Active Directoryのハードニングとは？ 重要性とベストプラクティス

Active Directory は組織において最も重要な要素です。適切な人が企業全体のリソースにアクセスできるようにすることが重要です。ADはIT環境に不可欠であるため、最も魅力的な攻撃ベクトルの1つにもなります。これがActive Directoryのハードニングが重要である理由です。ハードニングとは、システムの attack surface を実際の攻撃者に対して減らし、防御を強化することで、システムをより安全にするプロセスです。

Active Directoryのハードニングプロセスでは、組織が自社のADの安全性を確保し、不正アクセスやその他のサイバーセキュリティ関連リスクにさらされないようにすることを目的としています。これにより、機密情報が危険にさらされることを防ぎ、業務プロセスを中断なく継続できます。

Active Directoryを理解する

これは、ユーザーのコンピューターやその他の周辺機器で構成される組織（ドメイン、ネットワーク）内で、IDとリソースが提供または管理される中央の場所として機能します。ADを使用すると、管理者はリソースに関するユーザーのニーズを中心に据えることで、管理タスクを簡素化し、セキュリティポリシーを適用できます。

さまざまなActive Directoryコンポーネント

Active Directoryは、完全なIDおよびアクセス管理インフラストラクチャを提供するために連携する、さまざまな主要コンポーネントで構成されています。

1. ドメイン: Active Directory内で共通のディレクトリデータベースを共有するオブジェクトの論理的なグループ化です。各ドメインには一意の名前があり、ネットワーク上で見つけるのに役立ちます。たとえば、組織のドメインとして、example.com があります。
2. ツリー: ツリーは、同じ名前空間の一部を共有するためにグループ化された1つ以上のドメインで構成されます。たとえば、example.com がドメインである場合、sales-example.com は子ドメインになり得ます。
3. フォレスト:  フォレストは、必ずしも連続した名前空間を共有しない1つ以上のツリーの集合です。フォレストはActive Directoryにおける最高レベルのセキュリティ境界であり、すべてのドメインにわたって共有されるスキーマおよび構成設定を保持します。フォレストには、いずれかの種類のツリーを1つ以上含めることができ、フォレスト内のツリーは信頼関係によって相互にリンクされ、ドメイン間でのリソースアクセスを可能にすることもできます。
4. 組織単位 (OU): 組織単位 (OU) は、オブジェクトを整理するためにドメイン内で使用されるコンテナーです。OUは、ユーザー、グループ、コンピューター、およびその他のOUのコンテナーです。同時に、この構造により、管理者は、よりきめ細かな権限ベースのポリシー制約を作成するために、さまざまなチームや部門に委任した部分またはOUに対して、一定レベルの制御を行うことができます。
5. ドメインコントローラー (DC): ドメインコントローラーは、同一ドメインおよび他のドメイン内のクライアントからの認証要求を受け付けるサーバーです。ドメインコントローラーは、ドメイン内のすべてのオブジェクトを含むドメインディレクトリパーティションとも呼ばれる独自のActive Directoryデータベースを持っています。ドメインコントローラーはこのデータベースを相互にレプリケートし、すべてが一貫したコピーを利用できるようにします。

Active Directoryの仕組み

Active Directoryは、認証、認可、およびネットワークリソースの管理を可能にするいくつかのプロトコルと機能に基づいて動作します。これらについて説明します。

認証プロトコル

1. Kerberos: Kerberosは、Active Directoryで使用される主要な認証プロトコルです。強力な認証のためのネットワークセキュリティに重点を置いています。ユーザーがシステムにログオンすると、Kerberosは個々のサービス用のセッションチケットを要求するためのTGT (Ticket Granting Ticket) を発行します。この手順により、システム上でパスワードを送信することへの依存が軽減され、それに応じてセキュリティ向上に役立ちます。
2. NTLM (NT LAN Manager): これはレガシー認証プロトコルであり、通常Kerberosが相互運用する必要があるため、選択の余地はあまりありません。NTLMはチャレンジレスポンス認証を使用しますが、実際にはまったく安全ではありません（可能な限り回避してください）。また、KerberosのウォームアップではNTLMへのフォールバックがあってはなりません。

グループポリシーの役割

グループポリシーははるかに強力なツールであり、ドメイン内のユーザーおよびシステムに対して特定の設定や構成を強制するために使用できます。これらは、どのセキュリティオプションやソフトウェアをインストールするか、ユーザーインターフェースのどこにどの設定を表示するかなど、ほぼあらゆる設定の構成に使用できます。

グループポリシーは、ドメイン、OU、またはサイトに関連付けることができるグループポリシーオブジェクト (GPO) を介して適用されます。GPOは、パスワード複雑性の強制、アカウントロックアウトポリシー、ソフトウェア制限など、特定のセキュリティ要件を強制するために管理者が使用できます。この一元管理により、組織全体で統一された標準が一貫して順守されることが保証されます。

Active Directoryハードニングの重要性

安全でないADは、企業に深刻な結果をもたらす可能性があります。ADが安全に構成されていない場合、ハッカーにとっての宝の山となるため、Active Directoryのハードニングは重要です。想定される結果には次のものがあります:

1. データ侵害: Active Directoryにアクセスしたハッカーは、盗んだユーザー認証情報を使用して機密データに侵入し、大規模な Data breaches を引き起こす可能性があります。このような場合、企業の機密情報が漏えいするおそれがあります。
2. ランサムウェア攻撃: 安全でないActive Directoryは、攻撃者が ransomware をネットワーク全体に拡散することを許してしまう可能性があります。足掛かりを得た後、攻撃者は重要なファイルを暗号化し、アクセスの対価を要求することがあります。これは、あらゆる企業の業務に影響を及ぼすだけでなく、潜在的な金銭的損失や評判の低下にも直結する可能性があります。
3. 業務の中断: 侵害されたActive Directoryは、業務停止につながる可能性があります。攻撃者はユーザーアカウントを乗っ取ったり、必要なリソースへのアクセスを拒否するように権限を操作したりする可能性があり、影響を受けた組織にダウンタイムと生産性の低下をもたらします。
4. 金銭的損失: セキュリティ侵害が組織に与える直接的な影響は、金銭的損失です。インシデント対応、復旧コスト、さらに法的費用や、データ保護規制への不遵守に対する罰金を科される可能性などは、侵害を受けた際に組織が直面し得る費用です。
5. 規制上の影響: 複数の業界では、機密データに関して安全な環境を維持することが求められています。Active Directoryセキュリティの侵害による違反に起因するコンプライアンス違反は、多額の罰金や法的措置を意味する可能性があります。

Active Directoryハードニングチェックリスト

以上を踏まえると、組織のIT環境を保護し、Active Directory (AD) の管理領域を適切にハードニングすることが重要です。そこで、各項目の説明を含む詳細なActive Directoryハードニングチェックリストを以下に示します。

1. 最小権限アクセス

過度に許容的なアクセス権の使用を減らし、最小権限の原則に従うことは、ADセキュリティにおいて必須であるべきです。この原則では、システムのエンドユーザーには、その職務機能を実行するために必要な範囲のアクセスのみを付与すべきであるとされています。

これを実現するには、企業はまず管理者権限を持つすべてのアカウントを特定し、どれが必要かを再評価する必要があります。管理者アカウントは、異なるログインを使用して通常のユーザー空間から分離する必要があります。さらに、Role-Based Access Control (RBAC) の割り当てを使用することで、組織内で指定された役割に対する権限の割り当てを簡素化できます。

2. 権限を定期的に監査する

Active Directoryのセキュリティにとって、権限を定期的に監査することは極めて重要です。企業は、現在の権限、たとえばユーザーアカウントとそのグループメンバーシップ、およびアクセス権を確認するために権限監査を実施し、許可されたユーザーのみが適切な権限を持つようにする必要があります。

組織はまた、組織のデータにアクセスするアカウント保有者だけでなく、管理アクションの追跡についても定期的な監査を実施する必要があります。たとえば、昇格された権限を持つユーザーによる変更についてログを確認することなどが該当します。組織は、管理アクティビティを監視することで、リスクを軽減するのに十分早い段階で不正行為の可能性を検出できます。

3. 安全な認証を確保する

したがって、安全な認証メカニズムはActive Directoryの保護に不可欠です。そのための1つの方法は、Multi-Factor Authentication (MFA) をすべてのユーザー、特に管理者に対して確実に適用することです。MFAでは、ユーザーアカウントにアクセスするために2つ以上の本人確認要素が必要となり、追加のセキュリティ層が作られます。MFAに加えて、企業は適切なパスワード強制ポリシーを備えるべきです。

