午前I問題

認証方式に関する記述のうち、適切なものはどれか。

ア）多要素認証（MFA）は、常に3つ以上の要素を組み合わせて認証を行う方式である　イ）リスクベース認証は、ログイン試行のたびに利用者が入力した情報以外の状況要因を評価し、認証の強度を動的に変更する方式である　ウ）知識要素・所持要素・生体要素のうち、同じ種類の要素を2つ組み合わせれば多要素認証として十分な強度が得られる　エ）CAPTCHAは利用者を一意に識別する認証要素であり、多要素認証の1要素として数えられる

午前I の解答・解説を見る

正解： イ

解説：

  • ア）不正解。多要素認証は「異なる種類の要素を2つ以上」組み合わせる方式であり、3つ以上を必須とするものではありません。2要素認証（2FA）もMFAの一種です。
  • イ）正解。リスクベース認証は、IPアドレス・端末情報・ログイン時刻・地理的位置・行動パターンなどの状況要因（リスクシグナル）をスコアリングし、リスクが高いと判定した場合にのみ追加認証を要求するなど、認証強度を動的に変更する方式です。
  • ウ）不正解。多要素認証は「異なる種類（知識・所持・生体）」の要素を組み合わせることが要件です。パスワードと秘密の質問はどちらも知識要素であり、これを2つ組み合わせても多要素認証にはなりません。
  • エ）不正解。CAPTCHAは人間とボットを区別する仕組みであり、利用者個人を一意に識別・認証する要素ではありません。多要素認証の要素としては数えられません。

午前II問題

アダプティブ認証（リスクベース認証）の実装に関する記述のうち、最も適切なものはどれか。

ア）リスクスコアの算出には、過去のログイン履歴から外れた行動（普段と異なる国からのアクセス、未知の端末など）を検出するUEBA（User and Entity Behavior Analytics）的な手法が用いられることがある　イ）リスクベース認証はリスクが低いと判定された場合でも、常にワンタイムパスワードによる追加認証を要求することでセキュリティを担保する　ウ）不可能な移動（Impossible Travel）検知とは、同一利用者が短時間のうちに地理的に到達不可能な複数地点からログインを試みたことを検知する手法であり、リスクシグナルの1つとして利用できない　エ）リスクベース認証を導入すれば、パスワードそのものの強度や漏洩リスクへの対策は不要になる

午前II の解答・解説を見る

正解： ア

解説：

  • ア）正解。アダプティブ認証のリスクエンジンは、UEBAの考え方を応用し、利用者や端末の平常時の行動パターンをベースラインとして学習し、そこから逸脱したアクセスを異常（高リスク）として検出します。位置情報・端末フィンガープリント・アクセス時間帯・IPレピュテーションなどが典型的なシグナルです。
  • イ）不正解。リスクベース認証の目的は「リスクが低い場合は追加認証を省略し利便性を保ち、リスクが高い場合のみ追加認証を要求する」ことでUX（利便性）とセキュリティを両立することです。常に追加認証を要求するのであれば、リスクベースで判定する意味がありません。
  • ウ）不正解。不可能な移動（Impossible Travel）検知は、代表的なリスクシグナルの1つとして広く利用されています。例えば東京からのログイン直後に地理的に到達不可能な短時間でニューヨークからのログインが検出された場合、アカウント侵害の疑いが高いと判定されます。
  • エ）不正解。リスクベース認証はパスワード認証を補完する仕組みであり、パスワード自体の強度確保（複雑性・使い回し防止・漏洩監視）が不要になるわけではありません。多層防御の一部として併用します。

午後問題

中堅商社B社（従業員800名）は、社内システムおよびクラウドSaaS群へのアクセスにMicrosoft Entra IDを認証基盤として利用している。従来はID・パスワードのみでログインでき、追加認証（MFA）は全ユーザー・全アクセスで一律に要求していたが、「毎回のワンタイムパスワード入力が煩わしい」という現場からの不満が多く寄せられていた。

一方でセキュリティ部門は、在宅勤務の普及に伴い私物端末や公衆Wi-Fi経由のアクセスが増加しており、一律MFAだけでは「疲労によるMFA疲労攻撃（MFA Fatigue）」のリスクや、正規ユーザーの利便性低下という課題を認識していた。

そこでセキュリティ部門は、Entra IDの条件付きアクセスとID Protectionを組み合わせたリスクベース認証への移行を計画した。設計方針は以下の通りである。

  • サインインリスク（不可能な移動、匿名IPアドレスからのアクセス、漏洩認証情報の一致など）を「低」「中」「高」で評価する
  • リスク「低」：追加認証なしでサインインを許可する
  • リスク「中」：追加認証（MFA）を要求する
  • リスク「高」：サインインをブロックし、セキュリティ部門に通知する
  • 管理者権限を持つアカウントについては、リスクレベルに関わらず常にMFAを要求する

設問1

本方式が一律MFA方式と比較して、利用者の利便性とセキュリティを両立できる理由を説明しなさい。また、リスクエンジンが「低リスク」と誤判定してしまった場合に想定される脅威を1つ挙げなさい。（180字程度）

設問1の解答・解説を見る

正解例： 一律MFA方式では正規利用者にも毎回追加認証の負荷がかかるが、リスクベース認証は普段と同様のアクセス（既知の端末・場所・時間帯）には追加認証を省略し、異常なアクセスにのみ認証強度を上げることで、正規利用者の利便性を損なわずに不審なアクセスを重点的に検知できる。誤判定リスクとして、攻撃者が事前に正規利用者の端末情報やCookieを窃取し、これを模倣（なりすまし）してリスクエンジンを欺き、低リスクと判定させて追加認証なしで侵入する脅威が考えられる。

解説・採点基準（計15点）：

採点項目キーワード配点
利便性とセキュリティの両立の説明正規アクセスは追加認証省略・異常アクセスのみ強度向上6点
誤判定時の脅威の具体化端末/セッション情報の窃取・なりすまし・リスクエンジンの回避6点
表現の妥当性・論理性一律MFAとの対比が明確であること3点

部分点： 誤判定リスクについて「なりすまし」とだけ書き、具体的な手法（端末情報窃取等）の言及がない場合は4点。

設問2

管理者権限を持つアカウントについて、リスクレベルに関わらず常にMFAを要求する設計とした理由を述べなさい。また、リスクベース認証の判定ロジックが依存するリスクシグナルが攻撃者に事前に把握・偽装された場合の対策を1つ挙げなさい。（180字程度）

設問2の解答・解説を見る

正解例： 管理者権限アカウントが侵害された場合、全社システムやデータへの影響範囲が一般ユーザーより著しく大きいため、リスクエンジンの誤判定によって追加認証が省略されるリスクを許容できない。そのため権限の重要度に応じてリスクベース判定を上書きし、常に追加認証を要求する「特権アカウントの例外的取り扱い」が有効である。対策としては、単一のリスクシグナルに依存せず、端末証明書やデバイス準拠状態（コンプライアンスチェック）など複数シグナルを組み合わせて偽装耐性を高めることが挙げられる。

解説・採点基準（計15点）：

採点項目キーワード配点
管理者権限に常時MFAを課す理由影響範囲の大きさ・誤判定許容不可・特権アカウントの例外扱い6点
リスクシグナル偽装への対策複数シグナルの組み合わせ・デバイス準拠チェック・証明書ベース認証等6点
一貫性・実務妥当性条件付きアクセスの仕組みに即した説明であること3点

部分点： 対策が「MFAを増やす」など一般論に留まる場合は3点。具体的なシグナル強化策の言及があれば満点範囲。

重要キーワード

用語説明
リスクベース認証（アダプティブ認証）ログイン試行時の状況要因（端末・位置・時間帯・行動パターン等）をスコアリングし、リスクレベルに応じて認証強度を動的に変更する認証方式
UEBA（User and Entity Behavior Analytics）利用者・エンティティの平常時の行動パターンを学習し、そこからの逸脱を異常として検知する分析手法。リスクベース認証のリスクエンジンにも応用される
不可能な移動（Impossible Travel）同一利用者が地理的に到達不可能な短時間で複数の地点からログインを試みたことを検知する代表的なリスクシグナル
MFA疲労攻撃（MFA Fatigue）攻撃者が窃取した認証情報を使い、被害者へ大量のプッシュ通知型MFA要求を送り続け、誤操作・根負けによる承認を誘発する攻撃手法
多要素認証（MFA）知識・所持・生体の3要素から異なる種類を2つ以上組み合わせる認証方式。リスクベース認証は追加認証（多くはMFA）の要求可否を動的に判定する仕組み
条件付きアクセス（Conditional Access）Microsoft Entra IDが提供するポリシー機能。サインインリスク・デバイス準拠状態・場所などの条件に基づきアクセス可否や追加認証要求を制御する

まとめ

  • 午前I視点： 多要素認証は「異なる種類の要素」を2つ以上組み合わせることが要件。リスクベース認証は状況要因に応じて認証強度を動的に変更する方式であることを押さえる。
  • 午前II視点： リスクベース認証のリスクシグナル（不可能な移動、匿名IP、漏洩認証情報の一致等）とUEBA的な行動分析の関係性が頻出。常時追加認証を要求する方式とは異なる点に注意。
  • 午後視点： 利便性とセキュリティの両立というトレードオフの説明、および特権アカウントへの例外的な常時MFA適用の理由づけが採点ポイント。リスクエンジンの誤判定・偽装リスクへの対策も併せて問われやすい。