SonicWall ファイアウォールにおける Credential Auditor (資格情報監査)の理解と活用

Credential Auditor (資格情報監査)は、組織が認証情報に基づくリスクを軽減するのに役立つ組み込みのセキュリティ機能です。業界で広く認められている漏洩認証情報リストと照合してユーザーのパスワードを検証し、管理者に実用的な洞察を提供します。

Credential Auditor (資格情報監査)とは

• 認証情報の自動チェック：ユーザーのパスワードを、既知の漏洩認証情報データベースと照合します。
• リスクの特定：認証情報が漏洩している、または脆弱なアカウントにフラグを立て、直ちに対応が必要であることを通知します。
• 管理アクション：管理者が、影響を受けるユーザーへの警告の発出やパスワード変更の要求など、セキュリティ対策を強制的に実施できるようにします。

主な機能：

• 漏洩した認証情報に対する予防的な保護を提供し、ローカルおよび外部認証アカウントの両方を保護します。
• ネットワーク全体のパスワード管理を改善します。
• 認証情報に基づく攻撃のリスクを低減します。
• セキュリティのベストプラクティスへの準拠を簡素化します。

適用対象

• ファームウェア 7.3.1、8.2.0以降を搭載した GEN 7/GEN 8ファイアウォール。

注：NSM: Credential Auditor は、NSM 3.4 よりサポートしています。

 Credential Auditor の設定

注：SonicOS 7.3.3 、8.2.2 以降では、Credential Auditor はデフォルトで有効になっています。

有効時の機能

• 認証時に、既知の漏洩認証情報データベースと照合してユーザーパスワードの有効性を検証します。
• 漏洩したパスワードが検出された場合、デフォルトの動作はパスワードの使用を許可しつつ、システムログに警告を記録して管理者に通知することです。
• 漏洩した認証情報を積極的に特定するために、1 日 1 回、定期的な認証情報チェックを実行します。

 Up2Date サーバーとの連携

ファイアウォールは定期的に SonicWall Up2Date サーバーに接続し、漏洩認証情報のファイルが更新されていないかを確認します。

デフォルトの間隔：24 時間ごと。管理者は定期チェックの間隔を変更し、より厳格な措置を適用することができます。

Credential Auditor の設定方法：

1. デバイス | ユーザ | 設定 | 資格情報監査 に移動します。

2. 資格情報監査を有効にする を 有効 にします。
注：SonicOS 7.3.3、8.2.2 以降では、Credential Auditor はデフォルトで有効になっています。

3. 定期確認 セクションで、定期確認頻度を設定します。

定期確認頻度は、分、時間、または日で設定できます。たとえば、定期確認頻度を 5 分に設定した場合、システムは 5 分ごとに漏洩したパスワードの有無を確認します。

注：定期チェック中に侵害されたパスワードが検出された場合、ローカルユーザーおよびビルトイン管理者のアプライアンスへのアクセスが制限されます。この制限は、Web ログイン、VPN クライアントログイン、および SSH 経由の CLI アクセスに適用されます。ただし、コンソールポート経由の管理者アクセスはブロックされず、シングルサインオン（SSO）を介して認証されたユーザーもブロックされません。

4. 定期確認中に漏えいしたパスワードが検出された場合にアプライアンスへのアクセスを制限する方法 

ローカルユーザーおよびビルトイン管理者については、ドロップダウンメニューから以下のアクションのいずれかを選択できます。  

• リモートアクセスをブロック：ユーザーは信頼された場所からのみログインが可能になります。ユーザーはパスワードをリセットすることでリモートアクセスを復元できますが、これはLANネットワーク内からアクセスできる場合に限られます。それ以外の場合は、ユーザーはファイアウォール管理者に連絡する必要があります。
  注：信頼された場所: LANゾーン、MGMTゾーン、およびセキュリティタイプが Trusted に設定されているその他のゾーン、ならびにGMSを含むサイト間VPNトンネル経由で接続されたリモートロケーションが含まれます。
• GMS/NSMを除くリモートアクセスをブロック：ユーザーはGMS/NSM以外の場所からのログインが許可されません。リモートアクセスを復元するには、ユーザーはファイアウォール管理者に連絡する必要があります。
• コンソールアクセス以外のすべてをブロック：ユーザーは、コンソールポート上の管理者以外からは、いかなる場所からもログインできません。リモートアクセスを復元するには、ユーザーはファイアウォール管理者に連絡する必要があります。
• コンソールおよびGMS/NSM以外のすべてをブロック：ユーザーは、コンソールポート上の管理者およびGMS/NSM以外からは、いかなる場所からもログインできません。リモートアクセスを復元するには、ユーザーはファイアウォール管理者に連絡する必要があります。

LDAP バインドパスワードについては、ドロップダウンメニューから次のいずれかのアクションを選択してください：

• 警告のみを表示：管理者にパスワードの漏洩が通知されますが、システムログへの変更は強制されません。
• LDAP サーバーを無効化：漏洩したアカウントにバインドされているすべての LDAP サーバーが無効化されます。  

5. 新しいパスワードの設定 セクションで、以下のパスワードにおいて、新しいパスワードを設定する際に漏えいしたパスワードを使用できないように制限することが可能です。

• ローカルユーザー 
• ビルトイン管理者ユーザー
• LDAP バインドパスワード  

6. ログイン時 セクションで、外部認証ユーザーが侵害されたパスワードを使用してログインするのをブロックすることが可能です。

注：この設定は、RADIUS や LDAP などを介して認証される外部認証ユーザーにのみ適用されます。ローカルユーザーが侵害されたパスワードを使用してログインするのをブロックするには、定期的なチェックを有効にし、ドロップダウンからアクションを選択する必要があります。  

7. 適用 をクリックして設定を保存します