ITトレンドがおすすめする製品・サービス
- ■不正ログインを見つける仕組み別
- AIによるログイン後の継続的な脅威監視：Okta Workforce Identity
- 普段と違うログインやリスクの検知：SeciossLink（セシオスリンク）、OneLogin、Azure Active Directory、IDFederation
- 接続元や端末などの条件によるアクセス制御：GMOトラスト・ログイン、IIJ IDサービス、CloudGate UNO、Secioss Access Manager Enterprise（SAME）、Secure Access by Duo、Azure Active Directory
- ■追加認証の方式別
シングルサインオンでAIが担う役割はログイン時の判断
シングルサインオンは便利な反面、1回の認証で多くのシステムに入れるため、その1回が正しいかどうかの判断が重要です。ここでは、AIによる判定が求められる背景を整理します。
認証が1か所に集まるSSOの特性
SSOでは、IdP（ID情報を一元管理して認証を行う基盤）で一度ログインすると、連携しているメールや会計システム、ファイル共有などに追加のパスワードなしで入れます。利用者にとっては、パスワードを覚える負担が減る点がメリットです。
その反面、IdPのアカウントを第三者に使われると、連携先のシステムにもまとめてアクセスされるおそれがあります。認証が1か所に集まる分、その入口で本人かどうかを正確に見極める仕組みが求められます。
固定ルールだけで判定する場合の限界
従来は「社外のIPアドレスからは多要素認証を求める」のように、管理者が決めたルールでログインを判定する方法が中心でした。ルールはわかりやすい反面、想定していないパターンの不正ログインを見落とす場合があります。
また、テレワークや出張で利用場所が変わるたびにルールを追加すると、設定が複雑になり、管理の負担も大きくなります。条件を厳しくしすぎると、正規の利用者まで頻繁に追加認証を求められる点も課題です。
普段との違いを評価するAIの考え方
AIを活用した認証リスクの判定では、過去のログイン傾向などをもとに普段との違いを評価し、不正アクセスの兆候を検知します。例えば、見慣れない国や端末からのアクセスを、通常とは異なる利用として判断する仕組みです。
ルールのように条件を1つずつ書かなくても、複数の情報を組み合わせて評価できる点が特徴です。ただし、どの情報をどの程度重視するかは製品によって異なるため、判定の仕組みを資料で確認しておきましょう。
AIを使ったリスクベース認証の仕組み
リスクベース認証とは、ログイン時の状況からリスクを評価し、その高さに応じて認証の強さを変える仕組みです。判定にはあらかじめ設定したルールを使う方式と、AIなどを活用する方式があります。ここでは、評価に用いる情報と判定後の対応を解説します。
判定に使われる主なシグナル
リスクの評価には、ログインの際に得られるさまざまな情報が使われます。代表的なものとして、次のようなシグナルがあります。
- ■接続元の情報
- IPアドレスやおおよその地域、利用しているネットワークの種類
- ■端末の情報
- 以前に使ったことのある端末か、OSやブラウザの種類
- ■行動の情報
- ログインする時間帯や頻度、直前のログイン地点からの移動距離
例えば、東京でログインした数十分後に海外からログインがあれば、移動が物理的に難しいため、不審なログインの可能性が高いと判定されます。
リスクの高さに応じた3段階の対応
評価結果にもとづく対応は、大きく3段階に分けられます。リスクが低ければそのままログインを許可し、中程度なら多要素認証などの追加認証を求め、高ければログインを拒否します。
普段どおりの利用では追加の操作が発生しないため、利用者の手間を増やさずに守りを固められる点がメリットです。リスクの段階ごとの対応は、自社のセキュリティ方針にあわせて管理者が設定できる場合があります。
学習期間と判定のしきい値の調整
AIによる判定では、過去のログイン履歴を活用する場合があります。ただし、利用者ごとの学習期間の有無や判定方法は製品によって異なり、管理者がしきい値を変更できるとは限りません。
導入時は、まず検知結果を確認し、正規の利用が誤って遮断されないかを検証しましょう。誤検知が多い場合は、利用できる設定や例外条件を見直し、業務への影響を抑えながら運用することが大切です。
ログイン後も続くシングルサインオンのAI監視
不正アクセスはログインの瞬間だけに起こるとは限りません。製品によっては、ログイン後のセッションや操作の傾向も監視し、途中で異常が見つかった場合に対応できるものがあります。
セッション中の異常な操作の検知
