認証情報リスクに対処する「アイデンティティ可視性」の重要性、米メディアが解説
要点
-
認証情報の窃取や不正利用がサイバー侵害の主要な侵入経路となる中、環境内の全アカウントと実際のアクセス状況を把握する「アイデンティティ可視性」が注目されている。
-
クラウド移行やSaaS導入の進展に伴い、中央の管理基盤に登録されていないローカルアカウントや埋め込み認証情報などの「暗黒物質」が増加している。
-
非人間アイデンティティや自律型AIエージェントの拡大により、従来の設定ベースの管理レポートでは追いきれないセキュリティリスクが生じている。
-
単なる名目上の権限ではなく、システム間の関係性や実際の稼働ログを継続的に検証し、実効権限を正確に可視化するアプローチが求められている。
-
サイバーセキュリティ専門メディアのThe Hacker Newsは2026年9月19日、現代のアイデンティティセキュリティの基礎となる概念「アイデンティティ可視性（Identity Visibility）」に関する解説記事を公開した。米ベライゾン（Verizon）の年次レポート『データ侵害調査レポート（DBIR）』をはじめとする各種調査で、認証情報の窃取や悪用が初期侵入の主要因として報告され続ける中、複雑化するクラウド環境や新たなAIワークロードに対応するためのアイデンティティ管理の要件が整理されている。
アイデンティティ可視性の定義と「暗黒物質」の課題
記事によると、アイデンティティ可視性とは、環境内に存在するすべてのアイデンティティを把握し、それらがアクセス可能な対象と、実行時にそのアクセスが実際にどのように使われているかを継続的に捉える能力を指す。定期的に取得する静的なスナップショットではなく、資産台帳（インベントリ）、権限の割り当てマップ、振る舞いテレメトリを統合した継続的な全体像であることが特徴だという。
IAM（Identity and Access Management：ID・アクセス管理）プラットフォームは「誰が、どのような条件下で、どの期間アクセスできるべきか」というポリシーの意図を表す。一方で、アプリケーションやインフラのログは「どの認証情報で認証され、どの権限が行使されたか」という実行の実態を示す。
この「意図」と「実行」の隙間には、ローカルのアプリケーションアカウント、埋め込み型のサービス認証情報、旧来の認証フロー、中央のIdP（Identity Provider：認証連携を行うID基盤）に登録されていない連携機能などが存在している。元記事ではこれらを「アイデンティティの暗黒物質（Identity Dark Matter）」と呼び、過去10年にわたるSaaS導入やクラウド移行、自動化の進展によって管理のキャパシティを超えてシステムが増加した結果、管理外のアクセス面が広がっていると指摘している。
攻撃手法の変化と攻撃対象領域を広げる4つの要因
攻撃者側の手法も変化している。近年の侵入事例では、エンドポイントセキュリティ製品に検知されやすいマルウェアを用いる代わりに、窃取した正規の認証情報を利用し、本来与えられている権限の範囲内で活動するケースが増加しているという。この手法による活動ログは、一見すると通常の業務上の挙動と見分けがつかない特徴を持つ。
元記事では、アイデンティティの攻撃対象領域（アタックサーフェス）を急拡大させている要因として、主に以下の4点を挙げている。
- 認証情報を起点とする侵入：フィッシングやトークン窃取、セッション乗っ取りにより、IdPのログ上では正規ユーザーの正常なアクセスに見える認証が行われる。
- マシンおよび非人間アイデンティティ：サービスアカウントやAPIキー、ワークロード認証情報は、クラウド環境において従業員アカウント数を上回ることが多く、有効期限が設定されていないケースが多発している。
- アプリケーション固有のローカルアカウント：SSO（Single Sign-On：一度の認証で複数サービスを利用できる仕組み）の外で認証を行うシステムは、中央の一括アクセス監査から漏れやすい。
- エージェント型AIワークロード：自律型AIエージェントが複数システムをまたいで委任された権限を行使するため、従来の手動レビューでは追いつかない速度と量で処理が実行される。
従来型レポートの限界と「実効権限」の継続的検証
従来のIAMレポートは、グループの所属関係やロールの割り当てといった「設定情報」の提示に偏っていると記事は分析している。こうしたデータは「どのような権限が付与されているか」を示すのみで、アプリケーション側で実際に権限が強制されているか、アカウントの所有者が現在も存在しているか、過去1年間にその権限が実際に使われたかといった実態までは確認できない。
また、ガバナンスツールは接続済みのアプリケーションのみを対象にレポートを作成する傾向があるため、一度も統合されていないシステムはレポートに現れず、「記載がないこと」が「問題がないこと」と誤認される危険性もあるという。
こうした課題に対し、アイデンティティ可視性は「推測ではなく検証」を原則としている。具体的には、正確な主体の一覧（インベントリ）、可能な操作を示す権限マップ、そしてシステム横断のアクセス関係を分析することが不可欠だと説明されている。
ユーザーが控えめな権限しか持っていなくても、ネストされたグループや共有サービスアカウント、クラウドアカウント間の信頼関係を経由することで、意図せず強い権限を継承している場合がある。システム間の関連性をマッピングすることで、攻撃者が組織内ネットワークを水平移動（ラテラルムーブメント）する際に悪用する実効権限の経路を浮き彫りにできる。さらに、アプリケーションやインフラから直接アイデンティティデータを収集する継続的な検出を行うことで、中央基盤に記録されていない潜在的なリスクを可視化できるとしている。