Web アプリケーション: SAML ポリシーの強化、シングルログアウト、署名検証、応答の暗号化

コントロール名

外部クライアントアプリケーション: Web アプリケーション (SAML 設定の有効化): SAML ポリシーの強化

推奨設定

SAML を有効にしたら、必要なポリシーを設定します。

• シングルログアウトを有効化 - 選択
• 要求署名の検証 - 選択
• 要求署名の検証 - 選択
• SAML 応答を暗号化 - 選択

制御の概要

このセキュリティポリシースイートは、ログアウト時に SAML ベースのセッションをグローバルに終了し、すべての受信認証要求が暗号化されて本物かどうかが確認され、ユーザー ID データが転送中に暗号化されます。

設定されていない場合のセキュリティリスク

これらのポリシーがないと、ユーザーはログアウトしてもアプリケーションが有効なままになるセッション破棄や、攻撃者が ID データを偽造して不正アクセスする SAML アサーションラッピングやインジェクション攻撃に対して脆弱になります。

脅威のシナリオ

攻撃者は、機密性の高いユーザー属性を含むプレーンテキスト SAML アサーションを傍受するか、以前に取得された認証要求を再生してログイン要件をスキップします。これは、要求の署名や応答の暗号化がシステムによって適用されないためです。

推定 CVSS スコア範囲

高 (7.0 ～ 8.9)。

リスクの影響に関する考慮事項

これらの制御を実装しないと、認証ハンドシェイク中に個人識別情報 (PII) が漏洩し、放棄されたセッションや乗っ取られたセッションによってサービスプロバイダーへの不正アクセスが継続的に行われる可能性があります。

より高いリスク

サービスプロバイダーが規制対象データ (HIPAA や PCI 準拠のレコードなど) を処理する場合、またはセッションハイジャックがより蔓延しているパブリックネットワークや未管理ネットワークからユーザーが頻繁にアプリケーションにアクセスする場合。

低リスク

SAML インテグレーションが、すべてのトラフィックがすでに相互 TLS で暗号化され、デバイスへの物理的なアクセスが厳密に制御されている、独立した内部ネットワークに厳密に制限されている場合。

ビジネスと統合に関する考慮事項

これらの機能を有効にするには、復号化用の非公開鍵を保存する機能やグローバルログアウトシグナルを処理する技術的なロジックなど、高度な SAML 2.0 機能をサービスプロバイダーがサポートしている必要があります。

推奨される修復

外部クライアントアプリケーションの SAML 2.0 設定に移動し、シングルログアウトの有効化、要求署名の検証、SAML 応答の暗号化を行うチェックボックスをオンにします。

Security Health Review Guidance (セキュリティ状態レビューガイダンス)

Security Health Reviewでは、署名検証とアサーション暗号化の組み合わせが統合IDの必須標準として識別され、さまざまなTrust境界でユーザー データの整合性と機密性が維持されます。