ログイン後も、セッション情報やアクセス状況の変化から不正の兆候を検知する仕組みがあります。一方、短時間での大量ダウンロードなど、連携先アプリケーション内の操作まで監視するには、対象サービスとの連携や別のセキュリティ機能が必要な場合があります。
異常を検知した際は、再認証の要求やセッションの無効化、管理者への通知などの対応が考えられます。ただし、監視できる情報や実行できる制御は製品と連携先によって異なるため、導入前に確認しましょう。
盗まれたトークンが使われた場合の対応
SSOでは、ログイン後に発行されるセッション情報やトークンによって、利用者が認証済みであることを示します。これらが盗まれると、パスワードを知らなくても本人になりすましてアクセスされるおそれがあります。
対策として、同じセッションが別の端末や地域から使われた場合に検知して無効にする仕組みがあります。トークンの有効期限を業務に支障のない範囲で短くすることも、被害の範囲を抑えるうえで有効です。
管理者へのアラートと調査の流れ
AIが異常を検知しても、管理者が内容を確認できなければ適切な対応につながりません。どの利用者に、いつ、どのような理由で警告が出たのかを管理画面で確認できることが大切です。
アラートを受けた後の手順も、事前に決めておきましょう。本人への確認方法やアカウントの一時停止の判断基準を文書にし、複数の担当者で共有しておくと、特定の担当者が不在の場合でも、対応の遅れを防ぎやすくなります。
ITトレンドでは、最新の製品・サービスを多数比較・掲載しています。まず資料請求して、さまざまな製品の機能や特徴を比較してみてください。忙しい業務時間内でも、各社に問い合わせる手間なく、たった1回の入力（約60秒）でシングルサインオンの一括資料請求が可能です。浮いた時間で、じっくりと製品を比較検討し進めましょう。
AIを悪用した攻撃へのSSOの備え
AIは守る側だけでなく、攻撃する側にも使われる可能性があります。SSOの入口を狙う攻撃が巧妙になるなかで、リスクベース認証とあわせて見直したい認証方式や運用を紹介します。
文面が自然になるフィッシングへの警戒
生成AIを使うと、不自然な日本語のない偽メールや偽のログイン画面を短時間で作れるおそれがあります。文面の違和感を手がかりに見分ける方法だけでは、偽物に気付きにくくなる可能性があります。
そのため、利用者の注意力に頼るだけでなく、偽サイトにIDとパスワードを入力しても突破されにくい認証方式を組み合わせることが大切です。不審なメールを報告する窓口と、報告を受けた後の対応手順も整えておきましょう。
認証を中継する攻撃とパスキーの有効性
攻撃者が本物のログイン画面との間に入り、利用者の入力をそのまま中継する手口では、ワンタイムパスワードによる多要素認証も突破される場合があります。利用者が入力したワンタイムパスワードもその場で中継され、認証後のセッション情報まで盗まれるおそれがあるためです。
パスキー（FIDO2の規格にもとづく認証方式）は、登録したサイトのドメインでしか認証できない仕組みのため、偽サイトでは使えません。SSOの入口でパスキーを利用できるかは、製品選定時の確認項目にするとよいでしょう。
ヘルプデスクを狙うなりすましへの対策
攻撃者が社員になりすましてヘルプデスクに連絡し、パスワードの再設定や認証端末の変更を依頼する手口も知られています。音声や映像を偽装する技術を使われると、電話やビデオ通話だけでは本人確認が難しくなる可能性があります。
対策として、再設定の依頼は上長の承認を経る、登録済みの別の連絡先へ折り返すなど、複数の手段で本人を確認する手順を定めておきましょう。SSOの管理者権限を持つアカウントほど、確認を厳しくすることが大切です。
AI判定の誤検知を抑えるシングルサインオン運用
AIによる判定は便利ですが、正規の利用者を不審と判断することもあります。業務を止めずに守りを保つには、誤検知が起きる前提で運用の仕組みを用意しておくことが大切です。
業務を止めないための例外設計
出張や新しい端末への切り替えなど、普段と違う利用には正当な理由がある場合もあります。そのたびにログインを拒否されると、業務が止まり、利用者がSSOを避けて別の方法を探す原因にもなります。
出張予定を事前に登録できるようにする、追加認証に成功した端末を信頼済みとして扱うなど、例外を扱う手順を決めておきましょう。例外の承認者と記録の残し方もあわせて定めておくと、後から確認できます。
判定理由の確認としきい値の見直し
AIがそのログインを危険と判断した理由がわからないと、誤検知か本当の攻撃かを見分けられません。判定に影響した要素を管理画面で確認できるかは、製品を比べる際の大切なポイントです。
誤検知が続く場合は、記録をもとにしきい値や例外の設定を見直します。見直しは一度で終わらせず、組織の変更やテレワークの状況にあわせて定期的に行うと、判定の精度を保ちやすくなります。
個人に関するデータの扱いと社内への説明
リスクベース認証では、ログインした場所や時間帯といった社員の行動に関わる情報を扱います。どの情報がいつまで保存されるかを把握しないまま運用すると、社員の不安につながる可能性があります。
収集する情報の範囲と利用目的、保存期間を社内規程に定め、社員に説明しておきましょう。海外のデータセンターに情報が保存される製品もあるため、保存場所についてもベンダーに確認しておくと安心です。
不正ログイン対策で比べるSSO製品の一覧
ログイン時の不審な挙動の検知や、偽サイトに強い認証方式など、不正ログイン対策の機能に注目してシングルサインオン製品を一覧にしました。製品ごとの監視範囲や追加認証の方式を比べる際の参考にしてください。
| 製品名 | 特徴 |
|---|---|
| GMOトラスト・ログイン | アプリで生成するワンタイムパスワードに対応。IPアドレスやデバイス、証明書でアクセスを制御できる |
| Okta Workforce Identity | Identity Threat Protectionでログイン後もAIが脅威を継続監視。必要なときだけ追加の認証を求める仕組みも備える |
| IIJ IDサービス | FIDO2やデバイス証明書、ワンタイムパスワードなどから認証方式を選べる。場所に応じた認証条件を設定可能 |
| CloudGate UNO | パスキー（FIDO2）認証に対応。いつ・どこから・どのようにサインオンするかを条件にアクセスを制限できる |
| SeciossLink（セシオスリンク） | いつもと違う挙動を検知して管理者やユーザーに通知。パスキーやワンタイムパスワードなど多様な認証方式に対応 |
| Secioss Access Manager Enterprise（SAME） | パスキーやワンタイムパスワードに対応。アクセス元のネットワークや時間帯ごとに認証ルールを設定できる |
| ROBOT ID | 生体認証や二段階認証を利用してログインの安全性を高める。FIDO2への対応範囲は確認が必要 |
| OneLogin | 多要素認証とリスクベース認証を組み合わせて不正アクセス対策を強化できる。18種類の多要素認証方式を提供 |
| Secure Access by Duo | ユーザーとデバイスの信頼性を評価するクラウド型サービス。安全性を確認できない端末からのログインを遮断できる |
| Azure Active Directory | 漏えいした資格情報からのアクセスなどのリスクを検出。ユーザーやデバイス単位で条件付きのアクセス制限を設定できる |
| IDFederation | 多要素認証とリスクベース認証に対応。既存のADやMicrosoft Entra IDの運用を維持したまま導入できる |
ログインの異常検知や認証強化に役立つSSO製品
AIによる継続的な監視や普段と違う挙動の検知、パスキーなど偽サイトでは使えない認証方式への対応という観点で製品を選びました。AIを判定に使っているかどうかは製品によって異なるため、資料で判定の仕組みもあわせて確認しましょう。
GMOトラスト・ログイン
- 社内システム、業務アプリ、複数SaaSのIDを効率的に一元管理
- シングルサインオンで情報漏えいのリスクを減らし、利便性も向上
- 迅速に多要素認証を導入し、セキュリティを強化
GMOグローバルサイン株式会社が提供する「GMOトラスト・ログイン」は、シングルサインオンや認証強化、ID連携の機能を備えたクラウド型のID管理（IDaaS）です。認証強化オプションでは、スマートデバイスの連携アプリで生成するワンタイムパスワードを利用できます。許可したIPアドレス以外からのアクセスにだけ多要素認証を求めるステップアップ認証や、デバイス・証明書によるアクセス制御も用意されています。まずは基本的な多要素認証とアクセス制御から始めたい企業の選択肢となるでしょう。
Okta Workforce Identity
- フィッシングに強い認証フローでログインをより簡単・安全にする
- ADやLDAP等と統合。全てのIDを単一コントロールプレーンから管理
- ユーザーのアクセスを1か所で管理しアクティビティを適切に把握
Okta Japan株式会社が提供する「Okta Workforce Identity」は、IDaaS/IAMによるアイデンティティ管理を提供するクラウドソリューションです。フィッシング耐性のあるパスワードレス認証に加え、AIがログイン後も継続的に脅威を監視するIdentity Threat Protectionを提供しています。機密性に応じて必要なときだけ追加の認証を求める仕組みも備えているため、普段の利用者の手間を抑えながらSSOの入口とログイン後の両方を守りたい企業に適しています。
IIJ IDサービス
- 超図解マニュアルと直感的・シンプルなUIで導入・運用がカンタン
