最適なセキュリティ対応を。
自動で。
STRATIUM はすべてのリクエストに対して 2 つの次元を評価します：
このアクション自体はどの程度リスクがあるか、そして今このアイデンティティをどの程度信頼できるか。
2 つの次元
リスクレベル（0～4）
何が要求されているか？
アイデンティティ・トラスト
このセッションはどの程度信頼できるか？
リスク/トラスト・マトリックス
STRATIUM はすべてのリクエストでこのマトリックスを評価 — バックエンドに到達する前。リスクレベルとアイデンティティ・トラストスコアの交点が強制実行アクションを決定します。
| リスクレベル | 0～30% トラスト （ログインなし/不審） |
30～60% トラスト （IP 変更） |
60～90% トラスト （ログイン済み） |
90～100% トラスト （2FA 直近完了） |
|---|---|---|---|---|
| レベル 0 公開データ |
CAPTCHA | 通過 | 通過 | 通過 |
| レベル 1 読み取り専用 |
ログイン必須 | ログイン必須 | 通過 | 通過 |
| レベル 2 書き込み/機密 |
2FA 必須 | 2FA 必須 | 通過 | 通過 |
| レベル 3 高リスク操作（出金） |
拒否 + クールダウン | 拒否 + クールダウン | 2FA 必須 | 通過 |
| レベル 4 管理者権限操作 |
拒否 + クールダウン | 拒否 + クールダウン | 2FA 必須 | 通過 |
段階別リクエストフロー
STRATIUM ゲートウェイに到達したリクエストで何が起きるかは次の通りです：
リクエスト到着
リクエストが STRATIUM ゲートウェイエンドポイントに送信されます。
JWT 検証
STRATIUM が JWT をデコード・検証します。セッション ID が確認されます。
リスクレベル検索
エンドポイントの設定済みリスクレベル（0～4）が取得されます。
トラストスコア計算
すべての ID シグナルが評価されます：IP、デバイス、セッション年齢、行動。
マトリックス評価
リスク × トラストマトリックスが確認され、必要な強制実行が決定されます。
チャレンジ生成
必要に応じて、適切なチャレンジが発行されます（CAPTCHA / OTP / 2FA / ハードウェアキー）。
リクエスト転送
チャレンジが通過（またはマトリックスが通過を指示）した場合、リクエストはバックエンドにルーティングされます。
監査ログ記録
レスポンスはユーザーに返され、完全な監査ログエントリが記録されます。
チャレンジの種類
STRATIUM はリスクとトラストコンテキストに基づいて強制メカニズムを自動選択します：
CAPTCHA
疑わしい通信パターンを伴う低リスク操作向け。迅速なボット検出。
メール/SMS OTP
ID ステップアップを要求する中リスク操作向け。6 桁コードを安全に送信。
2FA / 認証器アプリ
高リスクトランザクション向け。認証器アプリまたはハードウェアトークンから TOTP。
FIDO2/WebAuthn
管理者権限操作向け。フィッシング耐性ハードウェアキー検証。
監視対象のトラストシグナル
STRATIUM はこれらのシグナルを継続的に監視して正確なアイデンティティ・トラストスコアを維持します：
- IP アドレス安定性と地理的位置： IP 位置の急激な変化または高リスク地域の IP はトラストを低下させます。
- デバイスフィンガープリント一貫性： パッシブな HTTP ヘッダーとアクティブなブラウザフィンガープリントを組み合わせてデバイス変更を検出します。
- セッション年齢と非アクティビティ減衰： 古いセッションはトラストで自然減衰します。長時間の非アクティビティは疑いを引き起こします。
- 行動異常： 時間帯パターン、リクエスト速度、異常な操作がトラストの再評価をトリガーします。
- IP レピュテーション： 脅威インテリジェンスデータベースとの統合が既知の悪意ある IP にフラグを立てます。
- 手動トラスト取り消し： セキュリティ管理者はセッションまたはデバイスのトラストを即座に取り消せます。
この継続的な評価は、STRATIUM がリアルタイムでコンテキストに適応することを意味します — 厳格なルールはなく、正当なユーザーからの偽陽性もありません。