標的型攻撃や内部不正に「IDアクセス管理」が効く理由――グローバルで急成長中のActive Directory管理製品に迫る

Active Directoryのセキュアかつ効率的な管理を支援するManageEngine製品群

　Active Directoryの管理に伴うこうした課題を解決するために、ゾーホージャパンではIT運用管理製品群「ManageEngine」ブランドの中に、さまざまなラインアップを保有している。例えば「ADManager Plus」という製品は、Active Directoryの管理を支援するさまざまな機能を提供するツールだが、ユーザーの作成や変更を行う際の承認ワークフローや、使われていないアカウントを自動的に抽出する機能なども備える。

　「不要なActive Directory管理者権限の洗い出しと削除は、JPCERT/CCでも推奨される重要な対策の1つ。通常はスクリプトを組むなど高度なスキルが必要とされるが、ADManager PlusならツールのGUIを通じて数クリックで誰もが簡単に行うことができる」（曽根氏） 　

　また、特定のグループやOUの作成を別の管理者に委任できる機能も備える。ADManager Plusは極めて直感的な操作性を備え、高度なスキルがなくとも管理作業を遂行できるため、派遣社員や人事担当などにActive Directoryのユーザーの作成など簡易的な作業を移管することで、管理者自身の作業負荷を軽減でき、その分をより高度なセキュリティ対策に回せるようになる。加えて、「ADSelfService Plus」というツールをあわせて利用すれば、Active Directory管理者の日常業務を圧迫する「パスワードロックの問い合わせ対応とロック解除作業」を、ユーザー自身が行えるようになり、さらなる作業効率化が図れる。 　

　また、実際にユーザーが管理者アカウントを使用してActive Directoryにアクセスする際には、「Password Manager Pro」という特権ID管理製品により不正利用がないかを監視できる。具体的には、ログオン時のパスワードを都度申請/承認する仕組みを提供するとともに、踏み台アクセスの上で操作を動画形式で記録し、申請内容と作業記録、システムログなどを基に不正がないか監査することが可能だ。また、Password Manager Proを介さないドメイン管理者アカウントのアクセスがあった場合には併用するログ管理製品からアラートを発報させるなどして不正を検知することが可能だ。 　

　さらに「ADAudit Plus」というツールを使えば、Active Directoryに対して行われた操作ログを逐一記録し、視覚的なレポートとして出力できる。この内容を、管理者権限の申請や付与の記録と突き合わせれば、ある特定の操作が正当な理由に基づくものなのか、それとも不正が疑われるものなのかを明確に切り分けることができる。 　

　また、何らか疑わしい操作が行われた際に、即座に管理者に通知する機能も備える。例えば休日や平日の夜中など、普通は管理者が作業を行わないような時間帯に操作が行われた場合に、自動的にアラートを発報することが可能だ。