Data/Locales/checks/ja/EntraPIMChecks.json
|
{ "_family": "EntraPIMChecks.json", "EIDPIM-001": { "name": { "value": "グローバル管理者の列挙", "status": "machine-draft" }, "description": { "value": "グローバル管理者ロールは、すべての Microsoft 365 および Entra ID サービスへの無制限のアクセスを付与し、テナント内で最も高い特権を持つロールです。組織は、運用の回復力と最小権限の原則のバランスをとるため、グローバル管理者を最小 2 名、最大 4 名に維持する必要があります。過剰なグローバル管理者の割り当ては、資格情報の窃取やテナント全体の侵害に対する攻撃対象領域を劇的に拡大します", "status": "machine-draft" }, "recommendedValue": { "value": "グローバル管理者は最大 2 ～ 4 名", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > ロールと管理者 > グローバル管理者に移動し、割り当てられているすべてのユーザーを確認します。不要な永続的割り当てを削除し、このロールを保持するアカウントが 4 つを超えないようにします。可能な場合は永続的割り当てを PIM の対象 (eligible) 割り当てに変換します", "status": "machine-draft" } }, "EIDPIM-002": { "name": { "value": "すべての特権ロールの割り当て", "status": "machine-draft" }, "description": { "value": "永続的 (アクティブ) な割り当てと対象 (ジャストインタイム) の割り当ての両方を含む、すべての特権ロールの割り当てを網羅したインベントリは、特権アクセスの全体像を理解するうえで不可欠です。この列挙により、昇格された権限を保持するユーザーの数や、割り当てが最小権限の原則に従っているかどうかを可視化できます。このインベントリを定期的に確認することで、ロールの氾濫や過剰にプロビジョニングされたアカウントを特定できます", "status": "machine-draft" }, "recommendedValue": { "value": "すべての特権ロールの割り当てが文書化され、四半期ごとに確認されている。永続的割り当てよりも対象 (eligible) 割り当てが優先されている", "status": "machine-draft" }, "remediationSteps": { "value": "各特権ロールについて、Entra ID > ロールと管理者ですべてのロール割り当てを確認します。すべての永続的および対象の割り当てを業務上の正当性とともに文書化します。各割り当ての継続的な必要性を検証するため、四半期ごとのアクセスレビュープロセスを確立します", "status": "machine-draft" } }, "EIDPIM-003": { "name": { "value": "永続的な特権ロールの割り当て", "status": "machine-draft" }, "description": { "value": "永続的 (アクティブ) な特権ロールの割り当ては、時間制限や有効化要件なしに常設の管理アクセスを提供します。これらの永続的割り当ては、正当性、承認、期限付きアクセス期間を伴う明示的な有効化を必要とする PIM の対象 (ジャストインタイム) 割り当てに変換する必要があります。常設の特権アクセスは、攻撃者が追加のゲートなしに即座に昇格されたアクセスを得られるため、資格情報侵害のリスクと影響を高めます", "status": "machine-draft" }, "recommendedValue": { "value": "ブレークグラスアカウントを除き、永続的な特権ロールの割り当てが存在しない。その他のすべての特権割り当ては PIM の対象 (eligible) にすべきである", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > ロールと管理者に移動し、すべての永続的なロール割り当てを特定します。アクティブな割り当てを削除し、対応する対象の割り当てを作成することで、各永続的割り当てを PIM の対象割り当てに変換します。永続的なグローバル管理者の割り当てを保持すべきなのはブレークグラスアカウントのみです", "status": "machine-draft" } }, "EIDPIM-004": { "name": { "value": "ゲストユーザーへの特権ロールの割り当て", "status": "machine-draft" }, "description": { "value": "特権的な Entra ID ロールを割り当てられたゲストまたは外部ユーザーは、重大なサプライチェーンおよびサードパーティのリスクをもたらします。これらのアカウントは外部組織を起源とし、内部アカウントと同じセキュリティコントロール、パスワードポリシー、監視の対象になりません。