企業は、ブルートフォース攻撃から保護するためにアカウントロックアウトポリシーを適用することも検討できます。ユーザーに対してより強力なパスワードを使用させ、ログイン試行の失敗回数にしきい値を設定することで、アカウントを一時的にロックできます（パスワード候補のリストを順に試してアカウントにアクセスしようとするハッカーを遮断します）。もちろん、正当なユーザーを意図せず締め出さない必要性とのバランスを取る必要があります。

4. ドメインコントローラーを保護する

ドメイン コントローラー（DC）はActive Directoryにおいて重要であり、より強固な保護境界によって保護される必要があります。DCに物理的に立ち入る人の数を最小限に抑えることを最優先事項とすべきであり、組織は対象のサーバーがそれらの特定のデータセンター内にあることを明確にしなければなりません。セキュアな境界では、物理的、管理的、および技術的な制御が導入され、可用性の監視に利用できるデータを提供する監視システムも含まれており、これがアクセス制御として機能します。

脆弱性から保護するために、DCをセキュリティパッチで定期的に更新することも重要です。これらの脆弱性に対処する大規模なパッチや更新は、実装前に十分にテストする必要がありますが、テストには時間がかかるため、堅牢なパッチ管理プロセスでこれを管理することが推奨されます。

5. ネットワークセグメンテーション

Active Directoryでセキュリティを向上させる重要な方法の1つがネットワークセグメンテーションです。組織は、ドメインコントローラーを重要システムとして分離することで、攻撃対象領域をさらに縮小し、ラテラルムーブメントを防止できます。オンプレミスネットワークの場合、Virtual Local Area Networks (VLANs) を使用してネットワーク内のセグメントを区分し、信頼されたエンティティのみがドメインコントローラーにアクセスできるようにできます。

ファイアウォール は、さまざまなネットワークセグメント間のトラフィックを防ぐために必要です。ファイアウォールログは、不審なアクティビティや不正アクセスを検出し、必要な対策を促すために、常に確認する必要があります。

また、マイクロセグメンテーション技術の使用も強く推奨されます。これは、同じネットワーク上でトラフィックフローの定義方法について、組織がより高い精度を得られるためです。これにより、きめ細かなレベルまでセキュリティポリシーを適用でき、どのシステム同士が接続するかをより正確にマッピングできます。

6. 監視とログ記録

Active Directoryにおける潜在的なセキュリティインシデントを検出して対応することは非常に重要であり、そのためには優れた監視/ログ記録が必要です。組織は、ログイン/ログオフアクティビティやアカウントまたはグループメンバーシップの変更を含む、すべてのADイベントに対して詳細なログ記録を有効にすることで、完全な監視を確保できます。

さらに、セキュリティ情報およびイベント管理 (SIEM) ソリューションを組み込むことで、分析のためにADやその他のシステムからログを集約し、相関分析を可能にして監視を改善できます。リアルタイムの脅威検出機能により、不審なものを検知して企業に警告し、プロアクティブな対応を可能にします。

7. グループポリシーの構成

グループポリシーは、ADエンタープライズ全体にわたってセキュリティ設定を適用するための非常に強力な方法です。組織のポリシーに一致するセキュリティベースラインを適用するために、組織設定はGPOを通じて実装する必要があります。

たとえば、GPOを利用して、パスワード複雑性要件、アカウントロックアウトポリシー、およびソフトウェア制限を適用できます。また、GPOは時間の経過とともに古くなったり、他のポリシーと競合したりする可能性があるため、定期的に見直して更新することも重要です。GPO監査は、セキュリティ標準への準拠を維持し、環境にリスクを追加している可能性のある設定ミスを検出します。

Active Directoryのセキュリティ態勢を改善する方法

Active Directory (AD) におけるセキュリティ態勢の強化は、エンタープライズネットワーク、さらには非常に機密性の高い情報の安全性にとって重要なステップです。

1. ネットワークセグメンテーション

ネットワークセグメンテーションでは、ネットワークをより小さく分離されたセグメントに分割し、アクセスを制限して露出を最小限に抑えることができます。ネットワークセグメンテーションにより、組織はドメインコントローラーのような最も重要なリソースへのアクセス権を持つ対象を制御できます。これにより、単一の環境に侵入した攻撃者が、ネットワークの他の部分へラテラルムーブメントする可能性を低減できます。

