Microsoft 365 - 不正アクセスを検知

1 不正アクセスって何？？
2 アクセス状況を分析する機能って何？？
3 Azure AD Identity Protectionって何？？
- 3.1 Azure AD Identity Protection の確認方法
- 3.2 危険なユーザー / 危険なサインインによって検出されたリスクに対するアクセス制限
4 まとめ

不正アクセスって何？？

Microsoft 365 のユーザーアカウントやパスワードが流出してしまった場合や、パスワードアタックを受け突破されてしまった場合に、
流出/突破されたアカウント情報を利用して悪意のあるユーザーから不正にMicrosoft 365 へアクセスされてしまう可能性があります。
これが不正アクセスです。
不正にアクセスされたことに気づかず放置することで、流出してしまったアカウントでのTeamsへのアクセス、Exchange Onlineや共有コンテンツへのアクセスをされてしまい、会社の重要な情報を取得される可能性があります。

自分

本記事では、上記リスクを自動的に分析・評価する機能を利用してアクセスをブロックしたり多要素認証を要求したりする方法を記載します。

アクセス状況を分析する機能って何？？

Azure AD Identity Protection　という機能を利用します。

この機能により、ユーザーアカウントのサインインが施行されたことを記録しアクセス状況を分析することが可能です。

Azure AD Identity Protectionって何？？

自分

Microsoft 365 へアクセスする際に利用されるMicrosoft 365 ユーザーアカウントに対して、正常なアクセスをしているかを分析・評価する機能です。
この機能を利用することで、不正アクセスではないか。をリアルタイムに分析し評価してくれます。
評価した結果を「危険なユーザー」/「危険なサインイン」という2パターンで評価します。
※本機能は、Microsoft 365 E5 または、 Azure AD Premium P2 , Enterprise Mobility Security E5 ( EMS E5 )が必要です

危険なユーザー
1. 判定材料としては現在使用しているIDとパスワードが流出 (漏洩) したことがある、または、している。
  これは、Microsoft が闇サイトや貼り付けサイトを巡回し、集計した情報が元になるようです。
2. Microsoft 365 アカウントが、異常な動作をしていたり、既知の攻撃を受けている状態が確認されている場合
危険なサインイン
1. 地理的に離れた場所 (日本、米国)からサインインしているおり、接続した1回目と2回目の場所に利用者が移動するまでの時間を考慮しリスクとしてみなします。
2. 匿名IPからのアクセスをしている。
3. マルウェアに感染しているIPアドレスからのサインインを行った場合ボットサーバーと接触していたIPアドレスに対して判断されます。
4. 過去のサインイン履歴と比較し、異常と判断されます。これはユーザーが過去に使用した場所や行動を収集し、異常な行動をしていないか確認しています。
5. 管理者アカウントを利用して、本機能の管理者専用ページにてユーザーをセキュリティ侵害としてマークした場合。
6. IP評価ソースから受信した悪意のあるIPアドレスからのサインインしている場合。
7. Exchange Onlineの受信トレイで異常な動作をしている場合。
  ※Microsoft Cloud App Securityが必要です。
8. Exchange Onlineの受信トレイから異常な転送をしている場合。
  ※Microsoft Cloud App Securityが必要です
9. よく使われるパスワードを複数のMicrosoft 365 アカウントに対して認証を試した場合。

Azure AD Identity Protection の確認方法

Azure Active Directory admin center を開きます。
(https://aad.portal.azure.com/)
ページを開いたら、画面左側の[Azure Active Directory]をクリックします。
開かれた画面の左下にある[セキュリティ]をクリックします。
開かれた画面の左側にある[Identity Protection]をクリックします。
開かれた、[Identity Protection]画面の左側に[レポート]の中に[ 危険なユーザー ] / [ 危険なサインイン ]があります。
こちらをクリックすることで、利用しているテナントに対してのアクセスのリスクを一覧表示することが可能です。

