Active Directoryセキュリティとは？ ADセキュリティを解説

Active Directoryに対する主要な脅威と攻撃手法とは？

以下は、Active Directoryに対して使用される主要な脅威と攻撃手法です:

アカウントベースの攻撃

アカウントベースのActive Directory (AD) 攻撃は、ユーザーを標的にして認証情報の侵害を試みます。主なものの仕組みは次のとおりです:

Golden Ticket (T1558.001)

Golden Ticket攻撃  は、Steal or Forge Kerberos Tickets: Golden Ticket (T1558.001) のサブテクニックです。ネットワーク全体を侵害し、ドメインリソースへの不正アクセスを許す可能性があります。

これは、検知を回避するために Impacket や Mimikatz のようなツールを使用し、Windowsネットワーク内のKerberos認証プロトコルを操作します。

Silver Ticket

Silver Ticket攻撃は異なる方法で機能します。ユーザー認証情報を侵害し、Kerberosプロトコルの設計を悪用します。Silver Ticket攻撃では、攻撃者が標的サービス向けのチケット保証 (TGS) チケットを偽造できるようになります。これらはパスワードハッシュで暗号化されており、これらのTGSチケットはそれらのサービス向けに発行できます。Silver Ticket攻撃は基本的に、サービスアカウントのパスワードハッシュだけでアクセスできるため、リソースへのステルス性が高く永続的なアクセスを提供します。

過剰な権限を持つサービスアカウント

過剰な権限と制御を持つ非人間アカウントは、Active Directoryでは過剰権限アカウントと呼ばれます。これらは、データ侵害、認証情報の窃取、運用の中断を引き起こす可能性があります。  それらが保持する権限は何であれ、ネットワークで必要な範囲を超えています。

認証情報の窃取

Active Directory (AD) の認証情報窃取攻撃は、ユーザー名、パスワード、その他の認証データを盗みます。その仕組みは次のとおりです:

Pass-the-Hash (T1550.002)

Pass-the-Hash (PtH) (MITRE T1550.002) は、攻撃者が侵害されたシステムを介してパスワードハッシュを盗むラテラルムーブメント攻撃です。これを使用して、別のシステム上で正規ユーザーとして自身を認証します。

Pass-the-Ticket (T1550.003)

Pass-the-Ticket (PtT) (MITRE T1550.003) は、盗まれたKerberosチケットを再利用します。ネットワーク上のリソースへの不正アクセスを取得するためです。攻撃者は Mimikatz を使用して、システムメモリからTGTを抽出します。これらの盗まれたチケットを自身のセッションに注入し、正規ユーザーになりすまして限定されたサービスへのアクセスを取得します。

Kerberoasting (T1558.003)

Kerberoasting (MITRE T1558.003) は、オフラインのアカウントに対するハーベスティングおよびサービスアカウントのクラッキング手法です。認証済みのドメインユーザーであれば誰でもこれを実行できます。ネットワーク上で検知されるリスクはなく、オフライン攻撃であるため脅威アクターはアカウントロックアウトポリシーを回避できます。SPNがユーザーアカウントに関連付けられている限り、脆弱なままです。

AS-REP Roasting

これは、Active Directory の設定ミスを悪用する認証情報ダンピング攻撃です。攻撃者はまず、'Do not require Kerberos preauthentication' 設定が有効になっているアカウントを見つけます。次に、脆弱なユーザーの代理としてドメインコントローラーに認証リクエスト (AS-REQ) を送信します。事前認証が有効になっているためパスワードを指定する必要はなく、その結果、攻撃者は Ticket-Granting Ticket (TGT) を含む有効なAuthentication Server Response (AS-REP) を取得します。

ディレクトリサービスの悪用

攻撃者がActive Directoryサービスを悪用できる方法をいくつか紹介します:

DCsync/DCShadow (T1003.006/T1528)

DCSync攻撃は、ADのレプリケーションプロセスを悪用して認証情報をダンプします。攻撃者はドメインコントロールになりすまし、別のコントロールに対して機密性の高いパスワードデータを自身に直接レプリケートするよう要求できます。

DCShadow攻撃は、攻撃者が取得したより高いレベルの権限により悪意のある変更をプッシュします。これは優れたステルス永続化手法であり、侵害されたマシンをネットワーク上で不正なドメインコントローラーとして振る舞わせることができます。

AD Certificate Servicesの悪用 (ESC1–ESC8 attack paths)

ESC1 attack paths では、脆弱な証明書テンプレートを使用して設定ミスを悪用します。攻撃者は Certipy のようなツールを使用してこれらのテンプレートを特定し、ユーザーの代理で証明書を要求できます。これらの証明書を使用して特権ユーザーとして自身を認証し、さらに攻撃を仕掛けることができます。

ESC8 (NTLM Relay) は、設定ミスのあるAD CS Web登録サービスを悪用します。これらはHTTPではなくNTLM認証を使用し、NTLMハッシュを中継することで特権アカウントに悪意のあるサービスへの認証を強制できます。

信頼関係と委任の悪用

攻撃者は、ユーザーが他のリソースにアクセスできるようにするマルチドメイン環境の信頼関係を悪用できます。信頼されたドメインで権限を昇格させ、無制限委任のあるマシンを侵害できます。  リソースベースの制約付き委任 (RBCD) も侵入手段の1つであり、システム上で実行されているサービスを誤って構成して権限を昇格させます。

レプリケーション攻撃

Active Directoryレプリケーションサービスは、ディレクトリを悪用して悪意のある変更をプッシュし、認証情報を盗もうとする可能性があります。レプリケーション攻撃の仕組みは次のとおりです:

• 不正なレプリケーション要求 (DCsync): これにより、攻撃者はドメインコントローラー (DC) になりすまして機密データを要求できます。
• シャドー ドメインコントローラー (DCShadow): これは高度なステルス手法であり、攻撃者は不正なDCを登録します。その不正なDCは、通常のレプリケーションを介してディレクトリに悪意のある変更をプッシュします。
• AdminSDHolder/ACL悪用による永続化: 攻撃者は、侵害された特権アカウントを介して永続的なアクセスを取得します。AdminSDHolderオブジェクトの権限を変更します。これにより、保護されたグループの権限に対する手動変更も自動的に元に戻されます。

Active Directoryをハードニングする方法: ベストプラクティスとチェックリスト

以下は、Active Directoryセキュリティのハードニングチェックリストです。また、従うことができる Active Directoryセキュリティのベストプラクティス も記載しています:

• 管理者アカウントは、特権アクセス管理を通じてアクセスを制限する必要があります。不必要な権限を削除し、最小権限アクセス権のモデルを適用してください。アカウントを定期的に監査して、ドメイン環境全体で認証情報が無秩序に拡散することを防いでください。
• ジャンプサーバーは、制御されたアクセスポイントを提供し、侵害の可能性がある際のラテラルムーブメントを防止できます。一般ユーザーとドメイン管理タスクの間にネットワークセグメンテーションを作成してください。管理者ワークステーションを確実に保護し、ティアリングを実施してください。
• LDAP署名を実施してください。これは中間者攻撃を防止し、チャネルバインディングはディレクトリサービスに対する認証情報リレーの試行を阻止します。
• 強力なパスワードポリシーとサービスアカウント向けの自動パスワードローテーションを設定し、攻撃対象領域を削減してください。パスワードは頻繁に変更し、一意であることを確実にして、脅威アクターによる認証情報ベースの攻撃の実行をより困難にしてください。
• Certificate Services を強化するには、適切なテンプレートと登録制御が必要です。クロスドメインの権限昇格や不正なリソースアクセスの試行を防ぐために、フェデレーショントラストを慎重に構成する必要があります。
• ワークステーション、アプリ、メンバーサーバー、データリポジトリを確認し、ユーザーアカウントに過剰な権限を付与していないことを確認してください。セキュアな管理者ホストの使用を開始し、システムおよびネットワークセキュリティに加えて、それらの物理的セキュリティも確認してください。
• ドメインコントローラー向けのセキュリティ構成ベースラインを設定し、グループポリシーオブジェクト (GPOs) で適用できます。  高度な監査ポリシーを使用し、ADデータを分類してください。

