configuring-multi-factor-authentication-with-duo

Duo を使用した多要素認証の設定

概要

エンタープライズアプリケーション、VPN、RDP、SSH のアクセスポイント全体に Cisco Duo の多要素認証を導入します。このスキルでは、Duo の統合方法、適応型認証ポリシー、デバイスの信頼性評価、および NIST 800-63B AAL2/AAL3 の要件に準拠したフィッシング耐性 MFA の導入について説明します。

使用するタイミング

• 環境で Duo の多要素認証機能を導入または設定するとき
• コンプライアンス要件に準拠したセキュリティ制御を確立するとき
• この領域のセキュリティアーキテクチャを構築または改善するとき
• この実装を必要とするセキュリティ評価を実施するとき

前提条件

• ID アクセス管理の概念とツールに関する知識
• 安全に実行するためのテスト環境またはラボ環境へのアクセス
• 必要な依存関係がインストールされた Python 3.8+
• テスト活動に必要な適切な権限

目標

• VPN、RDP、SSH、Web アプリケーション向けに Duo MFA を設定する
• ユーザー、デバイス、ネットワークのコンテキストに基づく適応型アクセス ポリシーを実装する
• フィッシング耐性認証（Duo Verified Push、WebAuthn）を導入する
• デバイスの健全性ポリシー（信頼できるエンドポイント、OS バージョンの適用）を設定する
• Duo Admin Panel の監視とレポートを設定する
• MFA のバイパスと緊急アクセスの手順を実装する

主要な概念

Duo の認証方法（セキュリティ強度順）

1. セキュリティキー（WebAuthn/FIDO2）：フィッシング耐性があり、AAL3 に対応可能
2. Duo Verified Push：コード入力が必要で、MFA 疲労攻撃に耐性があります
3. Duo Push：Duo Mobile アプリへのプッシュ通知
4. TOTP（Duo Mobile Passcode）：時間ベースのワンタイムパスワード
5. ハードウェアトークン：物理トークンからの OTP
6. SMS／電話：最も安全性が低いため、フォールバックとしてのみ使用してください

Duo の統合アーキテクチャ

• Duo Authentication Proxy：RADIUS／LDAP 統合用のオンプレミスプロキシ
• Duo Web SDK：Web アプリケーションに Duo MFA を組み込む
• Duo OIDC/SAML：クラウドアプリケーション向け SSO 統合
• Duo for RDP：Windows ログオン MFA
• Duo Unix：SSH 向けの PAM ベース MFA

適応型アクセス ポリシー

• 信頼できるネットワーク：社内ネットワークでの MFA の手間を軽減する
• 記憶済みデバイス：信頼できるデバイスでは MFA を省略する（期間を設定可能）
• デバイスの健全性：OS のパッチレベル、暗号化、ファイアウォールに基づいてブロックまたは MFA を要求する
• リスクベース認証：異常なログインパターンに対してステップアップ MFA を要求する

ワークフロー

ステップ 1：Duo Authentication Proxy のセットアップ

1. Windows／Linux サーバーに Duo Authentication Proxy を導入する
2. プライマリ認証（AD/LDAP または RADIUS）を設定する
3. Duo API 認証情報（Integration Key、Secret Key、API Hostname）を設定する
4. failmode を設定する（safe= Duo に接続できない場合は拒否、secure=許可）
5. Duo クラウドおよび AD へのプロキシ接続をテストする

ステップ 2：VPN MFA の統合

1. VPN コンセントレーターで RADIUS 認証を設定する
2. RADIUS の接続先を Duo Authentication Proxy に設定する
3. Duo プロキシで [radius_server_auto] セクションを設定する
4. Duo Push を使用した VPN ログインをテストする
5. 登録期間を設けて、すべての VPN ユーザーに導入する

ステップ 3：RDP／Windows ログオン MFA

1. 対象サーバーに Duo Authentication for Windows Logon をインストールする
2. Admin Panel で Duo アプリケーションを設定する
3. オフラインアクセスのオプション（オフラインログインを N 回許可）を設定する
4. サービスアカウントのバイパスを設定する
5. Duo MFA を使用した RDP ログインをテストする

ステップ 4：適応型ポリシーの設定

1. ユーザーグループ（Standard、Privileged、Contractors）を作成する
2. グループごとの認証ポリシーを設定する：
   • Standard：Duo Push を許可、記憶済みデバイスの期間は 7 日
   • Privileged：Verified Push を必須にし、記憶済みデバイスを許可しない
   • Contractors：WebAuthn を必須にし、記憶済みデバイスを許可しない
3. デバイスの健全性ポリシーを設定する：
   • ディスクの暗号化を必須にする
   • 古い OS バージョンをブロックする
   • ファイアウォールの有効化を必須にする
4. 社内 IP に対する信頼できるネットワークの例外を設定する

ステップ 5：フィッシング耐性のある MFA の導入

1. Verified Push を有効にします（ログイン画面に表示される 3 桁のコードの入力が必要です）
2. 特権ユーザーに WebAuthn/FIDO2 セキュリティキーを登録します
3. 高リスクグループでは SMS と電話を無効にします
4. Duo のリスクベースの認証要素選択を設定します
5. MFA 疲労攻撃のパターンを監視します

ステップ 6：監視と対応

1. Duo Admin Panel のアラートを設定します
2. 認証ログを SIEM に転送するよう設定します
3. 次の項目を監視します：MFA 拒否のパターン、バイパスの使用、新しいデバイスの登録
4. MFA の侵害に対するインシデント対応プレイブックを作成します
5. バイパスおよび例外ポリシーを定期的に確認します

セキュリティ制御

制御	NIST 800-53	説明
MFA	IA-2(1)	ネットワークアクセスに対する多要素認証
特権ユーザー向け MFA	IA-2(2)	特権アカウントアクセスに対する MFA
リプレイ耐性	IA-2(8)	リプレイ耐性のある認証
デバイス識別	IA-3	デバイスの ID と信頼性
認証器の管理	IA-5	MFA の登録とライフサイクル

よくある落とし穴

• 特権アカウントにフィッシング耐性のある MFA（Verified Push/FIDO2）を導入しない
• 本番環境で failmode を "safe" に設定する（Duo の停止時にアクセスを許可する）
• アプリを利用できるデバイスを持つユーザーに対して SMS／電話を無効にしない
• ノート PC のオフラインアクセスの設定を忘れる
• MFA 疲労攻撃／プロンプト爆撃攻撃を監視しない

検証

• VPN ログインで Duo MFA が必要
• サーバーへの RDP で Duo MFA が必要
• SSH アクセスで Duo MFA が必要
• 特権ユーザーに Verified Push が有効
• デバイス正常性ポリシーで非準拠デバイスをブロック
• 認証ログが SIEM に転送される
• バイパス／緊急アクセス手順をテスト済み
• MFA 疲労検知アラートを設定済み