Active Directoryの心臓部『NTDS.dit』を狙うRMM悪用攻撃：検知回避の手法と防御の要諦

Tech

{“style_prompt”: “CSIRT/セキュリティエンジニア向けの実務的かつ客観的な技術レポート。FUDを排し、具体的な検知ロジックと緩和策に焦点を当てる。Mermaidによる可視化と、攻撃・防御のコード対比を含むこと。参考文献は信頼できる公式ソースを優先する。”}

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

Active Directoryの心臓部『NTDS.dit』を狙うRMM悪用攻撃：検知回避の手法と防御の要諦

【脅威の概要と背景】 正規のリモート管理ツール（RMM）やOS標準機能を悪用し、ADの認証情報データベース「NTDS.dit」を窃取する攻撃が確認されています。特定のCVEに依存せず、VSS（ボリューム・シャドウ・コピー）等の正規機能を組み合わせることで、EDRの検知を回避しドメイン全体の認証情報掌握（Golden Ticket作成等）を狙うものです。

【攻撃シナリオの可視化】 攻撃者は、侵入済みの端末からドメインコントローラ（DC）へ横展開し、標準ツールを用いてデータベースを複製します。

graph TD
    A["攻撃者: 侵入済みの初期拠点"] -->|RDP/SMB等で横展開| B("ドメインコントローラ")
    B -->|正規RMMツールのインストール/悪用| C{"特権昇格・維持"}
    C -->|vssadmin / ntdsutil 等の実行| D["NTDS.dit のスナップショット作成"]
    D -->|SYSTEMレジストリと共にコピー| E["認証情報データベースの窃取"]
    E -->|オフライン解析| F["ドメイン管理者権限の完全掌握"]

【安全な実装と設定】 攻撃者は、ntdsutilやvssadminといった、バックアップ目的の正規ツールを悪用します。これらを無制限に実行可能な状態は極めて危険です。

1. 誤用例：無制限の特権実行

管理者権限を持つユーザーであれば誰でも、以下のコマンドでデータベースを外部へ持ち出し可能な形式で抽出できてしまいます。

# 脆弱な運用：特権ユーザーによる無制限な実行が可能


# 攻撃者が実行するコマンド例

ntdsutil "ac i ntds" "ifm" "create full c:\temp\ntds_dump" q q

2. 安全な代替案：JEA（Just Enough Administration）による制限

ドメインコントローラ上での直接操作を制限し、特定の管理タスクのみを許可する「最小権限」の原則を適用します。

# 推奨設定：JEA（Just Enough Administration）構成ファイルの例


# 必要なコマンド（例：AD管理用）のみを許可し、ntdsutil等をホワイトリストから除外する

New-PSRoleCapabilityFile -Path ".\ADMaintenance.psrc"
@{
    VisibleCmdlets = 'Get-ADUser', 'Set-ADUser' # 必要最小限のコマンドのみ許可

    # ntdsutil や vssadmin は含めない

}

3. 特権アクセスの保護策

  • Tiered Administration Model: ドメインコントローラ（Tier 0）を操作できる端末とユーザーを物理的・論理的に分離する。

  • 管理者用端末（PAW）の使用: インターネット接続が遮断された専用端末からのみAD管理を許可する。

【検出と緩和策】 攻撃者は「正規のツール」を使うため、ツールの存在自体ではなく「不審な挙動」をトリガーに検知する必要があります。

  • SIEM/EDRでの検知ロジック:

    • ntdsutil.exe または vssadmin.exe が、バックアップスケジュール以外の時間帯や、特定の管理者以外によって実行された。

    • イベントID 4799 (セキュリティ対応グループの列挙) と 4662 (Active Directoryオブジェクトへの操作) の短時間での連続発生。

    • esentutl.exe による ntds.dit へのアクセス。

  • 緩和策（Workaround）:

    • RMMツールの制限: 組織で許可されていないRMMツール（AnyDesk, TeamViewer等）のハッシュ値、証明書、通信ドメインをEDR/FWでブロックする。

    • VSS操作の監視: 一般ユーザーや不審なサービスによるシャドウコピー作成を監視する。

【実務上の落とし穴】

  • 誤検知（False Positive）: 正規のバックアップソフトウェア（Veeam, Arcserve等）もVSSやntdsutilと同様のメカニズムを使用します。バックアップ実行時間や実行バイナリのパスをホワイトリスト化しない場合、アラートが埋没するリスクがあります。

  • 可用性への影響: ADデータベースへのアクセス制限を厳しくしすぎると、正当なディレクトリ保守作業やDR（災害復旧）テストに支障をきたす恐れがあります。ポリシー変更時は、必ずステージング環境での検証が必要です。

【まとめ】 組織として今すぐ確認・実施すべき3つの優先事項：

  1. ツールの可視化: 自社のドメインコントローラにインストールされている、または実行可能なRMMツールとバックアップツールのリストアップ。

  2. 実行監視の強化: ntdsutil, vssadmin, esentutl の実行ログをSIEMに集約し、異常な引数（create full 等）を即時通知する設定の導入。

  3. 特権パスワードのローテーション: NTDS.ditが万が一窃取された場合に備え、KRBTGTアカウントのパスワードを定期的に（かつ2回連続で）リセットする運用の確立。

参考文献：

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました