implementing-privileged-access-management-with-cyberark

CyberArk による特権アクセス管理の実装

概要

CyberArk Privileged Access Management を展開し、企業インフラ全体の特権認証情報を検出、保管、ローテーション、監視します。このスキルでは、保管庫アーキテクチャ、セッション分離、認証情報ローテーションポリシー、NIST 800-53 のアクセス制御要件との統合を扱います。

使用するタイミング

• 環境で CyberArk による特権アクセス管理の機能を展開または構成する場合
• コンプライアンス要件に沿ったセキュリティ統制を確立する場合
• この分野のセキュリティアーキテクチャを構築または改善する場合
• この実装が必要なセキュリティ評価を実施する場合

前提条件

• ID およびアクセス管理の概念とツールに関する知識があること
• 安全に実行するためのテストまたはラボ環境にアクセスできること
• 必要な依存関係がインストールされた Python 3.8 以上があること
• テスト活動に対する適切な承認を得ていること

目的

• 高可用性を備えた CyberArk 保管庫アーキテクチャを設計する
• 特権認証情報の自動検出とオンボーディングを実装する
• さまざまなアカウント種別に対する認証情報ローテーションポリシーを構成する
• セッション分離と記録のために Privileged Session Manager (PSM) を展開する
• 特権アクセスの監視のために CyberArk を SIEM と統合する
• ジャストインタイム (JIT) の特権アクセスワークフローを実装する

主要な概念

CyberArk のアーキテクチャコンポーネント

1. Digital Vault: FIPS 140-2 検証済みの暗号化を用いた暗号化認証情報ストレージ
2. Central Policy Manager (CPM): 自動パスワードローテーションと検証
3. Privileged Session Manager (PSM): セッション分離、記録、キーストロークログ
4. Password Vault Web Access (PVWA): 認証情報管理用の Web インターフェース
5. Privileged Threat Analytics (PTA): 特権アカウントに対する振る舞い分析
6. Conjur Secrets Manager: アプリケーションの ID およびシークレット管理

保管庫のセキュリティモデル

• Master Policy: グローバルなセキュリティ設定（デュアルコントロール、排他的アクセス、ワンタイムパスワード）
• Safes: きめ細かな権限を持つ認証情報の論理コンテナ
• Platforms: ローテーション、検証、再同期を定義する構成プロファイル
• Account Groups: ローテーションの依存関係を共有するアカウントを関連付ける

認証情報のライフサイクル

1. Discovery: インフラをスキャンして特権アカウントを検出する
2. Onboarding: プラットフォームを割り当てて、アカウントを保管庫にインポートする
3. Rotation: ポリシーのスケジュールに従って自動的にパスワードを変更する
4. Verification: 保管された認証情報が機能することを定期的に確認する
5. Reconciliation: 保管庫と対象の同期が外れた場合に認証情報を再同期する
6. Decommissioning: 不要になったアカウントを削除する

ワークフロー

ステップ 1: 保管庫アーキテクチャの設計

1. 安全なネットワークセグメントに主保管庫サーバーを展開する
2. DR 保管庫を用いて保管庫の高可用性を構成する
3. 保管庫サーバーの OS を強化する（不要なサービスを削除し、RDP を無効化する）
4. ファイアウォールルールを構成する（許可された構成要素からのポート 1858 のみ）
5. 暗号化を用いて保管庫のバックアップを設定する

ステップ 2: Safe とポリシーの構成

1. 事業部門に沿った Safe の階層を作成する
2. 最小権限のロールで Safe のメンバーを定義する:
   • Safe Admins: Safe のメンバーシップを管理する
   • Credential Managers: アカウントの追加および変更を行う
   • Auditors: 監査ログの閲覧のみを行う
   • Users: 認証情報の取得および使用を行う
3. Master Policy の設定を構成する:
   • 認証情報の取得にデュアルコントロールを必須とする
   • 排他的アクセスを有効にする（認証情報ごとに同時に 1 人のユーザー）
   • 機密性の高いアカウントにはワンタイムパスワードモードを設定する

ステップ 3: プラットフォームの構成

• Windows Domain Admin: 24 時間ごとにローテーションし、4 時間ごとに検証する
• Linux Root: 72 時間ごとにローテーションし、SSH キーもローテーションする
• データベース管理者 (Oracle、SQL Server): 24 時間ごとにローテーションする
• ネットワーク機器: 7 日ごとにローテーションする
• サービスアカウント: 依存関係を管理しつつスケジュールに従ってローテーションする
• クラウド IAM キー: デュアルキー方式で 90 日ごとにローテーションする

Step 4: 特権セッション管理

1. PSM サーバーをロードバランサーの背後にデプロイします
2. セッションの記録（映像、キーストローク、コマンドログ）を設定します
3. セッションの分離を設定します（ユーザーは直接ではなく、必ず PSM を経由して接続します）
4. RDP、SSH、データベース、Web アプリ向けの接続コンポーネントを定義します
5. ライブセッションの監視と終了機能を設定します
6. セッション記録の保持期間を設定します（コンプライアンスのため最低 1 年）

Step 5: 統合と監視

1. CyberArk の監査ログを SIEM に転送します（CEF/Syslog 形式）
2. 行動分析のために PTA を設定します:
   • 認証情報窃取の兆候を検出します
   • 不審な特権セッションのアクティビティに対してアラートを発行します
   • 管理対象外の特権アカウントの使用を監視します
3. アクセス要求のワークフローのため、チケットシステムと統合します
4. ローテーションの失敗、検証の失敗、ポリシー違反に対するアラートを設定します

セキュリティコントロール

コントロール	NIST 800-53	説明
特権アクセス	AC-6(7)	特権アカウントの制御
認証情報管理	IA-5	認証情報の自動ローテーション
セッション記録	AU-14	セッション監査機能
アクセス強制	AC-3	Vault で強制されるアクセスポリシー
職務分離	AC-5	機密操作のためのデュアルコントロール

よくある落とし穴

• 調整用アカウントを設定しないと、ローテーション後にロックアウトが発生する
• 依存関係のあるサービスアカウントに対してローテーションスケジュールを厳しく設定しすぎる
• 本番デプロイの前に PSM 接続コンポーネントをテストしない
• Vault が利用できない場合のブレークグラス手順を確立していない
• ネットワーク機器の認証情報管理を見落とす

検証

• Vault には承認されたコンポーネントからのみアクセスできる
• オンボードされたすべてのアカウントで認証情報のローテーションが成功する
• PSM セッションが記録され、検索可能である
• 機密性の高い認証情報のチェックアウトでデュアルコントロールが適用されている
• SIEM が CyberArk の監査イベントを受信している
• ブレークグラス手順がテストされ、文書化されている
• DR Vault へのフェイルオーバーが正常にテストされている