- デバイス証明書認証やFIDO2認証など、さまざまな認証機能に対応
- 複数の国内DCで稼働する万全のセキュリティ体制
株式会社インターネットイニシアティブが提供する「IIJ IDサービス」は、多要素認証やアクセス制御で不正ログインを防ぐ国産IDaaSです。ID・パスワード認証のほか、FIDO2やデバイス証明書、ワンタイムパスワードなどから認証方式を選び、ユーザーごとに組み合わせられます。セキュリティリスクの高い場所やユーザーには通常より高い認証条件を設定するなど、働き方にあわせたアクセス制御が可能です。
CloudGate UNO
- 認証機能とアクセス条件機能を組み合わせた柔軟なアクセス制限
- ゼロトラストモデルのシングルサインオンでユーザーの利便性向上
- ユーザーの活動状況などを一元管理することで管理コストの削減
株式会社インターナショナルシステムリサーチが提供する「CloudGate UNO」は、パスキー認証とSSO、アクセス制限をひとつにまとめたシングルサインオンサービスです。FIDO2準拠の認証器や専用アプリを使った、パスワードレスの多要素認証が行えます。いつ・どこから・どのようにサインオンするかを特定してアクセスを制限できるほか、オプションのデバイス証明書で会社指定の端末だけにアクセスを絞ることも可能です。
SeciossLink（セシオスリンク）
- シングルサインオンであらゆるサービスに連携
- IDの一元管理で業務効率化
- FIDO認証や証明書認証などの多要素認証で認証を強化
株式会社セシオスが提供する「SeciossLink（セシオスリンク）」は、ID管理やシングルサインオン、多要素認証などを搭載したゼロトラスト型のセキュリティサービスです。いつもと違う挙動を検知して管理者やユーザーに通知するリスク検知機能を備えています。認証方式は、ワンタイムパスワードやWindows HelloなどのFIDO（パスキー）認証、クライアント証明書、PUSH通知などを組み合わせられます。IPアドレスや時間、国によるアクセス制御も可能です。
Secioss Access Manager Enterprise（SAME）
- シングルサインオンであらゆるサービスに連携
- FIDO認証や証明書認証などの多要素認証で認証を強化
- 柔軟なルール設定が可能なアクセス制御機能を搭載
株式会社セシオスが提供する「Secioss Access Manager Enterprise（SAME）」は、多要素認証やSSOを自社環境で運用できるオンプレミス型のソフトウェアです。統合Windows認証やクライアント証明書認証、ワンタイムパスワード認証、FIDO認証（パスキー）に対応しています。アクセス元のネットワークや時間帯によって認証ルールを設定でき、複数の認証方式の組み合わせや認証の順番も指定できるため、条件ごとに認証の強さを変えたい場合に検討しやすい製品です。
ROBOT ID （ブルーテック株式会社）
- 複数のパスワードを統合しひとつのパスワードでログイン可能に！
- 認証プロトコルSAML2.0準拠のシングルサインオンを実現！
- 生体認証を用いた最高セキュアでスピーディーなログインも実現！
OneLogin （ペンティオ株式会社）
- 5000を超えるアプリケーションへクリックひとつでログイン
- 18種のMFA(多要素認証)を利用可能
- 11種8方式のディレクトリ連携をサポート
Secure Access by Duo （シスコシステムズ合同会社）
- 多彩な認証方法が魅力！なりすましなどを未然に防ぐことが可能
- 複数のアプリケーションへ一回の認証でスムーズにログインが可能
- 徹底した安全管理！ユーザーの端末の安全性を検証する機能を搭載
Azure Active Directory （日本マイクロソフト株式会社）
- ISO・CSAなど多くの機関から認定される信頼のサービス！
- 3,500人以上のセキュリティ・エキスパートによるバックアップ！
- 世界的な大企業にも導入される高度なセキュリティを実現！
IDFederation （NTTドコモビジネス株式会社）
- SAML/OpenID Connectで複数WebアプリにSSO (Single Sign-On).
- 多要素認証、リスクベース認証に対応。
- 外部IdPやSCIM連携等によるID基盤との統合運用に適合。
まとめ
シングルサインオン（SSO）の不正ログイン対策には、リスクベース認証や多要素認証、アクセス制御などがあります。製品によっては、AIによるリスク判定やログイン後の継続的な脅威監視にも対応しています。また、AIを悪用したフィッシングへの備えとして、パスキーなど偽サイトに強い認証方式も有効です。自社に必要な検知機能や認証方式、対応プランを整理し、複数のSSO製品を比較してみてください。
