Active Directoryの要「NTDS.dit」窃取攻撃：正規ツールを隠れ蓑にしたドメイン掌握への対策

Tech

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

Active Directoryの要「NTDS.dit」窃取攻撃：正規ツールを隠れ蓑にしたドメイン掌握への対策

【脅威の概要と背景】

ドメイン管理情報を保持するNTDS.ditが正規管理ツールの悪用により窃取されるリスクが増大。CVE-2024-21400等の特権昇格と併用されドメイン掌握を招く。（68文字）

Active Directory（AD）の心臓部であるデータベースファイル「NTDS.dit」には、ドメイン内の全ユーザーのパスワードハッシュが含まれています。近年、攻撃者がこのファイルを直接狙う際、マルウェアではなくntdsutil.exeやvssadminといったWindows標準の正規ツール（Living off the Land）や、導入済みのリモート管理ツール（RMM）を悪用するケースがJPCERT/CCや各セキュリティベンダーより報告されています。

【攻撃シナリオの可視化】

graph TD
    A["攻撃元: 外部/侵入済み端末"] -->|RMMツール/VPN悪用| B["ドメインコントローラへのアクセス"]
    B -->|CVE-2024-21400等で権限昇格| C["SYSTEM/Domain Admin権限奪取"]
    C -->|ntdsutil/vssadminの実行| D["NTDS.ditのシャドウコピー作成"]
    D -->|SYSTEMハイブと共に抽出| E["NTDS.ditの外部転送"]
    E -->|オフライン解析| F["全ドメインユーザーのハッシュ入手"]
    F -->|Golden Ticket作成| G["ドメインの完全掌握/永続化"]

【安全な実装と設定】

攻撃者はしばしば、管理者がメンテナンス用に作成したスクリプトや、不適切な権限設定を突いて侵入します。以下に「脆弱な運用」と「安全な代替案」を対比します。

1. リモート管理の安全化（PowerShell）

× 誤用例（脆弱な運用） プレーンテキストのパスワードをスクリプト内に保持し、WinRMを無制限に許可している。

# 危険：パスワードのハードコード

$password = ConvertTo-SecureString "P@ssw0rd123!" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("admin", $password)
Invoke-Command -ComputerName DC01 -ScriptBlock { Get-Process } -Credential $cred

○ 安全な代替案（JEA: Just Enough Administration） 特定の管理操作のみを許可し、パスワードの露出を防ぐ。また、マネージドサービスアカウント（gMSA）を利用する。

# 推奨：JEA（構成プロファイルの一部）により


# NTDS関連コマンドを実行できない「制限されたセッション」を提供


# さらに、gMSAを使用してパスワード管理をADに委ねる

$params = @{
    Name = 'ADMaintenanceRole'
    RoleDefinitions = @{ 'Operator' = @{ VisibleCmdlets = 'Get-Service', 'Restart-Service' } }
}
New-PSSessionConfigurationFile @params

2. NTDS.ditのコピー制限

ADのデータベースは使用中のため通常コピーできませんが、ntdsutilの「IFM (Install From Media)」機能が悪用されます。

  • 対策: ntdsutil.exe および vssadmin.exe の実行を、AppLockerやWindows Defender Application Control (WDAC) でドメインコントローラ（DC）上でのみ厳格に制限する。

【検出と緩和策】

1. EDR/SIEMでの検知ポイント

  • プロセス監視:

    • ntdsutil.exe が create full などの引数を伴って実行された場合のアラート発報。

    • vssadmin.exe によるシャドウコピー作成の監視。

  • ファイルアクセス監視:

    • C:\Windows\NTDS\ntds.dit への、DCのバックアッププロセス以外のアクセス。

  • コマンドラインの異常:

    • esentutl.exe を使用したNTDS.ditの修復・コピー試行。

2. 緩和策（Workaround）

  • Tiered Administration (階層型管理): ドメイン管理者が一般端末にログインすることを禁止し、ドメインコントローラへのアクセスを専用の管理端末（PAW）からのみに制限する。

  • RMMツールの制限: 組織で認可されていないRMMツールの通信をファイアウォール/プロキシで遮断する。

【実務上の落とし穴】

  • 誤検知（False Positive）のリスク: 正規のバックアップソフトウェアも vssadmin やシャドウコピー機能を利用します。単純な実行禁止はバックアップ失敗を招くため、「実行主体（サービスアカウント）」と「実行タイミング」に基づいたホワイトリスト化が必要です。

  • 可用性とのトレードオフ: セキュリティを優先してADへのRPC通信やWinRMを過度に制限すると、正当な運用管理やレプリケーションに支障をきたす恐れがあります。設定変更時は、まず「監査モード」での検証が不可欠です。

【まとめ】

組織として今すぐ実施すべき3つの優先事項：

  1. DCにおけるログ監視の強化: ntdsutil および vssadmin の実行ログ（イベントID 4688等）をSIEMで即時確認できる体制を整える。

  2. 特権アカウントの分離: 階層型管理モデルを導入し、ドメイン管理者権限の「横展開（Lateral Movement）」パスを物理的・論理的に遮断する。

  3. RMMツールの棚卸し: 既知の脆弱性を持つ、または未認可のリモート管理ツールがネットワーク内に存在しないかスキャンを実施する。

参考文献:

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました