認証と認証情報

​

認証情報を追加する理由

認証情報を追加すると、公開クロールでは見えない認証済みの領域にアセスメントがアクセスできるようになります。 認証情報とログイン手順は組み合わせて使用します。

• 認証情報は、何を入力するかを提供します
• ログイン手順は、エージェントがどこで、どのようにログインするかを提供します

​

認証情報の種類

MindFort は複数の種類の認証情報に対応しています。それぞれ、アプリケーションで使用されるさまざまな認証フローを対象としています。

​

Application Login

標準的なユーザー名とパスワードによる認証です。 設定手順:

1. Target Inventory を開き、ターゲットを選択します。
2. Add Credential をクリックし、App Login を選択します。
3. テストアカウントのユーザー名とパスワードを入力します。
4. 適切なロールを選択して保存します。

​

Authenticator 2FA

ユーザー名とパスワードによる認証に、TOTP ベースの第 2 要素を組み合わせたものです。MindFort は、指定されたシークレットを使用して、アセスメント中に時間ベースのコードを自動的に生成します。 TOTP シークレットは、認証アプリの設定時に表示される base32 でエンコードされた文字列です (例: JBSWY3DPEHPK3PXP)。通常、QR コードが表示される認証アプリの設定フローで確認できます。「スキャンできない場合」や「手動で入力」といったオプションを探すと、テキスト形式のシークレットが表示されます。 設定手順:

1. Target Inventory を開き、ターゲットを選択します。
2. Add Credential をクリックし、2FA を選択します。
3. ユーザー名、パスワード、base32 形式の TOTP シークレットを入力します。
4. 適切なロールを選択して保存します。

​

SMS MFA

ユーザー名とパスワードによる認証で、第 2 要素が SMS の認証コードであるものです。MindFort は専用の電話番号をプロビジョニングし、アセスメント中に受信したコードを読み取ります。 認証情報を作成すると、電話番号が自動的にプロビジョニングされます。プロビジョニングが完了すると、認証情報テーブルに表示されます。この番号を、ターゲットアカウントの MFA 用電話番号として登録してください。 設定手順:

1. Target Inventory を開き、ターゲットを選択します。
2. Add Credential をクリックし、SMS MFA を選択します。
3. テストアカウントのユーザー名とパスワードを入力します。
4. プロビジョニングする電話番号の国を選択します。
5. 認証情報を保存します。電話番号がプロビジョニングされます。
6. 認証情報テーブルからプロビジョニングされた電話番号をコピーし、ターゲットアプリケーションのアカウント設定で MFA 用の番号として登録します。
7. (任意) ターゲットアプリケーションが登録時に電話番号確認用の認証コードを送信する場合は、認証情報テーブルの Actions 列にあるメッセージアイコンをクリックし、Check for Code を押してコードを取得します。ターゲットアプリケーションにコードを入力して登録を完了します。

​

SMS Login

パスワードを使用せず、SMS で送信されるワンタイムコードのみで認証する、電話番号だけの認証方式です。MindFort は専用の電話番号をプロビジョニングし、アセスメント中に受信したコードを読み取ります。 ユーザー名やパスワードは不要です。電話番号は自動的にプロビジョニングされます。 設定手順:

1. Target Inventory を開き、ターゲットを選択します。
2. Add Credential をクリックし、SMS Login を選択します。
3. プロビジョニングする電話番号の国を選択します。
4. 認証情報を保存します。電話番号がプロビジョニングされます。
5. 認証情報テーブルからプロビジョニングされた電話番号をコピーし、ターゲットアプリケーションでユーザーとして登録します。
6. (任意) ターゲットアプリケーションがアカウント作成時に認証コードを送信する場合は、認証情報テーブルの Actions 列にあるメッセージアイコンをクリックし、Check for Code を押してコードを取得します。ターゲットアプリケーションにコードを入力して登録を完了します。

​

Email MFA

ユーザー名とパスワードによる認証で、第 2 要素が専用のメール受信箱に送信されるものです。MindFort は認証情報の設定時にメールアドレスを生成し、アセスメント中にそれを使用します。 設定手順:

1. Target Inventory を開き、ターゲットを選択します。
2. Add Credential をクリックし、Email MFA を選択します。
3. テストアカウントのユーザー名とパスワードを入力します。
4. 認証情報フォームでメールアドレスを生成します。
5. そのメールアドレスを、ターゲットアカウントの MFA 用メールアドレスとして登録します。
6. 認証情報を保存します。