管理者権限を持つゲストアカウントが侵害されると、通常の内部セキュリティ監視では検出が困難なまま、テナント全体の侵害につながる可能性があります", "status": "machine-draft" }, "recommendedValue": { "value": "いかなる特権的な Entra ID ロールにもゲストまたは外部ユーザーが割り当てられていない", "status": "machine-draft" }, "remediationSteps": { "value": "すべての特権ロールの割り当てを確認し、userType が Guest のメンバーを特定します。すべてのゲストアカウントから特権ロールの割り当てを直ちに削除します。外部からの管理アクセスが必要な場合は、ゲスト招待を使用するのではなく、組織の完全な管理下にあるテナント内に専用のクラウド専用アカウントをプロビジョニングします", "status": "machine-draft" } }, "EIDPIM-005": { "name": { "value": "同期アカウントへの特権ロールの割り当て", "status": "machine-draft" }, "description": { "value": "Entra Connect を介してオンプレミスの Active Directory から同期され、特権的なクラウドロールを保持するアカウントは、危険なハイブリッド攻撃経路を生み出します。オンプレミス環境が侵害されると、攻撃者は同期アカウントの資格情報や属性を操作して、クラウドテナントへの管理アクセスを取得できます。オンプレミスとクラウド環境の間のセキュリティ境界を維持するため、クラウドの特権ロールはクラウド専用アカウントにのみ割り当てるべきです", "status": "machine-draft" }, "recommendedValue": { "value": "特権的な Entra ID ロールに同期 (ハイブリッド) アカウントが割り当てられていない。すべての特権アカウントはクラウド専用にすべきである", "status": "machine-draft" }, "remediationSteps": { "value": "onPremisesSyncEnabled プロパティが true のすべての特権ロールメンバーを特定します。各管理者について専用のクラウド専用管理アカウントを作成し、必要な特権ロールをこれらの新しいアカウントに割り当てます。オンプレミスからクラウドへの昇格経路を排除するため、すべての同期アカウントから特権ロールの割り当てを削除します", "status": "machine-draft" } }, "EIDPIM-006": { "name": { "value": "MFA を持たない特権ユーザー", "status": "machine-draft" }, "description": { "value": "多要素認証が登録されていない特権アカウントは、パスワードスプレー、フィッシング、ブルートフォースなどの資格情報ベースの攻撃にさらされています。MFA を持たない特権アカウントが侵害されると、攻撃者は盗んだパスワードだけで即座に管理アクセスを得られます。特権ロールを割り当てられたすべてのアカウントには、強力な MFA 方法を登録し、条件付きアクセスポリシーを通じて強制する必要があります", "status": "machine-draft" }, "recommendedValue": { "value": "特権ユーザーの 100% が MFA を登録し、条件付きアクセスを通じて強制されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > ユーザー > ユーザーごとの MFA または認証方法のアクティビティレポートを通じて、すべての特権ユーザーの MFA 登録状態を確認します。すべてのディレクトリロールの割り当てに MFA を要求する条件付きアクセスポリシーが存在することを確認します。MFA が登録されていない特権ユーザーに連絡し、定められた期限内に登録を強制します", "status": "machine-draft" } }, "EIDPIM-007": { "name": { "value": "脆弱な認証方法を使用する特権ユーザー", "status": "machine-draft" }, "description": { "value": "SMS、音声通話、メール OTP などの脆弱な認証方法に依存する特権アカウントは、SIM スワッピング、通話傍受、メール侵害攻撃に対して脆弱です。これらのレガシー MFA 方法は、FIDO2 セキュリティキー、Windows Hello for Business、証明書ベースの認証といったフィッシング耐性のある方法と同じレベルの保証を提供しません。特権アカウントには、フィッシング耐性のある認証方法のみの使用を要求すべきです", "status": "machine-draft" }, "recommendedValue": { "value": "すべての特権ユーザーがフィッシング耐性のある MFA 方法 (FIDO2、Windows Hello for Business、または証明書ベースの認証) を使用している。SMS、音声、メール OTP は使用しない", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > 認証方法 > アクティビティを通じて、各特権ユーザーに登録されている認証方法を確認します。フィッシング耐性のある MFA の認証強度を要求する、特権ロールを対象とした条件付きアクセスポリシーを作成します。