企業のセキュリティにおいて、アイデンティティの保護は日々重要性が高まっています。アイデンティティセキュリティを考える時、最初に思い浮かぶのは認証だと思います。そこでまずは、認証がどのように進化してきたのかを、振り返ってみたいと思います。読み終わった時にはきっと最適な認証の必要性が理解して頂けると思います。その後、認証以外の部分についてもお話ししていきたいと思います。 パスワード 従来はユーザー認証といえばパスワード認証でしたが、今では十分な認証と言えなくなってきました。パスワードそのものは記憶の中のものであるため盗難が理論上不可能で、破損することもなく安全性が高いものですが、ユーザーのパスワード運用(使い回し、メモに残すなど)により安全性が容易に揺らいでしまう上…

本投稿では、2024年にリリースしたIdentity Threat Protection with Okta AI（ITP）の実際のユースケースをご紹介します。 認証後の脅威 不正アクセスなどの脅威を防ぐ手段として、Okta Workforce Identity Cloudが提供している機能では、Okta ThreatInsight、振る舞い検知、リスクスコアリングなどがあります。これらは、認証前に防ぐ手段となります。 昨今、話題となっているセッションハイジャック攻撃のように、セッションを盗んでユーザーになりすます攻撃は、認証後に発生するものとなり、これらの対策のみでは防ぐことはできません。 Identity Threat Protection with Okta AI（ITP）とは…

目次 Client Credentialsグラントについて Client Credentialsグラントの設定 JWTの生成 トークンリクエストの発行とアクセストークンの取得 APIリクエストの発行 まとめ 本ブログ記事では、前回に続き、Okta Workforce Identity Cloud (以降、Okta WIC) でのOAuth 2.0を使ったAPIの使い方について解説します。 前回の「認可コードグラント」は、ユーザーの認証が必要 (＝人の介在が必要) なので、「サーバからOkta WICへAPIでアクセスしたい」という場合には使いづらい方式でした。 本ブログ記事では、OAuth 2.0の中でも「Client Credentials グラント」という…

このブログはこちらの英語ブログ（2025年1月15日公開）の参考和訳です。原文と内容に差異がある場合は、原文が優先されます。 Oktaの企業ビジョンである「すべての人があらゆるテクノロジーを安全に利用できる世界を実現する」は、今もなお当社の指針となっています。 現在、世界中のほぼすべての業界における約20,000社のお客様がOktaのアイデンティティソリューションを活用しています。 昨年初め、Okta は、アイデンティティ攻撃との戦いで業界をリードするための長期的な取り組みであるOkta Secure Identity Commitment (OSIC) を発表しました。 この取り組みは、「業界全体のセキュリティ水準を向上させる」などを含む4つの柱で構成されています。…

このブログはこちらの英語ブログ（2025年1月6日公開）の参考和訳です。原文と内容に差異がある場合は、原文が優先されます。 新年が到来し、新しい決意、可能性が生まれます。そして、残念なことに、新しい脅威ももたらされます。 しかし、攻撃者はカレンダーが変わるだけで攻撃方法を変えるわけではありません。むしろ、これまで効果があった攻撃方法をさらに強化し、検出を回避して、脆弱性を悪用する新しい方法を試すことでしょう。 すべての悪意ある攻撃を予測することはできませんが、2025 年も継続して拡大する可能性が高い、懸念されるアイデンティティ攻撃の傾向のいくつかを特定することはできます。 ここでは、それらに関する私たちの予測と、備えるためのアドバイスをいくつかご紹介します。…

このブログはこちらの英語ブログ（2024年12月31日公開）の参考和訳です。原文と内容に差異がある場合は、原文が優先されます。 他のサービス業界以上に、金融サービス（FSI）では、顧客がそのサービスと関わる方法に大きな変化が起こっています。 実店舗の支店は姿を消しつつあり、顧客がどこからでも、どのデバイスからでもアクセスできることを期待する常時接続のデジタル体験が主流になりつつあります。 顧客の世代交代が進むにつれ、顧客の期待は急速に高まっています。 ミレニアル世代はベビーブーマー世代を追い越し、世界人口で最大の成人集団となりました。この世代はデジタルの世界で育ち、オンラインでサービスにアクセスする際にはスムーズなAmazonのような体験に慣れています。そして…

このブログはこちらの英語ブログ（2024年12月18日公開）の参考和訳です。原文と内容に差異がある場合は、原文が優先されます。 2023年、世界中の消費者は、広範囲にわたる経済的、精神的損害を伴う詐欺によって 1 兆ドル以上を失いました。 詐欺を目的とするサイバー犯罪と戦うための多大な努力にもかかわらず、進化し続ける脅威の犠牲になる人は後を絶ちません。  Oktaのアイデンティティソリューションは、アイデンティティを狙った攻撃に対抗するためのミッションクリティカルなセキュリティインフラストラクチャとして進化を続けています。30日間で、Oktaはクレデンシャルスタッフィングや悪意のあるボットを含む30億を超える攻撃をブロックし、世界中の約20,000の顧客を保護してきました…

このブログはこちらの英語ブログ（2024年12月16日公開）の参考和訳です。原文と内容に差異がある場合は、原文が優先されます。 攻撃への開かれた扉 アイデンティティを基盤とした攻撃は増加する脅威であり、すべての組織は自らの保護に責任を負っています。 ここでいう「アイデンティティセキュリティ」とは何を意味するのでしょうか？ ご自宅にドアと鍵があるように、アイデンティティセキュリティはクラウドや SaaS資産を保護します。 つまり、組織の資産の外部境界線です。 アイデンティティセキュリティとは、誰が何にアクセスするかを制御し、すべての環境が組織のポリシーを満たしていることを確認することを意味します。 アイデンティティセキュリティのリスクを低減することは…

このブログはこちらの英語ブログ（2024年11月20日公開）の参考和訳です。原文と内容に差異がある場合は、原文が優先されます。 Oktaが提供しているOkta Workforce Identity Cloudには現在2つのプラットフォームエンジンがあります。1つがレガシーエンジンであるOkta Classic Engineであり、もう1つが2022年3月からすべての新規顧客向けに提供されている新しいエンジンであるOkta Identity Engine (OIE) です。 OIEとは何ですか? OIEは、Oktaの最新の改良プラットフォームエンジンであり、NIST 800-63B に準拠するように設計されたセキュリティポリシーフレームワークと、優れたユーザーエクスペリエンス (UX)…

このブログはこちらの英語ブログ（2024年12月11日公開）の参考和訳です。原文と内容に差異がある場合は、原文が優先されます。 Oktaでは、Okta Supportをなりすますソーシャルエンジニアリングによるフィッシング攻撃の試みが増えていることを確認しています。このレポートでは、Okta Supportから技術サポートを受ける場合やOktaから連絡を受ける場合に予想される内容について説明します。Oktaをなりすました不審な連絡を受け取った場合は、速やかにOkta Security（[email protected]）までお知らせください。 Oktaから連絡する場合のプロセス サポートケースが開いている場合、Okta Supportが電話またはメールで連絡することがあります。Okta…