Microsoft 365のトークン窃盗：セッションハイジャックを防ぐ方法

攻撃者はMFAやConditional AccessをバイパスするためにMicrosoft 365のセッショントークンを盗みます。ここでは、Token Protectionがトークン窃盗をブロックする方法と、Overeを使用してテナント全体にデプロイする方法を説明します。

著者：

Paul Barnes

公開日：

2025年8月13日

Token Protection Conditional AccessがOvereで利用可能に

攻撃者は、必ずしもMFAの破りやパスワードの推測によって環境に侵入するわけではありません。アクティブなセッショントークンを盗み出し、防御策のほとんどを完全にバイパスするという近道を試みることが増えています。

Microsoft 365では、これらのトークン（Primary Refresh Tokens：PRT）はユーザー認証時に発行され、認証情報を再入力することなくサービスにアクセスできるようにします。トークンが盗まれた場合、Conditional Accessルールをトリガーすることなく、別のデバイスから再利用されてしまうことがよくあります。

MicrosoftのToken Protection ポリシーはこの状況を変えます。有効にすると、PRTは発行先のデバイスに暗号的に紐付けられます。トークンが別のデバイスにコピーされた場合、そのトークンは無効になります。これにより、攻撃者が盗んだトークンを使用して横展開や永続的アクセスを行うのを防ぎます。

ライセンス要件：Token ProtectionはMicrosoft Entra ID P1ライセンスで利用可能です。これはMicrosoft 365 Business PremiumやMicrosoft 365 E3、単体のEntra ID P1ライセンスにすでに含まれているため、多くの組織で追加費用なしで有効化できます。

Overeで簡単にデプロイ

‍

‍Overeに追加する理由

Microsoftの新しいセキュリティ機能への追従は常に動き続ける目標です。Overeの役割は、お客様の環境にとって重要な変更を見逃さないようにすることです。Token ProtectionがOvereのConditional Accessポリシーセットの一部になりました。

Overeに統合することで：

手動設定なしでテナント全体に迅速に適用できます。
一貫した適用を実現できます。
管理者による新しい機能の発見や有効化に頼る必要はもうありません。

‍
Token Protectionの仕組み

適用範囲：Exchange OnlineやSharePoint Onlineなど、サポートされているリソースへのサインインに適用されます。
バインディング：ハードウェアベースのキーを使用してPRTを元のデバイスに紐付けます。
互換性：Entra IDに参加または登録されており、Windows 10以降を実行しているデバイスが必要です。
強制適用：紐付けられていないコンテキスト（別のデバイスや改ざんされた環境）からトークンが提示された場合、アクセスは拒否されます。

MicrosoftのドキュメントでToken Protectionの詳細を見る
 Overeを始める

‍

Overe ニュースレター

スパムはありません。最新のリリース情報やヒント、興味深い記事、独占インタビューを毎週受信トレイにお届けします。

ありがとうございます！送信を受け付けました。

申し訳ありません。フォームの送信中にエラーが発生しました。