サイバー攻撃と防御の実務
サーバの管理者のアカウントを守るための、特権アクセス管理(PAM)の考え方として、最も適切なものはどれか。
- A管理者の権限は必要な作業のときだけ承認を経て一時的に与え、特権のアカウントのパスワードは保管庫で管理して使うたびに変え、操作を記録する
- B作業のたびに承認を得るのは手間なので、管理者の全員に、常にすべてのサーバの管理者の権限を与えておく
- C特権のアカウントのパスワードは、管理者の全員で共有しておき、忘れないように何年も同じ値を使い続ける
答えと解説を見る
正解：A. 管理者の権限は必要な作業のときだけ承認を経て一時的に与え、特権のアカウントのパスワードは保管庫で管理して使うたびに変え、操作を記録する
管理者の権限を持つアカウントは、乗っ取られると被害が最も大きくなるため、攻撃者がまず狙います。特権アクセス管理では、ふだんは権限を持たせず、必要な作業のときだけ承認を経て時間を限って権限を与え(ジャストインタイムのアクセス)、パスワードなどの認証情報は保管庫に入れて人に直接見せず、使うたびに自動で変えます。あわせて管理の作業を記録・録画し、誰がいつ何をしたかを後から確かめられるようにします。これにより、常に存在する強い権限を減らし、盗まれたときの被害と、内部の不正の危険を小さくできます。
- A. 正しい。権限を必要なときだけに限り、認証情報を保管庫で管理し、操作を記録します。
- B. 常に強い権限を持つアカウントが多いほど、乗っ取られたときの被害が大きくなります。
- C. 共有すると誰が操作したかを区別できず、長く同じ値を使うと漏えいの危険も高まります。