​

Magic Link

アプリケーションが、生成されたメールアドレス宛てにサインインリンクを送信する、パスワード不要の認証方式です。ユーザー名やパスワードは必要ありません。 設定手順:

1. Target Inventory を開き、Web Application ターゲットを選択します。
2. Add Credential をクリックし、Magic Link を選択します。
3. メールアドレスを生成します。
4. そのアドレスをターゲットアプリケーションに登録します。
5. 認証情報を保存します。
6. リンクをリクエストする場所と、サインインの成功を確認できるページを説明するログイン手順を追加します。

​

API Key

API キーの認証情報は API ターゲットで利用できます。ターゲットがベアラートークン、カスタムヘッダー、クエリパラメータ、JSON ボディのフィールド、または追加の必須フィールドでリクエストを認証する場合に使用します。 API ターゲットでは、API キーの認証情報を追加する前に API Structure に内容を記入する必要があります。そこに、検証用のルート、リクエストメソッド、リクエストの形式、成功の条件を記述してください。 設定手順:

1. Target Inventory を開き、API ターゲットを選択します。
2. Add Credential をクリックし、API Key を選択します。
3. キーまたはトークンを入力します。
4. MindFort が認証情報を配置する場所を選択します: ヘッダー、ベアラートークン、クエリパラメータ、または JSON ボディのフィールド。
5. API が必要とする追加の固定フィールドがあれば追加します。
6. 認証情報を保存します。

​

SSO リダイレクトフロー

ID プロバイダーのリダイレクトフローで認証するアプリケーションの場合は、専用のテストアカウントを作成し、リダイレクトフロー全体をログイン手順に記載してください。 次の内容を含めます。

• アプリケーションのログイン URL
• 選択する ID プロバイダーのオプション
• テナント、ワークスペース、組織の選択画面
• ログイン後に想定される URL
• テストアカウントで MFA が必要かどうか

SSO フローでメール、電話、または認証アプリによる第 2 要素が必要な場合は、対応する種類の認証情報を設定し、SSO の手順をログイン手順に含めてください。

​

認証フロー別の認証情報の設定

​

認証情報のガイドライン

• 専用のテストアカウントを使用してください。個人アカウントや本番環境の管理者アカウントは避けてください。
• アカウントのアクセス範囲は、テストしたい範囲に限定してください。
• 評価したい機能を利用できる範囲で、最小権限のロールを優先してください。
• ユーザーと管理者など、大きく異なるロールごとに別々の認証情報を作成してください。
• アクセス制御の境界をテストするためにアセスメントのデュアル認証情報モードを使用する場合は、異なる認証情報を少なくとも 2 つ保存してください。
• 認証情報は定期的にローテーションしてください。
• SMS の認証情報の種類が組織で利用できない場合は、サポートにお問い合わせください。

​

関連する設定

認証情報を追加したら、エージェントがターゲットのサインインフローを操作しやすいように、明確なログイン手順を追加してください: ログイン手順の書き方

​

認証情報固有の API 手順

API 認証情報の Additional Auth Instructions には、キーをセッショントークンに交換する、テナントを選択するなど、そのアカウントに適用される手順を記述します。MindFort は、テスト中のサインインやアクセスの更新時に、これらの手順をターゲットの API Structure と組み合わせて使用します。 REST API のフィールドは additional_auth_instructions です。最大 10,000 文字のプレーンテキストを受け付けます。更新時に省略すると既存の値が保持され、空白のみを入力すると値がクリアされます。HTML タグやサポートされていない制御文字は拒否されます。MCP の認証情報ツールでは現在このフィールドを公開していないため、設定にはダッシュボードまたは REST API を使用してください。

​

認証情報を検証する

1. Target Inventory でターゲットを開きます。
2. Stored Credentials で認証情報を見つけます。
3. Verify を選択し、結果を待ちます。
4. 検証に失敗した場合は、報告された理由を確認し、認証情報または手順を更新してから再度検証します。

アカウントが無効または利用できないために検出結果の再テストが失敗した場合は、検出結果の詳細から代替の認証情報を選択できます。再テストの認証情報の復旧を参照してください。 検証では、MindFort が現在の設定で認証できるかどうかを確認します。検証の成功はその試行の結果を示すものであり、ターゲットのセキュリティカバレッジを保証するものではありません。アセスメントや再テストを開始する前に、認証情報と手順を最新の状態に保ってください。