Active Directory（AD）は、組織内のコンピューター、ネットワーク、ユーザー、その他のリソースを管理するためにマイクロソフトが開発したシステムです。これにより、ユーザーはユーザーログイン、ファイルアクセス、セキュリティ設定などの情報を抽象化できます。簡単に言えば、ADは組織が「誰が何をアクセスできるか」を管理するための中央集権的なプラットフォームです。
Active Directoryは組織にとって最も重要な要素です。適切な人物が企業全体のリソースにアクセスできることを確実にすることが重要です。ADはIT環境の基盤となるため、同時に最も魅力的な攻撃対象の一つにもなります。これがActive Directoryの強化が重要である理由です。強化とは、システムの攻撃対象領域実際の攻撃者に対する攻撃対象領域を縮小し、防御機能を強化するプロセスです。
Active Directoryの強化プロセスにより、組織はADの安全性を確保し、不正アクセスやサイバーセキュリティに関連するその他のリスクに晒されることを防ぎます。これにより機密情報が危険に晒されることを回避し、ビジネスプロセスを中断なく継続させることが可能となります。
Active Directoryの理解
Active Directory（AD）は、ユーザーやその他の周辺機器のコンピューターで構成される組織（ドメイン、ネットワーク）内で、IDとリソースを提供または管理する中央拠点として機能します。ADを利用することで、管理者はリソースに関するユーザーのニーズを中心に据え、管理タスクを簡素化し、セキュリティポリシーを適用できます。
Active Directoryの構成要素
Active Directoryは、完全なIDおよびアクセス管理インフラストラクチャを提供するために連携する、いくつかの主要な構成要素で構成されています。
- ドメイン:Active Directory 内で共通のディレクトリ データベースを共有するオブジェクトの論理的なグループ。各ドメインには一意の名前が割り当てられ、ネットワーク上での検索に役立ちます。たとえば、組織のドメインとして example.com などがあります。
- ツリー:ツリーは、同じ名前空間の一部を共有するためにグループ化された1つ以上のドメインで構成されます。たとえば、example.comがドメインの場合、sales-example.comは子ドメインになる可能性があります。
- フォレスト:フォレストは、必ずしも連続した名前空間を共有しない1つ以上のツリーの集合です。フォレストはActive Directoryにおける最上位のセキュリティ境界であり、すべてのドメイン間で共有されるスキーマと構成設定を保持します。フォレストにはいずれのタイプのツリーも1つ以上含めることができ、フォレスト内のツリーは信頼関係によって相互にリンクされ、ドメインを跨いだリソースへのアクセスを可能にします。
- 組織単位 (OU): 組織単位 (OU) は、オブジェクトを整理するためにドメイン内で使用されるコンテナです。OU はユーザー、グループ、コンピューター、および他の OU のコンテナとなります。同時に、この構造により管理者は、より細粒度の権限ベースのポリシー制約を作成するために、様々なチームや部門に委任した部分やOUに対して、ある程度の制御レベルを保持できます。
- ドメイン コントローラー (DC): ドメイン コントローラーは、同一ドメインおよび他のドメイン内のクライアントからの認証要求を受け付けるサーバーです。これはドメインディレクトリパーティションとも呼ばれる独自のActive Directoryデータベースであり、ドメイン内の全オブジェクトを含みます。ドメインコントローラーは相互にこのデータベースを複製し、すべての一貫したコピーを保持します。
Active Directoryの動作原理
Active Directory は、ネットワークリソースの認証、認可、管理を可能にするいくつかのプロトコルと機能で動作します。それらについて説明しましょう。
認証プロトコル
- Kerberos: KerberosはActive Directoryで主に使用される認証プロトコルです。強力な認証のためのネットワークセキュリティに重点を置いています。ユーザーがシステムにログオンすると、KerberosはTGT（チケット発行チケット）を発行し、個々のサービスに対してセッションチケットを要求します。この手順により、システム上でパスワードを送信する必要性が軽減され、セキュリティが向上します。
- NTLM（NT LAN Manager）:これはKerberosが相互運用を必要とするレガシー認証プロトコルであり、選択肢は限られています。NTLMはチャレンジ・レスポンス認証を使用しますが、これは全く安全とは言えず（可能な限り避けるべき）であり、KerberosのウォームアップではNTLMへのフォールバックがあってはなりません。
グループポリシーの役割
グループポリシーははるかに強力なツールであり、ドメイン内のユーザーやシステムに対して特定の設定や構成を強制するために使用できます。これらは、どのセキュリティオプションやソフトウェアをインストールするか、ユーザーインターフェースのどこにどの設定を表示するかなど、ほぼすべての設定を構成するために使用できます。
グループポリシーは、ドメイン、OU、またはサイトに関連付けることができるグループポリシーオブジェクト（GPO）を介して適用されます。GPOは、パスワードの複雑さの強制、アカウントロックアウトポリシー、ソフトウェア制限などの特定のセキュリティ要件を管理者が適用するために使用できます。この集中管理により、組織全体で統一された基準が一貫して遵守されることが保証されます。
Active Directory強化の重要性
セキュリティ対策が不十分なADは、企業に深刻な影響を及ぼす可能性があります。適切に構成されていないADはハッカーにとって格好の標的となるため、Active Directoryの強化が重要です。考えられる結果には以下が含まれます：
- データ侵害：Active Directoryへのアクセス権を得たハッカーは、盗んだユーザー認証情報を利用してプライベートデータに侵入し、大規模なデータ侵害を引き起こす可能性があります。このような場合、企業の機密情報が開示される恐れがあります。
- ランサムウェア攻撃：セキュリティ対策が不十分なActive Directoryは、攻撃者がランサムウェアをネットワーク全体に拡散させることを可能にします。足場を築いた後、攻撃者は重要なファイルを暗号化し、アクセス権の回復を金銭で要求します。実際、これはあらゆる企業の業務に影響を与えるだけでなく、直接的な金銭的損失や評判の毀損につながります。
- 業務中断:侵害されたActive Directoryは、業務の停止につながる可能性があります。攻撃者はユーザーアカウントを乗っ取ったり、権限を操作して必要なリソースへのアクセスを拒否したりすることで、影響を受けた組織にダウンタイムや生産性の低下を引き起こす可能性があります。
- 金銭的損失:セキュリティ侵害が組織に直接与える影響は、金銭的損失です。インシデント対応、復旧費用、法的費用の負担、さらにはデータ保護規制違反による罰金など、侵害を受けた組織が直面する可能性のある支出です。
- 規制上の影響： 多くの業界では、機密データを取り扱う環境の安全性を維持することが義務付けられています。Active Directoryのセキュリティ侵害による違反は、多額の罰金や法的措置につながる可能性があります。
CNAPPマーケットガイドFAQs
Active Directoryの強化とは、AD環境を脅威や攻撃から確実に保護するプロセスです。具体的には、基本セキュリティ対策やベストプラクティスを含むActive Directory強化チェックリストを実施し、攻撃の余地を排除します。例えば、最小権限の原則に基づきエンドユーザーに必要な最小限の権限のみを付与すること、複雑なパスワードポリシーの適用、アカウントの継続的な監査などが挙げられます。
Active Directoryの脅威とは、ADに対して実行され得る一連の攻撃や脆弱性を指し、それによってADが危険に晒される状態を意味します。これらの脅威には、ログイン済みアカウントの悪用、特権昇格、ドメインコントローラー（DC）の偵察などが含まれます。例えば、ドメイン コントローラーに侵入することで、侵入者はユーザー アカウントを変更したり、機密データにアクセスしたりすることが可能になります。
その他の脅威としては、認証情報のフィッシングや、AD インフラストラクチャの脆弱性を悪用するマルウェアなどが挙げられます。
Active Directoryの保護には多層的なセキュリティ対策が有効です。具体的には、強力なパスワードポリシーの適用、多要素認証の利用、ユーザー権限の定期的な見直しなどが挙げられます。
基本的なレベルでは、システムをセキュリティパッチで最新の状態に保ち、AD内の不審な活動を監視することが極めて重要です。
RAIDはRedundant Array of Independent Disks（独立ディスクの冗長配列）の略称です。RAIDはストレージ性能を向上させ、個々のディスクにさらなる構造を提供します。Active Directoryの文脈では、RAIDはドメインコントローラーのデータを保護するために使用されます。
ほとんどの組織では、1台のディスク障害が発生してもデータが失われたり破損したりしないよう、RAID構成を採用しています。つまり、組織は他の稼働中の正常なディスクから同じデータを容易に取得できます。これは、可用性と完全性が不可欠なADデータベースを情報またはログの損失から保護する重要な機能です。