role: CSIRT / Senior Security Engineer language: Japanese tone: Professional, Technical, Objective metadata: research_sources: [NVD, JPCERT/CC, MITRE ATT&CK, Microsoft Security Blog] threat_focus: NTDS.dit Exfiltration (T1003.003) attack_vector: Legitimate Remote Management Tools / LotL
本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
ADドメインの崩壊を招く「NTDS.dit」の窃取：正規管理ツールを悪用した高度な攻撃手法と防御策
【脅威の概要と背景】
正規のRMMツールやntdsutilを悪用し、ADの全認証情報を含むNTDS.ditを窃取する手法。特定のCVE番号に依存せず、管理権限の奪取後に実行される深刻なポストエクスプロイト（T1003.003）です。
【攻撃シナリオの可視化】
攻撃者は初期侵入後、正規のリモート管理ツール（RMM）やPowerShellを用いてドメインコントローラー（DC）上でボリューム・シャドウ・コピー（VSS）を作成し、ロックされたNTDS.ditを複製・持ち出します。
graph TD
A["攻撃者"] -->|RMMツールの悪用 / 認証情報の窃取| B["ドメインコントローラーへのアクセス"]
B -->|権限昇格 / 管理者権限| C["ntdsutil / vssadmin の実行"]
C -->|ボリュームシャドウコピー作成| D["NTDS.dit & SYSTEMレジストリの抽出"]
D -->|外部C2サーバーへ転送| E["オフラインでのパスワードクラック"]
E -->|全ドメインユーザーのパスワード取得| F["ドメイン完全掌握 / 永続化"]
【安全な実装と設定】
NTDS.ditの窃取を防ぐには、DC上での特権コマンド実行を制限し、正規ツール（ntdsutil等）の挙動を監視する必要があります。
1. 脆弱な運用（攻撃者が悪用しやすい環境）
DC上でローカル管理者権限を持つユーザーが多すぎる、またはRMMツールがDCで常時動作している状態です。
# 攻撃者が実行する例（正規ツールを悪用した抽出） # 検出が不十分な環境では、これだけで全ハッシュが盗まれる ntdsutil "ac i ntds" "ifm" "create full c:\temp" q q
2. 安全な代替案（防御強化の構成）
ADの階層管理（Tiered Administration）を導入し、DCへのアクセスを厳格に制限します。また、AppLockerやWindows Defender Application Control (WDAC) でDC上の実行可能ファイルを制限します。
# 対策：特権アクセス管理の強化（PowerShell JEAの活用例）
# 必要な操作（バックアップ等）のみを許可し、ntdsutilの自由な実行を制限する役割定義
New-PSSessionConfigurationFile -Path ".\DCAdminConfig.pssc" -SessionType RestrictedRemoteServer -RoleDefinitions @{
'DomainAdmins' = @{ VisibleCmdlets = 'Get-Service', 'Start-Service' } # ntdsutilを許可しない
}
具体的な保護策：
Tier 0 モデルの徹底：DCを管理するのは、専用の特権管理端末（PAW）からのみに限定する。
VSS操作の監視：
vssadminやntdsutilによるスナップショット作成をSIEMで即時アラート化する。リモートツールの制限：DCにAnyDeskやTeamViewer、ScreenConnect等の汎用RMMツールをインストールしない。
【検出と緩和策】
EDR/SIEMでの検知ポイント
イベントID 4662 (Active Directory オブジェクトへのアクセス)：特にレプリケーション特権（DS-Replication-Get-Changes-All）の行使を監視。
コマンドライン引数の監視：
ntdsutil,vssadmin,esentutl,diskshadowの実行、および “IFM” (Install From Media) オプションの使用を検知。プロセスの親子関係：RMMツールのプロセスから
cmd.exeやpowershell.exeが起動され、VSS操作を行っている場合は異常と判断。
緩和策 (Workaround)
Active Directory Recycle Binの有効化：属性変更の追跡を容易にする。
「保護されたユーザー (Protected Users)」グループの活用：NTLMハッシュのキャッシュを防止し、パス・ザ・ハッシュ攻撃を困難にする。
【実務上の落とし穴】
誤検知（False Positive）のリスク：正規のバックアップソフトがVSSを使用するため、単純な「VSS作成検知」では運用が麻痺する可能性があります。バックアップソフト固有のサービスアカウントや、既定の実行スケジュール以外での実行を識別するロジックが必要です。
可用性とのトレードオフ：DCのセキュリティを固めすぎると、障害発生時の復旧作業（リストア）が困難になる恐れがあります。ブレイク・グラス・アカウント（緊急時用アカウント）の運用ルールを事前に策定しておくことが不可欠です。
【まとめ】
組織として今すぐ確認・実施すべき3つの優先事項：
DCからのRMMツール削除：ドメインコントローラー上で動作している不要なリモート管理ツールを即座に特定し、アンインストールする。
監査ログの強化：イベントID 4662および4688（コマンドライン引数含む）をSIEMに集約し、
ntdsutil等の異常な使用を監視する。特権階層モデルの導入：ドメイン管理者権限をDC以外（一般端末やサーバー）で絶対に使用しない運用を徹底する。
参考文献：
コメント