アカウント侵害を早期発見するIdPの脅威シグナル7選
SSO・MFA運用で見落としやすいログイン、セッション、管理者変更のシグナルと、IdP監査ログを使った対応優先度の決め方を解説します。
SSOを導入しても、アカウント侵害がなくなるわけではありません。攻撃者はパスワードだけでなく、セッショントークン、MFAの復旧手順、管理者設定の変更も狙います。近年IAM分野でアイデンティティ脅威検知・対応（ITDR）が注目されるのは、認証の成否だけでは正規ユーザーと攻撃者を判別しにくいためです。
専用の検知製品を導入する前でも、IdP監査ログを中心に監視項目と対応基準を定めれば、検知の空白を減らせます。重要なのは、一つのイベントだけで攻撃と断定せず、複数シグナルの組み合わせと業務上の背景を確認することです。
優先して確認する7つの脅威シグナル
- 短時間に複数の国やネットワークからログインが成功している。
- ログイン失敗の連続直後に、見慣れない環境から成功している。
- MFA再設定の直後に、高権限アプリや管理画面へアクセスしている。
- 通常と異なるブラウザーから新規セッションが多数作成されている。
- 退職予定者や休眠アカウントの活動が再開している。
- 管理者ロール、グループ、アプリ割り当てが業務時間外に変更されている。
- SAML証明書やOIDCリダイレクトURIなどの信頼設定が予告なく変わっている。
各項目には、出張、VPN、端末交換、計画済みのデプロイといった正当な理由もあり得ます。ユーザー、テナント、対象アプリ、IP、端末、変更前後の値、承認記録を併せて残すことで誤検知を減らせます。セッション侵害の特徴と防御原則は、セッショントークン窃取への対策も参照してください。
シグナル別の対応レベルを事前に決める
直ちに遮断する条件
管理者権限の昇格と新しい端末からのログインが連続した場合や、退職者アカウントによる機密アプリへのアクセスが確認された場合は、セッション失効、アカウント停止、認証情報の再設定を優先します。ただし担当者の裁量だけに任せず、遮断条件と復旧承認者をランブックに明記します。
追加確認する条件
未知のIPなど単一のシグナルだけなら、本人確認と直近の変更履歴を先に調査します。すべての異常を即時遮断すると、業務停止とアラート疲れを招きます。調査に必要なログ項目と保存期間は、SSO監査ログの保存ポリシーを参考にしてください。
マルチテナントでは顧客ごとの文脈を分離する
同じIPやアプリでも、正常な利用パターンは顧客ごとに異なります。アラートと調査権限をテナント単位で分離し、ある顧客の管理者が別の顧客のユーザーやログを閲覧できないようにします。共通運用者が調査する場合も、閲覧目的と操作履歴を記録することが重要です。
AxiPassは企業顧客ごとのテナントで、OIDC/SAML SSO、SCIM、MFA、SWA、監査ログを一元管理できるよう支援します。まず脅威シグナルと対応基準を文書化し、一元化された認証記録を調査と復旧に活用できる運用体制へ変えていきましょう。