ランサムウェア被害を“侵入後”に拡大させない、特権アカウント防御の要　特権ID・特権アクセス管理「KeeperPAM」とは

ランサムウェア攻撃では、盗まれた認証情報が横展開や権限昇格に悪用されます。

「KeeperPAM」は、利用者にパスワードを見せることなく特権アクセスを実行でき、さらに定期・オンデマンド・利用後自動といったパスワードローテーションに対応しています。

対応範囲も広く、ローカル環境（Windows／Linux／macOS／Active Directory）に加え、「Microsoft Azure」や「Amazon AWS」、データベース、SaaS、ネットワーク機器まで、ローテーション対象を拡張することが可能です

これにより、漏えいした資格情報の「有効期間」を短縮し、攻撃者による横展開の成功確率を低減できます。また、パスワードの平文共有やExcelによる管理を排除することで、特権IDの漏えいリスクの低減にも寄与します。

「KeeperPAM」は、管理通信におけるリモートアクセス手段として、ゼロトラストアクセスおよびリモートブラウザ分離を活用しています。

管理者端末から直接ネットワークに接続する構成を最小化し、「必要な時に、必要な対象へ、必要最小限のアクセス」を実現します。

対応プロトコルは、SSH／RDP／VNC／HTTP(S)に加え、データベースやKubernetesなどの管理アクセスにも対応しています。

侵害時に重要なのは、封じ込めや復旧だけでなく、「誰が、いつ、どのような操作を行ったか」を追跡することです。

「KeeperPAM」は、特権アクセスにおける操作履歴をセッション録画として保存し、事後に再生することができます。

セッションレコーディングとは、特権IDや特権ユーザーアカウントによるリモートアクセス時の操作履歴をすべて録画する機能であり、事後に動画としてプレイバックが可能です。

また、CLIアクセスについてはテキストファイル形式での出力にも対応しています。

これにより、インシデント発生時にも確実な証跡を確保でき、迅速な調査と再発防止に寄与します。

さらに、作業の監査性を向上させることで、内部不正や過失への備えにもつながります。

管理コンソールでは、トンネルの開始・停止、接続の開始・停止、RBI（リモートブラウザ分離）の開始・停止、ゲートウェイの状態、ローテーションの成功・失敗などのログを確認することができます。

これにより、異常の早期検知 、監査対応、コンプライアンス報告に活用することが可能です。

「KeeperPAM」は、SaaS側のWeb Vaultを中心に、接続先（オンプレ／クラウド）へ到達できる位置にKeeper Gateway（ソフトウェア）を配置する構成です。

GatewayはDockerまたはLinuxでの展開が推奨されており、同時接続数に応じたサイジングの検討が必要となります。

また、ネットワーク要件として、GatewayからKeeper Cloudへのアウトバウンド通信を許可する必要があります。

＜導入構成イメージ＞
例： On-premise/AWS 環境設置のサーバー向けに特権アカウント管理を利用したい

PAMリソースレコードを作成し、利用ユーザーへ安全に共有（払い出し）を行います。

その後、有効期限の指定や通知を設定することで、アクセス権限の管理を行うことができます。

また、失効後には自動でパスワードを変更することも可能です。

利用者は、共有されたレコード内の「起動」ボタンからリモートアクセス（ZTNA／RBI）を開始し、安全な環境で作業を実施します。

サーバ運用（Windows／Linux）では、RDPやSSHによる特権作業を、パスワード秘匿とセッション録画により安全に実施できます。

「Active Directory」や「Entra ID」においては、特権アカウントの定期的なローテーションや、利用後の自動パスワード変更による管理が可能です。

データベース運用保守では、「MySQL」、「PostgreSQL」、「SQL Server」などへの管理アクセスを可視化し、操作内容の監査を行うことができます。

また、「AWS」や「Azure」といったクラウド環境においては、IAMユーザーやアクセスキーの管理にも対応しています。

さらに、ネットワーク機器運用では、「Cisco IOS」や「Cisco Meraki」などへの管理アクセスを統制し、安全な運用を実現します。