Endpoint Management ツールの評価

2022年のガートナー Magic Quadrant で、統合エンドポイント管理（UEM）の分野でマイクロソフトがリーダーと評価されました。
Microsoft is a Leader in 2022 Gartner Magic Quadrant for UEM - Microsoft Security Blog
（マイクロソフト セキュリティブログより）

Microsoft Endpoint Manager が高く評価された理由は、

• Microsoft 365 および Microsoft Azure と緊密な統合を提供し、複数のセキュリティアドオンを統合する必要がない
• オンプレとクラウドをハイブリッドで共同管理でき、顧客ごとのタイミングでクラウド移行の複数のシナリオに対応できる
• マイクロソフトの継続的な投資、安心感。
  Azure Virtual Desktop や Windows 365 との統合、Linux デスクトップ管理や macOS の機能強化

などだそうです。

上記ブログで引用されている 2022年第3四半期の Satya Nadella の決算会見によると、Microsoft Intune によって保護されている Windows、Android、iOS デバイスの数は、前年比で 60% 以上増加しているそうです。

パスワードレスの大規模導入紹介

サイバー攻撃の増加に伴い、フィッシングは攻撃者が多く使用する方法の１つであり、ユーザーの資格情報を狙った攻撃が最も多く行われているとレポートされています。
多要素認証（MFA）はパスワード侵害の９割を回避すると言われますが、フィッシング自体は防げません。

マイクロソフトは以前からパスワードレスを強く推しており、アクセンチュアのパスワードレス認証採用の事例を紹介しています。
Passwordless is here and at scale - Microsoft Tech Community

アクセンチュアは、2019年から 2022年半ばにかけ、何千ものアプリケーションを Azure AD へ移行し、デバイス準備、登録キャンペーンを行い、Windows Hello for Business や FIDO2 キーを利用できる環境を整えたそうです。
Windows Hello for Business が有効になっているユーザーは 535,000人と大規模で、パスワードレスサインインに Microsoft Authenticator 利用者が 200,000人以上、FIDO2キー利用者が 5,000人、Windows デバイスサインインの 70% がパスワードレス方式で行われているそうです。

Windows Autopatch 一般提供

7月の更新情報で、Windows Autopatch が一般提供されていたことを書いていませんでした。
Windows Autopatch が登場 - Windows Blog for Japan

これは簡単に言うと、Windows 10/11、Microsoft Edge、Microsoft 365 Apps の更新をマイクロソフトに丸っと任せてしまうものです。

今までは、情シス管理者が更新システムを設計、設定して、アップデートを管理監視するのが常でしたが、Microsoft Endpoint Manager で自動的に更新準備が設定されるため、その部分の労力が低減されます。

前提として、Windows Enterprise E3/E5 のライセンスがあり、Windows PC は Hybrid Azure AD Join または Azure AD Join しており、Microsoft Endpoint Manager で管理できる必要があります。

更新タイミングを分散する幾つかのリングコントロールに分かれることが可能なようです。
オフィス内で業務が行われているのが常だった以前は、一度に多くの端末のアップデートが重なるとネットワーク帯域の懸念がありましたが、在宅ワークが普及した昨今ではその考慮が軽減されるケースも多いかもしれません。

WIP (Windows Information Protection) 非推奨の発表

本年7月に、WIP（Windows Information Protection）は今後の Windows では開発が継続されないことが発表されました。
Announcing the sunset of Windows Information Protection (WIP) - Microsoft Tech Community

Docs 上でもすでに「非推奨」となっています。
Windows クライアントで非推奨になった機能 - Windows Deployment | Microsoft Docs

WIP は、Intune でのモバイルデバイスに対する MAM（Mobile Application Management）機能のように、Windows 上で論理的な企業領域と個人領域にデータを分類し、企業領域のデータを扱う場合に個人領域への移動をブロックしたり警告を発する機能です。

今後は、マルチクラウド、マルチプラットフォームのデータ保護の観点から開発されている Microsoft Purview Data Loss Prevention（DLP）と Microsoft Purview Information Protection（MPIP）の活用がお勧めされています。

MFA の方法で電話とSMSが脆弱と言われる理由

Azure AD の MFA（Multi-Factor Authentication）の応答方法として、標準では電話(音声)応答、SMS で受信したコード番号の入力、Microsoft Authenticator アプリでの応答の３つが提供されています。

認証方法と特徴 - Azure Active Directory - Microsoft Entra | Microsoft Docs

その中では Authenticator アプリの方がお勧めされています。
音声応答と SMS は、なぜ脆弱性があると言われるのか調べると、

音声応答については「SIM ジャッキング」があり得るためです。
これは、携帯電話の電話番号を攻撃者の SIMカードに移し替えてしまうもので、電話を乗っ取られた状態になり被害は甚大です。

携帯電話会社の従業員に金銭的なアプローチを持ち掛けたり、被害者本人に成りすまして変更させてしまうなどの手口があるらしく、有名人や明らかなターゲットを狙った攻撃ですが、すでに数年前から被害が報告されています。

SMS については、2016年頃に NIST からも警告が発せられていました。
SMS でセキュリティコードを受信した場合、携帯端末のロック画面に表示されたり、不審なアプリやネットワークにより SMS メッセージをインターセプトされる危険性があるためと言われています。

だからと言って、パスワードだけの認証にしてしまっては本末転倒なのでご注意を。

セキュリティ更新プログラムの新しい通知システム

Microsoft Security Response Center（MSRC）のサイトには「セキュリティ更新プログラム ガイド」（SUG）のサイトがあります。
ここには Windows Server や Windows 10、Microsoft Office など、Microsoft 製品やサービスの脆弱性に関する情報がリストされています。
Security Update Guide - Microsoft Security Response Center

このセキュリティ更新プログラムからの通知受信の変更について、以下に記載されています。
新しいシステムでは、グループエイリアスを含む任意のメールアドレスでも通知を受信できるようになったそうです。
セキュリティ更新プログラム ガイドの通知システム : 今すぐプロファイルを作成しましょう – Microsoft Security Response Center

IIS 拡張機能への悪意あるバックドア

標的型攻撃において、Windows Server の IIS（Internet Information Services）の拡張機能を利用してバックドアを仕掛ける攻撃がますます増えているようです。
Microsoft Defender Research Team は昨年も警告を発していましたが、攻撃者が IIS プラットフォームをバックドアとしてどのように利用するかについて記載しています。
Malicious IIS extensions quietly open persistent backdoors into servers - Microsoft Security Blog

これによると、脆弱性をついて IIS 拡張機能にバックドアを仕掛ける手段として、Web Shell が多くの場合に利用されるそうです。

私も以前（Windows Server 2003 の頃）IIS 拡張について調べた事がありますが、プラグインするモジュールを差し込めるアーキテクチャは今も同じようですね。

そこへ正当なモジュールと同じようにバックドアのモジュールを仕掛けられてしまうと、検出するのはかなり厄介なことになるようです。

IIS バックドアの詳細については、上記のブログにかなり事細かに記載されています。

そしてサーバーを保護する防御については、以下がお勧めされています。

• 最新のセキュリティ更新プログラムを適用する
• ウイルス対策、その他の保護を有効にする
• 高度な特権グループに不審なアカウントが追加削除さた形跡がないか確認する
• 最小限のアクセス権に制限し、ドメイン全体の管理者レベルのサービスアカウントを使ったりしない
• 侵害の初期段階の不審なアクティビティアラートに注意する
• config ファイルや bin ディレクトリ、GAC（Global Assembly Cache）に疑わしい追加がないか、定期的に検査する