※本記事にはアフィリエイト広告（PR）を含みます。
侵入者は「ハッキング」ではなく「ログイン」してくる――近年のセキュリティ現場でよく聞かれる表現だ。マルウェアを送り込むのではなく、フィッシングやパスワードスプレーで奪った正規の認証情報を使い、正面から入ってくる攻撃が目立つ。CrowdStrikeが公表した2025年版のGlobal Threat Reportによれば、侵入から他システムへの展開(ブレイクアウト)までの平均時間は48分、最速では51秒に達したとされ、観測された脆弱性の52%は初期アクセスに関連していたという。EDR(エンドポイント検知・対応)は端末上の不審な挙動を捉えるのは得意だが、盗んだ認証情報や偽造したKerberosチケットで「正しいログイン」を装う攻撃は、端末の挙動だけを見ていても発見が遅れがちになる。
本稿では、CrowdStrike Falcon Identity Threat Protection(ITP)がAD/Entra IDに対するID起点の攻撃を何によって可視化し、どう防御するのか、条件付きアクセス・MFAトリガの考え方とあわせて整理する。具体的な機能範囲は最新の公式情報で確認してほしい。
ID脅威とは――横展開と認証情報悪用の実態
ID脅威(Identity-based attack)とは、ユーザー名やパスワード、認証トークンといった「ID」を狙い、正規ユーザーへのなりすましによって不正アクセスを行う攻撃の総称だ。CrowdStrikeは代表的な手口として、フィッシング、クレデンシャルスタッフィング、ゴールデンチケット攻撃、Kerberoasting、中間者攻撃(MITM)、Pass-the-Hash、パスワードスプレー、シルバーチケット攻撃の8種類を挙げている。共通するのは、攻撃者が「盗んだ正規の認証情報」として振る舞うため、通常のユーザーの挙動と区別しづらい点だ。
典型例がPass-the-Hashである。攻撃者はエンドポイントのメモリなどからハッシュ化された認証情報を窃取し、パスワード自体を割り出さなくてもそのハッシュだけで新しいセッションを確立できる。NTLM認証はハッシュがソルト化されておらず、この手口に弱いとされる。より高度な手口がゴールデンチケット攻撃で、ドメイン管理者権限を奪った攻撃者がKerberosのKRBTGTアカウントのハッシュを窃取し、有効期限を自由に設定した認証チケット(TGT)を偽造する。偽造チケットは正規の認証プロセスを経たように見えるため、通常のログイン監視だけでは異常に気づきにくい。MITRE ATT&CKではT1558.001(Kerberosチケットの窃取・偽造)およびT1098(アカウント操作)に分類される。CrowdStrikeによれば、Fortune 1000企業の90%以上が今もADを使い続けており、オンプレミスとEntra IDが混在するハイブリッド環境では、片方だけの可視化では横展開を捉えきれない。
CrowdStrike Falcon Identity Threat Protection(ITP)が可視化・防御するもの
Falcon ITPは、CrowdStrike FalconのIdentity Threat Detection and Response(ITDR)モジュールの一つで、ID起点の侵害をリアルタイムに検知・阻止することを目的とする。ドメインコントローラなどに軽量なセンサーを配置し、Kerberos・NTLM・LDAPの認証トラフィックを継続的に可視化する点が特徴だ。あわせてAIによる振る舞い分析で通常時のログインパターンを学習し、普段と異なる端末・時間帯・プロトコルでの認証要求といった異常を検知する。
保護範囲はオンプレミスのActive Directoryに加え、Entra IDやOktaなどクラウド型ID基盤、さらに多数のSaaSアプリケーションにも及ぶとCrowdStrikeは説明している。検知対象にはゴールデンチケット攻撃やPass-the-Hashなどの認証情報窃取、MFAバイパスの試みが挙げられる。検知後はポリシーに応じて許可・ブロック・監査記録・追加認証(step-up認証)に振り分け、必要に応じてMFA強制やパスワードリセットを自動実行する。
なお、CrowdStrikeはITDR製品群の中に「Identity Threat Detection(ITD)」と「Identity Threat Protection(ITP)」という別モジュールを用意し、両者を比較する公式データシートも公開している。可視化・検知が中心のITDに対し、ITPはリアルタイムのブロックや条件付きアクセスの強制まで担う位置づけだが、契約単位の機能範囲は資料により表現が異なるため選定時に確認したい。運用まで任せたい場合は、CrowdStrikeの管理チームが24時間体制で監視・調査・対応まで行う「Falcon Complete Identity Threat Protection」という選択肢もある。
