CISA が呼びかける Microsoft Intune のセキュリティ強化：Stryker で生じた破壊的なインシデントを受けて

CISA Calls on Organizations to Strengthen Microsoft Intune Security After Stryker Incident

2026/03/19 gbhackers — 米国の Cybersecurity and Infrastructure Security Agency (CISA) が発表したのは、エンドポイント管理システムを強化するための緊急アラートである。米国の医療テクノロジー・プロバイダー Stryker Corporation に対する深刻なサイバー攻撃を受け、この重要な警告は 2026年3月18日に公開された。

2026年3月11日に発生した Stryker に対する高度な攻撃は、同社の Microsoft インフラに深刻な影響を与えた。この侵害を受け、CISA は Federal Bureau of Investigation (FBI) を含む連邦パートナーと連携を強化し、脅威の追跡および即時の緩和措置の策定を推進している。

このエンドポイント管理プラットフォームを積極的に標的とする脅威アクターが、正規の管理ソフトウェアを悪用し、企業ネットワーク環境を侵害していることを、CISA が確認している。

Microsoft および Stryker も、このアラートに対して重要なインテリジェンスを提供し、同様の管理系侵害への防御強化を支援している。

最小権限アクセスの強制

脅威アクターによる、正規のエンドポイント管理ソフトウェアの悪用に対抗するために、管理者は最小権限の原則を厳格に適用する必要がある。

CISA は Microsoft Intune の RBAC (Role-Based Access Control) アーキテクチャの活用を強く推奨している。このコンフィグにより、管理ロールには日常業務に必要な最小限の権限のみが付与される。ユーザー組織は、特定のロールが実行可能な操作内容、および、それらの操作が影響を及ぼすユーザーおよびデバイスを明確に定義する必要がある。

高度なアクセス権限に対する保護は、ラテラル・ムーブメントを狙う現代の脅威アクターに対する重要な防御手段である。

すべての管理アカウントに対して、CISA が強く推奨するのは、フィッシング耐性のある MFA (Multi-Factor Authentication) の適用である。

Microsoft Entra ID の機能 (Conditional Access ポリシー／リスクシグナル監視／特権アクセス制御) を活用することで、Microsoft Intune 環境における不正な管理操作の実行を効果的に防止できる。

このエンドポイント管理プラットフォームにおける脆弱性の一つとして挙げられるのは、侵害されたアカウントによる高影響コマンドの単独実行である。このリスクを完全に軽減するため、セキュリティチームは Microsoft Intune において Multi Admin Approval を要求するアクセス・ポリシーをコンフィグする必要がある。

この重要な保護機能により、機密性の高いシステム・コンフィグの変更には、2 つ目の認可された管理アカウントによるレビュー／承認が必須となる。保護対象となる重要操作には、リモートデバイスのワイプ／新規アプリケーションの展開／スクリプト実行／既存 RBAC 構造の変更などが含まれる。

推奨されるセキュリティ・リソース

CISA および Microsoft は、同様のエンドポイント管理システムに対する悪用を防御するために、以下の技術フレームワークの参照を強く推奨している。

セキュリティ・チームは、Microsoft が提供する Intune セキュリティ強化ガイダンスを参照すべきだ。特に Multi Admin Approval ポリシーの実装および zero trust セキュリティ原則のコンフィグに注力すべきである。

ユーザー組織として実施すべき対策は、Microsoft Entra ID における強固な RBAC の確立と、包括的な Privileged Identity Management (PIM) 展開の計画である。

全体的な認証の戦略として、ネットワーク防御担当者が検討すべきは、CISA の公式ガイドラインをベースにした MFA の導入である。

これらの基本的なセキュリティ原則を Microsoft Intune に適用した上で、サードパーティ製のエンドポイント管理ソフトウェアへ拡張することで、組織は侵害リスクを大幅に低減できる。

ネットワーク管理者に強く推奨されるのは、現在のインフラ・コンフィグを直ちに監査し、悪用を防止することである。

訳者後書：CISA が発表した、 エンドポイント管理システムを標的とする攻撃への緊急アラートについて解説する記事です。今回の警告の背景にあるのは、 Microsoft Intune のような正規の管理ツールの権限が悪用され、 攻撃者が組織内のデバイスを広範囲に操作するインシデントの発生にあります。 医療テクノロジー企業 Stryker への攻撃では、 管理者アカウントの奪取が深刻な被害につながりました。

ここで注目されるのは、”特権アカウントの単独操作” というリスクです。 侵害された 1 つの管理アカウントから、デバイスのワイプ (初期化) や悪意のスクリプト実行が可能になる設定はきわめて危険です。

よろしければ、2026/03/17 の「イランの Handala が医療テクノロジー企業 Stryker を攻撃：破壊型ワイパーで全削除」を、ご参照ください。