーザーのリスクスコアが『中』の場合、ログインに物理セキュリティキーを必須とする」といった、グローバルまたはアプリケーション固有のルールを作成できます。このようなルールにより、追加のセキュリティ層を適用しながらも、企業の業務が中断されることはありません。 ステップ3: ループを閉じる このシステムの最大の利点は、その動的な性質にあります。調査担当者によるレビューと問題解決後にユーザーのリスクスコアが下がれば、設定されたポリシーに基づきアクセス権が自動的に復元されます。現在、リスクベースのアクセス制御では、アクティブなセッション中にリスクスコアが上昇した場合、アクセスを無効化できます。将来的には、アクティブなセッション中にリスクスコアが変化した場合に、段階的多要素認証（MFA）を強制する機能への拡張も検討しています。 また、既にお使いのツールとの連携も確保しています。Oktaをご利用の場合、CloudflareはこれらのリスクシグナルをOktaに共有できるため、ネットワーク上で危険とフラグが立てられたユーザーは、シングルサインオン（SSO）の入口段階でも制限されます。この連携には、プラットフォーム間でリスクシグナルを共有できるShared Signals Frameworkを採用しています。 迅速に行動し、安全を確保 私たちがCloudflare Oneを構築したのは、セキュリティチームが「否定する部門」であることをやめ、「安全を確保した上で、前進を促す部門」となるためです。ユーザーリスクスコアをアクセスポリシーに組み込むことは、その旅の次の一歩です。これにより、セキュリティ対策は、ログイン時の静的な「スナップショット」から、ネットワークアーキテクチャとの継続的で活発な「対話」へと進化します。 既にCloudflareのご契約者であれば、本日からダッシュボードでこれらのリスクシグナルをご確認いただけます。レガシーなVPNや手動でのセキュリティレビューにまだ手間取っているようでしたら、切り替えをお手伝いします。 最大50ユーザーまで無料でお試しいただけます（営業電話は不要です）。CrowdStrikeやSentinelOneなどのサードパーティシグナルをグローバルポリシーに統合したい大規模組織向けに、当社チームがZTNAパイロットの実施をご支援します。 適応的アクセスがお客様の環境にどのように適合するか、当チームまでお問い合わせください。

ユーザーリスクスコアリングで侵害への対応から予防へ

背景や根拠まで確認しますか？

調べる

選ぶ

サイト