ただし、時間が十分にあれば、どのパスワードも総当たり攻撃などの方法により解読される恐れがある。そのため、セキュリティを確保するにはパスワードを定期的に変更することが求められる。セキュリティ性や機密性が高い環境ほど頻繁にパスワードの変更が必要になる。セキュリティ担当者は、管理者アカウントなどの特権があるアカウントには個別のパスワードポリシーを使用する。そのポリシーでは、より強力なパスワードを使用し、なおかつパスワードを頻繁に変更するように求める。

5．パスワードマスクの使用

　セキュリティ担当者は、アプリケーションでパスワードが平文のまま画面に表示されるようなことが決して起こらないようにする。代わりに、アスタリスク（＊）などの代替文字を表示することで画面上のパスワードをマスキングする。こうすることで、肩越しにパスワードをのぞき見られることが少なくなる。ただし、攻撃者はキーストロークを観察することでパスワードを突き止めることがある。この点をユーザーは認識しておくことが必要だ。

6．多要素認証の導入

　セキュリティ担当者は多要素認証の導入を計画する。例えば、生体認証やトークンデバイスなどを用いる。パスワードがネットワークのセキュリティ保護に使用する唯一の手段になっていなければ、パスワードの侵害が自動的にシステムの侵害につながることはない。

7．アカウントロックアウト制御の使用

　アカウントロックアウト制御はオンラインパスワード攻撃を防ぐのに役立つ。この制御では、事前に定義された回数だけ誤ったパスワードが入力されるとアカウントをロックアウトする。アカウントをロックアウトする前に5回まで誤ったパスワードを入力できるようにするのが一般的だ。大半のFTPサーバなど、アカウントロックアウト制御をサポートしていないシステムやサービスもある。その場合、セキュリティ担当者は拡張ログ機能と侵入検知システムを採用し、パスワード攻撃の痕跡を探す必要がある。

8．最終ログイン通知の使用

　多くのシステムでは、最後に正常にログインされた時刻、日付、場所（コンピュータ名やIPアドレスなど）を記載したメッセージが表示される。ユーザーがこのメッセージに注意を払っていれば、自分のアカウントが他人にアクセスされた場合に気が付く可能性がある。例えば、ユーザーが最後にログインしたのは前の金曜日だったが、メッセージには土曜日にアカウントにアクセスされた事実が示されているとする。その場合、アカウントが侵害されているのは明らかだ。アカウントが攻撃または侵害されているのではないかと感じたユーザーは、そのことをシステム管理者に報告することになる。

9．セキュリティに関するユーザー教育

　パスワード攻撃のリスクを軽減するために、セキュリティ担当者が確実に行わなければならないことがある。セキュリティを確保する必要性と強力なパスワードの使用について、ユーザーに適切なトレーニングを実施することだ。パスワードは決して共有したり書き留めたりしてはならないことをユーザーに周知する。唯一の例外として考えられるのは、管理者アカウントやrootカウントなど、最も機密性が高いアカウントに使用される長くて複雑なパスワードだ。こうしたパスワードは書き留めた上で安全に保管する必要がある。また、セキュリティ担当者は強力なパスワードを作成する方法について、ユーザーにヒントを提供する。肩越しにパスワードをのぞき見られることを防ぐ方法についても同様だ。さらに、同じパスワードを異なるアカウントに使用するリスクについてもユーザーに情報提供すべきだ。例えば、ユーザーが銀行口座とオンラインショッピングのアカウントに同じパスワードを使用しているとしよう。その場合、1つのシステムへの攻撃に成功されたら、全てのアカウントが侵害される恐れがある。また、セキュリティ担当者はソーシャルエンジニアリングの手口についてもユーザーに周知する必要がある。

10．アクセス制御

　セキュリティ担当者のアクセス制御手順を定期的にレビューし、監査することがアクセス制御の有効性を評価するのに役立つ。例えば、監査ではアカウントへのログインの成功と失敗を追跡できる。侵入検知システムではこれらのログを監視し、ログインプロンプトへの攻撃を簡単に特定して管理者に通知することができる。

11．アクティブなアカウント管理

　従業員が退職または休職した場合、セキュリティ担当者はできるだけ早くそのアカウントを無効にする必要がある。停止したアカウントは、もう必要ないと判断した時点で削除する。アクセス状況に応じて定期的にユーザーに権限を付与することで、過剰な権限や権限の削除し忘れを発見できる。

12．脆弱性スキャナーの使用

　脆弱（ぜいじゃく）性スキャナーではアクセス制御に関する脆弱性を検出できる。セキュリティ担当者がこれを定期的に使用すると、組織でアクセス制御に関する脆弱性を軽減するのに役立つ。これにはパスワード攻撃の対象となる領域も含まれる。多くの脆弱性スキャナーにはパスワードクラッキングツールも用意されている。このツールを使用することで貧弱なパスワードが検出される。また、システムがパッチにより最新状態に維持されているかどうかを確認できるツールも搭載されている。

本稿は、アダム・ゴードン氏、CISSP-ISSAP、ISSMP、SSCP編集の『Official (ISC)2 Guide to the CISSP CBK, Fourth Edition』（CISSP CBKの公式（ISC）2ガイド、第4版）からの抜粋だ。ドメイン5のこのセクションは、セキュリティ担当者がパスワード攻撃などのアクセス侵害のリスクを最小限に抑えるために、先回りして取れる対策に重点を置いている。