一覧

RACF不要定義を一掃:残したままだとセキュリティホールに!

RACF不要定義とは、必要のないプロファイルや設定情報をさし、あっても役に立たない定義を言います。長い間の運用管理によって消し忘れたプロファイルと考えられ、放置しておくとセキュリティホールにもなり得るため、悪用される恐れがあるばかりか、資源の無駄遣いにもなり、早めに対処しておく必要があります。

RACFパスワードルールの設定

ユーザーIDは利用者が誰なのかを知らせるため、パスワードは本人であることを証明するために使われますが、パスワードはRACFデータベース内の値と比較してログオンが許可されます。尚、RACFデータベースには、ユーザーIDを入力したパスワードを使用し、一方向関数アルゴリズムで暗号化した値が保存されます。

Administrator新機能 SURROGAT権限の抜け穴を塞ぐ

SUBMIT権限は許可されたユーザがバッチジョブを利用して許可元の権限で業務を代行するための便利な機能ですが、この機能に意外な盲点がありました。米国企業が監査でこの問題を指摘され改善命令を受けたため、Vanguard社が新機能を強化して対応しました。SUBMIT権限を利用した問題の例を考えてみましょう!

RACFグループ構造上の秘密: SYS1権限ですべてのデータセットにアクセス

RACFグループは大変便利な機能です。グループは組織、業務、データ資源などを分類するために利用でき、グループに権限を付与することにより、ユーザ個別に権限を管理する必要がなくなるため、業務効率向上に寄与します。グループの先頭はRACF仕様によりSYS1から始まる階層構造になっていますが、意外な盲点が存在します。先ずはグループ作成の注意点から紹介します。

監査に欠かせないアクセス情報 デフォルトだと肝心なデータが未収集!

データセットなどのリソースプロファイル定義では注意が必要です。監査に必須なアクセス記録ですが、デフォルトはAUDIT(FAILURES) となっており、デフォルトのままだとアクセス違反のデータしか収集されません。アクセス違反はある意味正しく保護されている証ですが、肝心なのは、誰が(業務上必要ないのに)アクセスできているかです。

2021 Gartner Magic Quadrant for Privileged Access ManagementでBeyondTrustを3年連続でリーダーに選定

2021年のGartner Magic Quadrant for Privileged Access Management が発行され、BeyondTrustは3年連続で「リーダー」に選定されました。10社のPAMベンダーの実効性の能力、ビジョンの完成度などが評価され、何十もの項目での詳細評価レポートがされています。

特権アクセス管理(PAM)を用いたセグメンテーション手法

セグメンテーションは基本的なアーキテクチャ上の手法であり、資産、身元情報、アプリケーション、クラウドサービスなどの隔離を行い、水平方向に移動する脅威を軽減し、境界をまたぐ境界線を減らします。コンプライアンス戦略の多くが、データや他のリソースを保護する主な制御方法としてセグメンテーションを義務付けており、セキュリティのためのネットワークセグメンテーション、マイクロセグメンテーション、ゾーン手法は、その場のセキュリティを無条件に信用しないゼロトラストの環境とアーキテクチャを実現するための基本原則です。

サイバー攻撃者が悪用する、変わりつつある「最も楽な道」にどう対処すべきか

データや資産への攻撃として最も楽な道(POLR)は変わりつつあり、ITリスク管理の計算方法や保護についての優先順位も変化が必要です。攻撃の対象領域がどう変化し、これにより、なぜPOLRが変化しつつあるのか、物理的・サイバーセキュリティの見直しはどうなるか、ベストプラクティスがどう進化するかを探ります。

BeyondTrust社、セキュリティリスクに繋がる特権アカウントを検知するDiscovery Toolを無償提供

複数のリサーチ会社が特権アクセス管理分野で世界のトップレベルに位置付けるBeyondTrust社が、これらの特権アカウントに関する重要な情報を検知して提示することで、これらをプロアクティブに保護する上で必要な情報を提供する、Discovery Toolを無償で提供しています。

特権パスワード管理の解説

特権パスワード管理とは、特権を持つアカウントやサービス、システム、アプリケーション、マシン、その他もろもろに関する資格情報を安全に制御する手順と手法を指します。特権パスワード管理の最終目標は、昇格したアクセス権を与えるあらゆる資格情報を特定し、安全に保管し、一元管理して、リスクを軽減することです。今回は特権アカウントと資格情報の管理をもっと進化させるために注目すべき8つの基本領域についてのベストプラクティスを含む解説です。