{ “research”: “Active Directory (AD) security focusing on NTDS.dit exfiltration via Living-off-the-Land (LotL) techniques. Reference to CVE-2024-1709 (ConnectWise ScreenConnect) as an entry point and subsequent use of ntdsutil.exe/vssadmin.exe.”, “plan”: “1. Define threat: NTDS.dit theft. 2. Visualize: Kill chain from RMM abuse to domain takeover. 3. Code/Config: Compare dangerous default vs. hardened auditing. 4. Detection: Event ID tracking. 5. Practicality: Operational impact of strict controls.” } 本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
NTDS.dit窃取によるドメイン支配：正規管理ツールの悪用シナリオと防御戦略
【脅威の概要と背景】
正規の管理ツールやCVE-2024-1709等の脆弱性を悪用し、ADの全情報を握るNTDS.ditを複製・窃取する攻撃が急増しています。
【攻撃シナリオの可視化】
攻撃者は正規の「ntdsutil.exe」やボリュームシャドウコピー（VSS）を利用し、セキュリティ製品の検知を回避しながらデータベースを複製します。
graph TD
A["攻撃元: RMMツールの脆弱性等を悪用"] -->|初期侵入| B["ドメインコントローラへの横展開"]
B -->|SYSTEM権限奪取| C["正規ツールの悪用: ntdsutil / vssadmin"]
C -->|IFM作成| D["NTDS.dit / SYSTEMレジストリの複製"]
D -->|外部転送| E["オフライン解析: 全ユーザーのハッシュ抽出"]
E -->|ドメイン掌握| F["Golden Ticket作成 / 永続化"]
【安全な実装と設定】
攻撃者が用いる手法（悪用例）と、それを防ぐ・検知するための構成を対比します。
1. 悪用されるコマンド例（ntdsutilによるIFM作成）
攻撃者は以下のコマンドで、使用中のADデータベースをスナップショットとして切り出します。
# 悪用例: インストールメディア作成機能(IFM)を悪用した窃取 ntdsutil "ac i ntds" "ifm" "create full c:\temp\shadow" q q
2. 安全な代替案（防御側：高度な監査ポリシーの設定）
「ツールの実行を止める」のが難しいDCにおいて、不審な挙動を即座に検知する設定を投入します。
# 推奨設定: PowerShellによる監査ポリシーの強化 (監査ログの有効化) # NTDSUTIL等のプロセス作成を詳細に記録する Set-ItemProperty -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\Policies\System\Audit" -Name "ProcessCreationIncludeCmdLine_Output" -Value 1 # 監視すべき重要なイベントID # Event ID 4799: セキュリティ対応のローカルグループが列挙された (偵察) # Event ID 4688: 新しいプロセスの作成 (ntdsutil.exe / vssadmin.exe + 引数) # Event ID 8222: ボリュームシャドウコピーサービスの操作
【検出と緩和策】
EDR/SIEMでの検知ポイント:
ntdsutil.exeまたはvssadmin.exeがcreateやmount引数を伴って実行された場合のアラート設定。ドメインコントローラにおける「SYSTEM権限以外」または「特定の管理者以外」による特定バイナリの実行。
応急的な緩和策（Workaround）:
Tierモデルの導入: ドメイン管理者が一般端末にログインすることを厳格に禁止し、認証情報の窃取を防ぐ。
ディレクトリへのACL制限:
C:\Windows\NTDSフォルダへのアクセス監視を強化する。
【実務上の落とし穴】
誤検知（False Positive）のリスク: バックアップソフトや公式のパッチ適用時に
vssadminやntdsutilが実行されることがあります。これらを一律に禁止すると、システムのバックアップやリカバリが失敗し、可用性に重大な影響を及ぼします。対策: 「正規のバックアップ実行アカウント」と「ソースIP」をホワイトリスト化し、それ以外からの実行を「異常」としてスコアリングする運用が必要です。
【まとめ】
組織として今すぐ確認・実施すべき3つの優先事項：
DCの監査ログ強化: プロセス実行引数（CommandLine）の記録を有効化し、SIEMへ転送する。
RMMツールの棚卸し: 外部からDCへアクセス可能な管理ツール（ScreenConnect, AnyDesk等）の脆弱性と多要素認証（MFA）設定を再点検する。
権限の分離（Tiering）: ドメイン管理権限を「DC専用」に限定し、日常業務端末での利用を完全に遮断する。
参考文献:
コメント