セグメント間に厳格なアクセス制御とファイアウォールを追加することも、悪意のあるユーザーがネットワークの重要な部分へ容易に移動するのを防ぎ、セキュリティ向上に役立ちます。

2. セキュリティアプリおよびソフトウェアの活用

Active Directoryのセキュリティは、データベースセキュリティを強化するための専用ツールやソフトウェアによって大きく支えられています。ADの監視および監査ツールは、ユーザーによる不正アクセスの試行や、AD環境内で発生するその他の異常な動作など、あらゆる変更をリアルタイムで検出するうえで重要です。

また、強力なパスワードポリシーを要求し、パスワードの定期的な監査を強制することもできます。これは、組織内に数百、場合によっては数千もの異なるサービスがある場合に特に有用です。

ADの構成と権限の可視性を提供するソリューションは、脆弱性、弱点、または設定ミスを明らかにし、即時の修復を可能にすることもできます。

3. インシデント対応計画

強力な incident response plan は、Active Directoryが関与する可能性のあるセキュリティインシデントに適切に対処するために不可欠です。そこでは、最終目標、誰が対応するのか、そしてどのように対応するのかを詳細に定める必要があります（たとえば、侵害がどこから開始されたかを特定すること — その場合はトリアージ、または侵害を受けた場合に、他のシステムに影響が及ぶ前に自社が終了対応策を提供できるか、など）。

また、インシデント対応計画を頻繁に確認して改訂することで、あらゆる問題に迅速かつ体系的に対応できるよう、常に準備が整っていることを確実にします。

Active Directoryのハードニング戦略

Active Directory環境を保護および防御するには、Active Directoryのハードニングプラクティスを採用する必要があります。このセクションでは、ADインフラストラクチャを強化するための5つの重要な要素を示します。

1. Secure Administrative Workstations (SAWs) を実装する

SAWsは、ソフトウェアフットプリントが小さく、アクセス制御リストが最小限で、直接的なネットワーク接続を持たないマシンです。また、読み取り専用OSとフルディスク暗号化を備えているため、マルウェアが永続化を拡散できません。SAWsは、アプリケーション許可リストを使用して明示的に承認されない限り、ソフトウェアの実行を防止します。

2. Advanced Audit Policy を有効化して構成する

ADのAdvanced Audit Policyでは、イベントログに何を記録するかについて非常に詳細に設定できます。ドメインコントローラーおよびメンバーサーバーで、アカウントログインイベント、オブジェクトアクセス、ポリシー変更、および特権使用の監査を設定します。Windows Event Forwardingを利用して、レビュー用にログを一元的な場所へ収集します。

3. Microsoft Local Administrator Password Solution (LAPS) を使用する

LAPSはオンプレミスのソリューションであり、パスワードポリシーの管理とランダム化を担うグループポリシーのクライアント側拡張機能です。パスワードは安全なAD属性に保存され、許可されたユーザーのみがアクセスできます（ただし、サービスアカウントで復号する必要があります）。また、構成可能なポリシーに基づいてローテーションされます。LAPSでは、カスタマイズされたパスワード複雑性ポリシーが可能であり、既存のSIEMシステムを通じて監視することもできます。

4. 読み取り専用ドメイン コントローラー (RODC) を展開する

常に AD データベースの読み取り専用コピーを保持し、RODC を介した一方向レプリケーションを使用してください。機密情報を RODC の手に渡さないようにするには、filtered attribute set (FAS) を定義します。資格情報キャッシュにより、RODC は認証のために特定のユーザー資格情報をキャッシュできます。

結論

組織にとって、Active Directory(AD) を強化することは重要です。AD は事実上、すべてのユーザー ID とアクセス権限の中核であるため、どのようなセキュリティ上の抜け穴も、データ侵害から業務停止に至るまで、広範な影響を及ぼします。

堅牢な Active Directory 強化チェックリストは、組織が攻撃対象領域を最小限に抑え、サイバー脅威に効果的に対処するのに役立ちます。主な戦略には、最小権限アクセスのレビュー、定期的な権限割り当ての確認、ドメイン コントローラーの安全な認証と構成管理が含まれます。

AD セキュリティを最優先事項の 1 つとすることで、組織はサイバー態勢を強化するだけでなく、規制要件への準拠にも備え、より安全な IT インフラストラクチャを構築できます。