※私のテナントで、[危険なユーザー]が1件出ていたので以下に出力例として画像を配置させてもらいます。
契約を検討している方はご参考にしてみてください。

画面左側の[・・・]をクリックすることで、[ユーザーに対するセキュリティ侵害を確認]したり[アクセスをブロック]することが可能です。

危険なユーザー / 危険なサインインによって検出されたリスクに対するアクセス制限

自分

Microsoft 365 アカウントによるアクセスにリスクが検出された場合、検出されたリスクにレベルが付きます。
付与されたリスクレベルに対してアクセスをブロックすることが可能です。
また、アクセスを許可するためにパスワードを変更させたり、多要素認証を要求することが可能です。

ユーザーリスクポリシーの設定方法

上記手順5の [Identity Protection]画面の左側にある[ユーザーリスクポリシー]をクリックします。
必要に応じて制御対象とするユーザーを変更する場合は、[ユーザー]欄の[すべてのユーザー]クリックして、対象とするユーザーを変更してください。
必要に応じて制御対象とする[ ユーザーのリスク ]を変更してください。
判定されたリスクレベルに応じて、ポリシーにて制御する範囲を変更することが可能です。
高 / 中以上 / 低以上と3種類ありますが、どういった条件で各レベルが定義されるかは公開されていません。
[アクセス]欄にて、[アクセスをブロック] するかもしくは、[ア[クセスを許可]するがパスワードの変更を求め変更した場合はアクセスさせることが可能という制御が可能です。
必要な設定を施したら、[ポリシーを適用する] を [オン] に変更して、画面下部の[保存]をクリックして完了です。

サインインリスクポリシーの設定方法

上記手順5の [Identity Protection]画面の左側にある[サインインリスクポリシー]をクリックします。
必要に応じて制御対象とするユーザーを変更する場合は、[ユーザー]欄の[すべてのユーザー]クリックして、対象とするユーザーを変更してください。
必要に応じて制御対象とする[ サインインリスク ]を変更してください。
判定されたリスクレベルに応じて、ポリシーにて制御する範囲を変更することが可能です。
高 / 中以上 / 低以上と3種類ありますが、どういった条件で各レベルが定義されるかは公開されていません。
[制御]欄にて、[アクセスをブロック] するかもしくは、[ア[クセスを許可]するが多要素認証を求め認証に成功した場合は、アクセスさせることが可能という制御が可能です。
必要な設定を施したら、[ポリシーを適用する] を [オン] に変更して、画面下部の[保存]をクリックして完了です。

MFA 登録ポリシー

　条件付きアクセスと組み合わせ上記2種類よりも詳細な制御を行いたい場合は、本ポリシーを有効化します。
　設定箇所が複数にわたるので、管理面が大変になるのがネックです。

上記手順5の [Identity Protection]画面の左側にある[MFA 登録ポリシー]をクリックします。
必要に応じて制御対象とするユーザーを変更する場合は、[ユーザー]欄の[すべてのユーザー]クリックして、対象とするユーザーを変更してください。
[ポリシーを適用する]を[オン]にし、画面下部の[保存]をクリックします。
その後、条件付きアクセス側の設定を行っていくことになりますが、本記事では省略させてもらいます。

まとめ

組織内でクラウドサービスの活用が進められていく中で、ユーザーのアカウント情報を守る方法を未導入の企業様は多いと思います。
複数のクラウドサービスを利用していると、クラウドサービスごとにユーザーアカウントを保護する方法を検討し費用がかさんでしまいますが、Azure AD を認証プロバイダ ( IDP ) として活用することで、他クラウドサービスへの認証もまとめて保護することが可能です。

ライセンス価格が高い！であきらめず、企業の宝である情報を保護するために、ぜひ導入を検討してください。
Microsoft 365 にて強固なパスワードの利用が推奨されていますが、アカウント情報は知らぬ間に流出/漏洩している物です。
Identity Protection で自動的に検知し、不正アクセスをブロックしましょう。

それでも費用が高いよ！！って方は、Enterprise Mobility Security E3 ( EMS E3 ) で出来る、条件付きアクセスをご活用頂くことで自動的に検知はできずとも海外からのアクセスを防ぐ(ランダムアタック防止)や多要素認証/条件に合う端末のみアクセスなど実現できます。
ぜひぜひご検討ください。