すべての特権ユーザーに FIDO2 セキュリティキーをプロビジョニングするか、Windows Hello for Business を構成し、脆弱な方法を削除します", "status": "machine-draft" } }, "EIDPIM-008": { "name": { "value": "特権ロールを持つ無効化されたアカウント", "status": "machine-draft" }, "description": { "value": "特権ロールの割り当てを保持したままの無効化されたユーザーアカウントは、潜在的なセキュリティリスクを生み出します。管理操作や侵害によってアカウントが再有効化されると、直ちに完全な特権アクセスを取り戻します。この再有効化リスクを排除するため、無効化されたアカウントは、オフボーディングやアカウントの割り当て解除プロセスの一環として、すべての特権ロールから速やかに削除すべきです", "status": "machine-draft" }, "recommendedValue": { "value": "アクティブまたは対象の特権ロールの割り当てを持つ無効化されたアカウントが存在しない", "status": "machine-draft" }, "remediationSteps": { "value": "すべての特権ロールメンバーを列挙し、accountEnabled が false のアカウントを絞り込みます。無効化されたアカウントからすべての特権ロールの割り当てを直ちに削除します。アカウントが無効化された際にロールの割り当てを検出して削除する自動化プロセスまたはアクセスレビューを実装します", "status": "machine-draft" } }, "EIDPIM-009": { "name": { "value": "アクティブな特権ロールを持つ一度もサインインしていないアカウント", "status": "machine-draft" }, "description": { "value": "特権ロールを割り当てられているが一度もサインインしていないアカウントは、プロビジョニングされたが使用されていないアカウント、テストアカウント、または移行の残存物である可能性があります。これらの休眠特権アカウントは、既定または脆弱な資格情報を持ち、本来の所有者に監視されていない可能性が高いため、リスクの高い標的です。これらのアカウントのいずれかを発見して認証した攻撃者は、即座に特権アクセスを得られます", "status": "machine-draft" }, "recommendedValue": { "value": "一度もサインインしていないアカウントに特権ロールの割り当てが存在しない", "status": "machine-draft" }, "remediationSteps": { "value": "すべての特権ロールメンバーを確認し、lastSignInDateTime が null または空のアカウントを特定します。各アカウントを調査し、まだ必要かどうかを判断します。休眠アカウントから特権ロールの割り当てを削除し、有効な業務上の目的がないアカウントを無効化します", "status": "machine-draft" } }, "EIDPIM-010": { "name": { "value": "PIM 構成の監査", "status": "machine-draft" }, "description": { "value": "Privileged Identity Management のロール設定は、承認が必要かどうか、正当性を提供する必要があるかどうか、最大有効化期間、通知受信者を含む有効化ワークフローを制御します。PIM 設定の構成ミスは、監督なしに特権ロールを有効化できるようにし、ジャストインタイムアクセスのセキュリティ上の利点を実質的に無効にする可能性があります。各特権ロールは、指定された承認者による承認を要求し、有効化の正当性を必須とし、セキュリティ担当者に通知を送信すべきです", "status": "machine-draft" }, "recommendedValue": { "value": "すべての特権ロールが、承認必須、正当性必須、最大有効化期間 8 時間以内、およびロール有効化の通知有効化で構成されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > ロールと管理者 > 設定に移動し、各特権ロールの構成を確認します。指定された承認者による承認要件を有効にし、有効化の正当性を要求し、最大有効化期間を 8 時間以内に設定し、有効化イベントの通知受信者を構成します。グローバル管理者、特権ロール管理者、Exchange 管理者のロールには特に注意を払います", "status": "machine-draft" } }, "EIDPIM-011": { "name": { "value": "PIM 対象ロールの有効化履歴", "status": "machine-draft" }, "description": { "value": "PIM の有効化履歴を確認すると、特権ロールがどれだけ頻繁に、誰によって、どのような正当性で、どの程度の期間有効化されているかについての洞察が得られます。この監査証跡は、業務時間外の有効化、有効な正当性のない有効化、侵害されたアカウントや内部脅威を示す可能性のある過剰な有効化頻度など、異常な特権アクセスパターンを検出するうえで重要です", "status": "machine-draft" }, "recommendedValue": { "value": "PIM の有効化ログが定期的に確認されている。