SAP CIAMが提供するセキュリティ対策機能のご紹介

ID統合基盤を導入するにあたりセキュリティ対策は特に重要となります。SAP Customer Identity and Access Management（以下、SAP CIAM）ではID統合基盤としての機能だけでなく、標準機能として複数のセキュリティオプションを実装しています。本記事ではセキュリティオプションに関する機能の実装と戦略的な活用法をご紹介いたします。

CAPTCHA機能

CAPTCHA機能とは

CAPTCHAは「アクセスしてきたのが人間か、悪意のあるプログラム（ボット）か」を判定するための機能です。インターネット上には、人間になりすまして不正な操作を行う「ボット」が大量に存在します。ボットを放置すると、以下のような被害が発生します。

大量のスパム投稿: 掲示板やコメント欄が広告で埋め尽くされる。
不正ログイン（リスト型攻撃）: 他人のID・パスワードを総当たりで入力し、アカウントを乗っ取る。
チケットや商品の買い占め: 人気商品を一瞬ですべて予約・購入してしまう。
偽アカウントの大量作成: サービスに負荷をかけたり、世論操作に利用したりする。

CAPTCHAは、これら「プログラムによる自動操作」をブロックし、人間だけにサービスを開放するための門番の役割を果たしています。SAP CIAMではGoogle reCAPTCHA（v2/v3）も利用可能ですが、独自のSAP CAPTCHAを提供しています。

SAP CIAMが提供するSAP CAPTCHA

本機能はSAP CIAMの一部として提供しており、WebSDK・ScreenSetでの利用が可能です。ScreenSetでの設定となるため、導入が比較的容易となり、料金に関しても追加の契約・料金が発生せず、SAP CIAM利用料金に含まれています。そのため費用面でも導入メリットがあります。

導入後イメージ：

利用シーン：
ScreenSetを導入する画面に表示が可能となりますのでログイン画面や新規会員登録に対応しています。それによりボットによる不正なアカウント作成や、リスト型攻撃（不正ログイン）の抑止となります。

導入メリット：
Google reCAPTCHAではキー取得や運用作業が必要となり、場合によっては費用も発生します。しかし、SAP CAPTCHAの費用はSAP CIAM利用料金に含まれているため追加費用の発生しないことや導入が簡易であることがメリットになります。

不正ログイン検知機能

不正ログイン検知機能とは

Webサイトやアプリを運営する際、ユーザのアカウントを乗っ取りから守る「不正ログイン検知」は不可欠な機能です。攻撃者は日々、ボットや流出したパスワードリストを使って侵入を試みており、これらを防ぐためにシステムは不正ログインを検知する仕組みを保持しています。SAP CIAMではリスクべース認証の仕組みを保持しています。それ以外にもログイン時における二要素認証や不正ログインにおけるアカウントロック機能も搭載しています。詳細は下記記事をご覧ください。
関連記事：SAP CIAMで実現する、ユーザが方式を選べる二要素認証

例えば振る舞い検知の場合、ユーザの「普段の行動パターン」を学習し、そこから外れたアクセスを「リスクあり」と判定する仕組みです。訪れたことのない地域からのアクセスや、普段利用端末・ブラウザからのアクセスがあった場合に不正ログインを検知してユーザに通知する仕組みを保有しています。ご紹介する機能は振る舞い検知にて不正ログインを検知しています。

Impossible Traveler

Impossible Travelerとは移動距離をベースに不正ログインを検知するセキュリティ機能のひとつとなります。RBAで利用可能なポリシーで、ユーザが自然にたどり着くことが出来ず、前回のログインから遠すぎる場所かつ、移動時間を考慮してもたどり着けない場所からログインを試みた場合、パスワードリセットを促すことで不正アクセスを検知する仕組みです。国内は対象外となります。
機能の発動条件は、国と時間の組み合わせとなります。例えば11月5日10時に東京でログインした後に11月5日10時5分に米国でログインすることは物理的に不可能であるため、そのような状況が発生した場合はアカウントの乗っ取りが疑われ、Impossible Travelerが発動し、ユーザに対してメールでパスワード変更を促すことが出来ます。（東京→大阪など、国内の移動は対象外）

Impossible Travelerメール本文例：
メール本文のカスタイマイズや、複数言語にも対応しているため言語によるメール出し分けも可能です。

件名：不正ログイン検知
アカウントで下記の国・地域からログインが行われました。
最終ログイン：United States.
本ログイン情報に心当たりがない場合は、第三者がアカウントを不正に使用している可能性がありますので以下のパスワードリセットURLをクリックして、 パスワードの変更をお願いいたします。
パスワードの変更URL
https://xxxx.jp/accounts.finalizeImpossibleTravelerResetPassword?~

Impossible Travelerの検知イメージ図：

利用シーン：
ユーザのメールアドレス情報やID、パスワード情報が盗まれて、即海外からアクセスされるような場合にImpossible Traveler機能により不正ログインとみなしてパスワードリセットを促すメールを配信します。パスワードリセットリンクを押下した時点で不正なログインセッションは破棄されます。

Unknown Location Notification

Unknown Location Notification機能とは国を跨いだ不正アクセスを検知する機能となります。普段日本国内で利用しているユーザが中国からログインを実行した場合、普段利用していない国からのログインのため、不正ログインの可能性を考慮して、パスワード再設定メールを通知することができます。
本機能をオンにすると、以前ログインした位置情報と異なる国（IPアドレス）からログインした場合、登録されているメールアドレス宛にメールが届きます。メールが届いたらリンクからパスワードを変更することができ、更にリンク押下時にセッションが破棄されます。パスワード再設定リンクからパスワードを再設定した場合、ログインを行った国は既知の場所として登録されません。

Unknown Location Notificationメール本文例：
メール本文のカスタイマイズや、複数言語にも対応しているため言語によるメール出し分けも可能です。

件名：新しい場所からのログイン通知
@様
お客様のアカウントに対し、新しい場所からログインがありました。
国: United States.
IPアドレス: xxx.xxx.xxx.xxx
本ログイン情報に心当たりがない場合は、第三者がアカウントを不正に使用している可能性がありますので以下のパスワードリセットURLをクリックして、 パスワードの変更をお願いいたします。
パスワードの変更URL
https://xxxx.jp/accounts.finalizeImpossibleTravelerResetPassword?~

Unknown Location Notificationの検知イメージ図：

利用シーン：
サービスの提供地域を国内に制限しているような場合、海外からのログインは不正かつ、パスワードが漏洩している可能性が高いため、パスワードリセットを促すメールを配信します。Impossible Traveler機能と同様にパスワードリセットリンクを押下した時点で不正なログインセッションは破棄されます。

導入メリット：
ImpossibleTraveler、Unknown Location NotificationともにSAP CIAM利用料金に含まれているため追加費用の発生しないことや導入が簡易であることがメリットになります。

おわりに

これらの機能はSAP CIAMで実装しているセキュリティ機能の一例となります。このようなセキュリティ対策をSAP CIAM管理画面での設定で利用することが出来るため、導入障壁が低く、SAP CIAM導入のメリットの一つとなります。SAP CIAMについてもっと詳しく話を聞きたい、相談したい、という方は、是非お気軽に弊社にご連絡いただけますと幸いです。