Active Directory/Entra IDとの連携と、条件付きアクセス・MFAトリガの考え方
オンプレミス側は、ドメインコントローラに配置したセンサーが認証トラフィックを直接観測し、アカウントごとのアクセス権限の範囲やその影響度を継続的に可視化する。休眠アカウントや過剰権限アカウントの洗い出しにも使える構成だ。
クラウド側では、CrowdStrikeはMicrosoftの外部認証方式(External Authentication Method, EAM)に対応し、Entra IDへの認証リクエストにインラインで介在できる。Falconのリスクスコア・デバイスの信頼性情報・脅威インテリジェンスを組み合わせ、OpenID Connect(OIDC)連携を通じて、アクセスを許可・ブロック・追加MFA要求のいずれにするかをその場で判断する仕組みだ。設定はFalconコンソールでOIDCクライアントを作成し、得られるクライアントIDや検出エンドポイントをEntra ID管理センターでEAMとして登録する流れで、双方の管理者権限を要する。
実務上の条件付きアクセスは、「登録済みデバイスか」「Falconセンサー導入済みか」「デバイスのゼロトラスト評価(ZTA)スコアが一定水準を満たすか」といった複数シグナルを組み合わせ、ログインごとに許可・ブロック・MFA要求を動的に判定する形が基本になる。スコアやしきい値は環境・ポリシーに応じて管理者側が設定するもので、固定の基準値が公開されているわけではない。
EDR/XDRとの位置づけ――単体で万能ではない
ITDRとEDRは役割が異なる。EDRは端末を監視し、マルウェアやエクスプロイト、システムレベルの攻撃を検知するのに対し、ITDRは認証情報の悪用や権限昇格、不正アクセスといったID層の活動を監視する。CrowdStrike自身も、EDRが検知した端末の不審な挙動が認証情報の窃取や横展開に起因するかを判断するのはITDRの役割であり、両者の組み合わせで攻撃チェーンの全体像を把握しやすくなると説明している。
XDR(Extended Detection and Response)は、エンドポイントに加えネットワーク・クラウド・ID・メールなど複数ドメインのテレメトリを一つのコンソールに統合する仕組みで、ID関連のシグナルもXDRが相関分析する情報源の一つとなる。ただしCrowdStrike自身がゴールデンチケット攻撃の解説で述べる通り、標準的なXDRだけでは偽造Kerberosチケットの検知が難しい場合があり、ID専用の可視化・検知機能と組み合わせて初めて実効性が高まる。裏を返せば、ITPを導入すれば安全という単純な話ではなく、EDR/XDRによる端末側の可視化、ADの強化(最小権限化やKRBTGTパスワードの定期ローテーション)、継続的な脅威ハンティングと組み合わせた多層防御の一部として位置づけるべきものだ。
導入検討時の観点
ID脅威対策製品の選定では、次のような点を実務上確認しておきたい。
- 対象範囲:オンプレミスADのみか、Entra ID/Okta/SaaSまで含むハイブリッド環境全体をカバーする必要があるか。
- センサー配置の影響:ドメインコントローラへの導入・運用を誰が担当し、既存の変更管理プロセスにどう組み込むか。
- 条件付きアクセスの設計:Entra ID標準の条件付きアクセス/MFAポリシーとの競合を避け、まず監査(監視のみ)モードで様子を見てから段階的にブロックを有効化できるか。
- 運用体制:自社で検知・対応まで行うか、24時間監視付きのマネージドサービスを利用するか。
- 既存投資との関係:EDR/XDRやIAM、PAM製品との機能重複や責任分界点をどう整理するか。
価格や具体的な機能範囲は契約条件によって変わり得るため、最終判断の前にベンダーへの個別確認と、自社のAD/Entra ID構成に基づくリスクレビューを受けることを勧めたい。
ID脅威の挙動や対策を学ぶには、隔離した検証ラボが最適です。VPSに検証用のAD環境を立てて試す方法もあります。
まとめ
ID脅威は、攻撃者が正規の認証情報やチケットで「正しいログイン」を装う点で、端末の挙動監視を中心とするEDRだけでは見えにくい領域を作り出す。CrowdStrike Falcon Identity Threat Protection(ITP)は、AD/Entra IDの認証層を可視化し、リスクに応じて条件付きアクセスやMFAを動的にトリガーする仕組みを提供するが、それ単体で全てのID脅威を防げるわけではない。EDR/XDRや既存のAD/Entra ID運用、そして地道な権限の棚卸しと組み合わせて初めて、実効性のある多層防御になる。
最終更新：2026年7月