すべての有効化に有効な業務上の正当性が文書化されている", "status": "machine-draft" }, "remediationSteps": { "value": "Entra ID > ロールと管理者 > PIM 操作でフィルターした監査ログを通じて PIM の有効化履歴を確認します。業務時間外の有効化、なじみのないアカウントによる有効化、曖昧な正当性による有効化など、異常なパターンを持つ有効化を調査します。セキュリティ運用の一環として、PIM 監査ログの定期的な確認頻度を確立します", "status": "machine-draft" } }, "EIDPIM-012": { "name": { "value": "緊急アクセスアカウントの検証", "status": "machine-draft" }, "description": { "value": "緊急アクセス (ブレークグラス) アカウントは、MFA の停止、条件付きアクセスの構成ミス、ID プロバイダーの障害など、通常の認証メカニズムが機能しない場合にテナントへの管理アクセスを確保する重要な保護策です。少なくとも 2 つのブレークグラスアカウントが存在し、クラウド専用であり、すべての条件付きアクセスポリシーから除外され、安全に保管された FIDO2 キーなどの強力な認証で保護される必要があります。適切に構成されたブレークグラスアカウントがなければ、組織は自身のテナントから永続的にロックアウトされるリスクを負います", "status": "machine-draft" }, "recommendedValue": { "value": "クラウド専用で、グローバル管理者が永続的に割り当てられ、すべての条件付きアクセスポリシーから除外され、FIDO2 または長く複雑なパスワードが安全に保管された緊急アクセスアカウントが少なくとも 2 つ存在する", "status": "machine-draft" }, "remediationSteps": { "value": "クラウド専用 (非同期) の専用緊急アクセスアカウントを少なくとも 2 つ作成し、永続的なグローバル管理者ロールを割り当て、すべての条件付きアクセスポリシーから除外し、FIDO2 セキュリティキーまたは物理的な金庫に保管した非常に長く複雑なパスワードで構成します。これらのアカウントでのサインインアクティビティに対する監視アラートを構成し、ブレークグラス手順を四半期ごとにテストします", "status": "machine-draft" } }, "EIDPIM-013": { "name": { "value": "管理アカウント分離の強制", "status": "machine-draft" }, "description": { "value": "管理操作は、メール、Web 閲覧、コラボレーションなどの日常業務に使用するアカウントではなく、専用の管理アカウントから実行すべきです。管理タスクと日常タスクに単一のアカウントを使用すると、通常業務中に遭遇するフィッシング、ドライブバイダウンロード、その他の脅威に特権資格情報がさらされます。管理アカウントを分離すると、通常のユーザーアクティビティを通じた特権資格情報の侵害の可能性が大幅に低減します", "status": "machine-draft" }, "recommendedValue": { "value": "すべての管理者が、日常使用のアカウントとは別の専用管理アカウントを使用している。管理アカウントにはメールボックスや生産性ライセンスが割り当てられていないこと", "status": "machine-draft" }, "remediationSteps": { "value": "すべての特権ロールメンバーを確認し、生産性ライセンス (Exchange Online、SharePoint、Teams) も割り当てられているアカウント、つまり二重用途を示すアカウントを特定します。各管理者について、adm-username のような命名規則に従った専用管理アカウントを作成します。特権ロールは専用管理アカウントにのみ割り当て、日常使用のアカウントから特権ロールを削除します", "status": "machine-draft" } }, "EIDPIM-014": { "name": { "value": "特権ロールの割り当て通知設定", "status": "machine-draft" }, "description": { "value": "特権ロールが有効化された、または永続的に割り当てられた際にセキュリティ担当者へ通知するよう構成すべきです。適切な通知設定がなければ、不正な権限昇格やロールの有効化が検出されないまま、攻撃者や悪意ある内部者がアラートをトリガーすることなく昇格された権限で活動できてしまいます。通知設定は、予防的な PIM 構成を補完する重要な発見的コントロールです", "status": "machine-draft" }, "recommendedValue": { "value": "すべての特権ロールの有効化および新規の永続的割り当てについて通知が有効化され、指定されたセキュリティ運用の連絡先に送信されている", "status": "machine-draft" }, "remediationSteps": { "value": "各特権ロールについて Entra ID > ロールと管理者 > 設定に移動します。通知タブで、ロールの有効化、永続的割り当て、対象割り当てのイベントについて通知が有効になっていることを確認します。通知受信者にセキュリティ運用チームの配布リストを含めるよう構成します。テスト有効化を実行して通知が受信されていることを確認します", "status": "machine-draft" } } } |