アイデンティティのリスクスコア

アイデンティティのリスクスコアは、セキュリティインシデントに関与する可能性と、侵害された場合の潜在的な影響を組み合わせた、アイデンティティがもたらす全体的なリスクを示す指標です。このスコアは、行動シグナル、アカウント設定、アクティブな調査結果を評価する特許出願中の機械学習モデルによって計算されます。このモデルは、お客様の環境内の各 ID に対して、継続的に更新される統合リスク指標を算出します。高い権限を持つID、セキュリティポスチャが脆弱な ID、または未解決の調査結果がある ID は、不審なアクティビティが確認されていない場合でもスコアが高くなります。

要約すると以下のようになります

• すべての ID に 0 ～ 10 のスコアが割り当てられます。
• 数値が高いほど、その ID に対してより注意を払う必要があります。
• MFA が有効になっていないことや未解決のセキュリティ検出結果が存在することなどによりスコアは上昇し、適切なセキュリティ対策が実施されている場合はスコアが低下します。
• MFA を有効にするなど、スコアに影響する一部の要因は変更できますが、ユーザーの部署や役職など変更できない要因もあります。詳細は、スコアを上昇させる要因をご覧ください。

これにより、セキュリティチームは 1つの数値で 2つの強力な機能を利用できるようになります。

• 脅威の調査：影響を受けた ID のリスクスコアを確認することで、その対象がどの程度重要なターゲットであるかを即座に把握できます。たとえば、特権を持つ管理者アカウントのスコアが 8.5 の場合と、一般ユーザーアカウントのスコアが 1.2 の場合では、取るべき対応は大きく異なります。
• セキュリティポスチャの評価:スコアが高いにもかかわらずアクティブな調査結果が存在しない ID は、まだインシデントには発展していない潜在的なリスクを示しています。これらの ID は侵害されているわけではないが、攻撃者にとって魅力的な標的となり得る構成になっています。これらの問題に事前に対処することで、インシデントが発生する前に攻撃対象領域を削減できます。

スコア帯域

スコアの計算方法

ITDR は各 ID のリスクスコアを計算し、環境の変化に応じて常に最新の状態に保ちます。スコアは毎日更新され、調査結果が開始または終了された場合、あるいはアカウントの変更が検出された場合にも自動的に再計算されます。スコアは ID の属性 と アクティブな調査結果 の組み合わせを反映しており、リスクシグナルが多いほどスコアは高くなります。

スコアに影響する要因は、Sophos ITDR 内では次の 2 つのカテゴリに分けて表示されます。

• セキュリティ要因：アカウントの構成やセキュリティポスチャに関連する要因であり、MFA の状態、管理者ロール、未解決の検出結果など、ユーザーが直接管理できるものです。
• プロファイル要因：部署、役職、または ID のサインイン元の都市など、容易には制御できない ID の属性です。たとえば、高リスクとみなされる都市を拠点とするユーザーは、セキュリティ構成に関係なく、プロファイル要因によってスコアが高くなる場合があります。

プロファイル要因の多くはお客様が直接制御できないため、まずはセキュリティ要因の改善を優先することをお勧めします詳細は、ID のスコアを改善するをご覧ください。

スコアを上昇させる要因

次のセキュリティ要因およびプロファイル要因は、ID のスコアを上昇させます。

• セキュリティ要因：

  • ID に MFA が設定されていない。
  • MFA は設定されているが、パスワードレス方式が有効になっていない (MFAが他の方法で有効になっている場合)。
  • 未解決の調査結果で。特に重要度が 「緊急」 または 「高」 のものが存在する。これらは「要因」(Contributing Factors)　のパネルで「ID の露出リスク」(Identity Exposures) として表示されます。
  • 管理者ロール または 特権ディレクトリロール が割り当てられている。
  • ゲストアカウントである。
  • アクティブな認証情報流出 (認証情報の侵害) が存在する。
  • ハイブリッドアカウント (オンプレミス ディレクトリから同期されたアカウント) である。
  • 関連付けられたメールアドレスが多いなど、メールアドレスのフットプリントが広い。
  • その ID に関連する 過去の警告や調査アクティビティが存在する。

• プロファイル要因：

  • 部署が高リスクグループに分類されている。
  • 役職が高リスク グループに類されている。
  • 都市が高リスク地域に分類されている。
  • 従業員の種類が高リスクグループに分類されている。
  • 管理者情報が登録されていない。
  • ID が VIP 監視 の対象として設定されている。この要因は「要因」(Contributing Factors) パネルで 「高価値 ID (優先的に監視) 」(High-value identity, prioritize monitoring) として表示されます。

スコアを低下させる要因

次のセキュリティ要因およびプロファイル要因は、ID のスコアを低下させます。

• セキュリティ要因：

  • MFA が設定および適用されている。
  • パスワードレス MFA が設定されている。
  • 警告および調査の履歴に問題がない。
  • 検出結果が解決済みまたは却下済みである。
  • 不要な管理者ロールが削除されている。
  • 関連付けられたメールアドレスが少ない。

• プロファイル要因：

  • 部署が低リスクグループに分類されている。
  • 役職が低リスクグループに分類されている。
  • 都市が低リスク地域に分類されている。
  • 従業員の種類が低リスクグループに分類されている。
  • 管理者情報が登録されている。

リスクスコアが表示される場所

リスクスコアは以下の場所で確認できます。

ID テーブル

「ディレクトリ」ページの「ID」テーブルの「リスクスコア」列には、各 ID の現在のスコアが表示されます。カード表示では、各カードの右上にスコアも表示されます。

アイデンティティの詳細

「ID」テーブルから ID を選択すると、その詳細が表示されます。「サマリー」タブには、以下の情報を含む「リスクスコア」パネルがあります。

• 現在のスコア：最新の日次スコアと、そのスコア帯域が表示されます。
• 要因：スコアに影響を与える属性と調査結果。詳細は、スコアを上昇させる要因をご覧ください。

影響要因は、「リスクスコアを上げる要因」と「リスクスコアを下げる要因」の 2つの列に分けられ、それぞれが「セキュリティ要因」と「プロファイル要因」に分類されます。

「特に危険なユーザー」ウィジェット

「特に危険なユーザー」ウィジェットは、高いリスクスコアと未解決の調査結果を併せ持つユーザーを表示します。これらは日常的なトリアージで最優先に対応すべきグループです。各項目には、ID 名、重要度別の未解決の調査結果数、および現在のスコアが表示されます。

ID のスコアを改善する

次回のスコア再計算時のスコアに最も大きく影響するアクションは次のとおりです。