Active Directory 攻撃を検出する方法: 監視と脅威検出シグナル

Active Directory 環境には、攻撃を監視して早期に阻止するのに役立つ、注視すべきシグナルが数多くあります。以下を確認してください:

ログとテレメトリ

ドメインコントローラーからイベントログを収集してください。Kerberos チケット要求と DC Diagnostics レポートを確認して、異常なパターンを特定します。ticket‐granting-ticket 要求の急増や、単一ホストからの認証失敗の繰り返しに注意してください。サービス全体でテレメトリを相関分析し、偵察活動や権限悪用を特定します。

ツール/分析

攻撃経路マッピングツールと異常検知エンジンを使用して、認証情報がネットワーク内をどのように流れるかを可視化してください。ネットワーク監視プラットフォームは East-West トラフィックを追跡し、不審な SMB または RPC 呼び出しを特定します。これにより、隠れたラテラルムーブメントを明らかにできます。

侵害の指標

想定外のホストに現れる SPN、複数のアカウントで再利用される Kerberos チケット、突然のグループ変更を探してください。承認済みワークフローなしにアクセス権が変更されたアカウントや、通常の営業時間外に発行されたチケットはすべてフラグ付けする必要があります。

Active Directory 侵害後の対応と復旧方法

Active Directory の脅威は、放置すると組織に深刻な被害をもたらす可能性があります。Active Directory のセキュリティ侵害後に対応し、復旧する方法は次のとおりです:

さらなる被害を防ぐため、侵害されたアカウントを直ちに隔離する必要があります。フォレンジック分析中にチケットを失効させ、パスワード制限をリセットしてください。さらなる調査と復旧計画のために、見つかった証拠を保全する必要があります。

システムも復元する必要があります。クリーンなバックアップを作成し、NTDS データベースの復旧に重点を置いてください。フォレンジック分析は、サービスを安全にオンラインへ戻す前に、Active Directory 攻撃の手法、ベクトル、侵害されたシステムを特定するのに役立ちます。

インシデント後の強化では、侵害から得られた教訓を適用する必要があります。構成を変更し、追加の監視を実施して、同様の攻撃を防止するとともに、組織全体のセキュリティ態勢と検出能力を向上させてください。

どのようなツールとテクノロジーが Active Directory のセキュリティを強化しますか?

Active Directory のセキュリティを強化できるツールとテクノロジーをいくつか紹介します:

SIEM/EDR/Identity Threat Detection テクノロジー

Security Information and Event Managementシステムは、ドメインコントローラーから認証ログを収集し、認証情報の窃取や権限昇格のような不審なアクティビティの兆候について行動パターンをスキャンします。Endpoint Detection and Responseシステムは、マルウェアによる感染やラテラルムーブメントの試行についてワークステーションをプロアクティブにスキャンし、Identity Threat Detectionシステムはハイブリッド環境における認証の異常をスキャンします。これらのシステムは、高度持続的脅威の兆候について複数のソースからのイベントを相関分析します。

サイバー攻撃経路管理ソフトウェア + ID/権限管理

特権アクセス管理ソフトウェアは、管理者認証情報を暗号化されたボルトで保護し、自動化された承認ワークフローによるジャストインタイムアクセスを提供します。これらのプラットフォームは、サービスアカウントの自動パスワードローテーションとともに最小権限の原則を要求しながら、環境全体にわたる潜在的な攻撃対象領域をモデル化します。SentinelOne Singularity™ Identity Detection & Response のような製品は、リアルタイムのセッションアクティビティ監視を備えた特権アカウント管理を通じて、認証情報のスプロール防止も提供します。

監視、自動化、脅威ハンティング

変更監視コントロールは、Active Directory オブジェクト、グループメンバーシップ、および権限の変更をリアルタイムアラートで監視します。自動化システムは構成ドリフトを認識し、非アクティブなアカウントを特定し、侵害を示している可能性のある異常な認証パターンを強調表示します。脅威ハンティング技術は、IDシグナルをネットワークおよびエンドポイントデータと統合して、従来のセキュリティ制御を回避する高度な脅威を特定します。

一般的なミスと設定ミスが Active Directory をリスクにさらす

頻発するエラーや設定ミスは、Active Directory のセキュリティを危険にさらします。オープンLDAP、弱いパスワード、特権グループへの過剰なメンバーシップ、設定ミスのあるトラスト、休眠アカウントなど。

多くの組織では、LDAPチャネルが未署名のままになっています。これにより、認証プロセス中に認証情報の傍受やリレー攻撃の機会が生まれます。弱いパスワードポリシーに加え、Domain Admins グループへの過剰なメンバーシップは、不要に攻撃対象領域を拡大します。ドメイン間で誤って構成された信頼関係は権限昇格を可能にし、一方で休眠アカウントは通常の監視システムを回避する永続的なバックドアを提供します。定期的なレビューサイクルがなければ、サービスアカウントは過剰な権限を付与されていることが少なくありません。

Active Directory セキュリティにおける新たなトレンドとリスク

注意すべき点は次のとおりです:

ハイブリッド AD + Azure AD 統合リスク

組織によるハイブリッドクラウド展開は、オンプレミスとクラウドのIDインフラストラクチャ間の同期ギャップを脅威アクターが悪用することで、新たな攻撃対象領域を生み出します。Azure AD Connect および ADFS フェデレーショントラストの構成が不十分な展開は、両方のインフラストラクチャにまたがる権限昇格の機会を生み出します。ID同期サービスは、オンプレミスとクラウドの認証情報の両方を同時に攻撃する手段として攻撃者に見なされています。

クラウドIDの脅威、サプライチェーンの脅威、AIを活用する攻撃者の戦術

高度なサイバー脅威は、盗まれた認証情報のリストをスキャンするために機械学習アルゴリズムを使用し、パスワードスプレーやクレデンシャルスタッフィングのような高度な攻撃手法を自動化します。サプライチェーン侵害はますますID管理者や認証局を標的にしており、一方で脅威勢力は、過剰な権限を持つクラウドサービスプリンシパルやアプリケーションIDを攻撃しています。

ポリシー/ガバナンスの変化と規制圧力

今日のコンプライアンス基準では、永続的な権限をゼロにすることに加え、各特権アクティビティの完全な監査証跡を伴う継続的なID監視が義務付けられています。企業は、職務分掌と自動アクセスレビューを備えたジャストインタイムアクセスモデルを実装する必要があります。新たな法規制は、リスクベース認証とコンプライアンスの継続的検証を義務付けるIDガバナンステクノロジーの導入を促進しています。

追跡すべき Active Directory セキュリティ指標と KPI

追跡すべき主要な Active Directory セキュリティ指標と KPI は次のとおりです:

• 平均検出時間: セキュリティチームが初期侵害から検出までの潜在的脅威を発見する速度を測定する必要があります。最適な対応として、30分から4時間以内の検出を目標にしてください。
• 平均対応時間: これは、脅威の検出から完全な封じ込めと修復までの時間を測定します。どちらも、インシデント対応プロセスの成熟度と、ドメインコントローラーおよび認証システムに対する検出カバレッジの測定に役立ちます。
• 特権アカウントの露出: Domain Admins や Enterprise Admins などの高リスクグループのメンバーシップ変更を監視することで、ドメイン内で特権管理者権限を持つアカウントの総数を把握してください。  一定期間内にアクセスされていない未使用の特権アカウント、管理者アカウントに対するログイン失敗の試行、特権セッションの継続時間、さらに時間外の特権アカウント使用の兆候も追跡する必要があります。
• レガシープロトコルの使用状況: NTLM、署名なしLDAP、古い TLS バージョンなど、認証情報リレー攻撃を可能にする旧式プロトコルを使用した認証試行を監視してください..
• 監査カバレッジ: 認証イベント、権限変更、ポリシー変更について完全なログ記録が有効になっているドメインコントローラーの数を追跡してください。盲点を防ぐために、ADインフラストラクチャ全体にわたるログ収集と保持のギャップを特定する必要があります。
• 古いアカウントの数: 定義された期間内に認証されていないユーザーアカウントとコンピューターアカウントを確認してください。通常はユーザーで90日、コンピューターで30日です。クリーンアップ活動と、ドメイン環境全体におけるアクティブアカウントと非アクティブアカウントの比率を監視してください。

SentinelOne による Active Directory セキュリティ

Active Directory を保護する方法を知りたい場合は、次のソリューションがあります:

Singularity™ Identity Detection & Response は、Active Directory および Entra ID 向けのリアルタイムなインフラ防御を通じて、認証情報の悪用を阻止するのに役立ちます。権限を取得して密かに移動しようとする攻撃者から、ドメインコントローラーとドメイン参加資産を防御します。

あらゆる OS 上の、管理対象または非管理対象のすべてのシステムから発生する、企業全体にわたる AD 攻撃を、あらゆるデバイスタイプ（IoT と OT を含む）で検出できます。攻撃者を AD の重要資産から遠ざけ、おとりや偽情報によって行き止まりへと誤誘導できます。ローカルおよびクラウドに保存されたデータへのアクセスを隠して拒否しながら、同時に攻撃者のラテラルムーブメントを極めて困難にすることができます。

次のことが可能です:

• Active Directory のセキュリティを向上させ、重要なドメインサーバーを標的とする攻撃者の活動に対する可視性と認識を獲得する
• 攻撃者がエンドポイントで権限昇格できるようにするサービスアカウント侵害を可視化する。
• 適切なメンバーシップなしにアカウントへ昇格した権限を付与する、アクセス制御リストおよび委任の設定ミスを特定する。
• 高価値のユーザー、サービス、およびシステムアカウントを攻撃者による侵害から保護する。
• 迅速な価値実現を達成し、オンプレミスの Active Directory、Entra ID、およびマルチクラウド環境を完全にカバーする

Singularity™ Identity Detection & Response は、お客様の Zero Trust Program を支援し、制御されたアクセス管理機能によってアプリケーションおよびデータリソースへの暗黙の信頼を制限できます。エンドポイント、AD、およびクラウドにおけるアイデンティティ露出を特定し、全体的な攻撃対象領域を削減します。エンドポイントまたはドメインコントローラーのいずれからのアイデンティティ攻撃も検出し、アイデンティティ信頼の違反についてアラートを生成できます。

侵害に至る経路を理解し、攻撃者がどのようにして 1 つのシステムから別のシステムへ攻撃を進める可能性があるかを示す地形図を視覚的に確認できます。これを使用することで、露出したサーフェス、孤立した認証情報資産、ポリシー違反など、ラテラルムーブメントを可能にするネットワーク全体の隠れた要素を発見できます。ログ分析には当社の AI-SIEM  を使用でき、SentinelOne はエンドポイントセキュリティ向けに Singularity™ Endpoint も提供しています。

組織全体のアイデンティティリスクを軽減

Active DirectoryとEntra IDの総合的なソリューションにより、リアルタイムで攻撃を検知し、対応します。

デモを見る

結論

Active Directory セキュリティは、万能なアプローチではありません。これは、Active Directory 環境を強化するために使用する対策、ツール、テクノロジー、さらに実践の組み合わせです。一歩ずつ進め、基本から始めてください。既存のセキュリティインフラストラクチャとユーザーアカウントを確認し、監査を実施してください。その後、そこから段階的に進めていきます。

最適な Active Directory セキュリティツールをお探しの場合は、SentinelOne チームにお問い合わせください。当社のサービスがお役に立ちます。