ADドメインの崩壊を招く「NTDS.dit」の窃取：正規管理ツールを悪用した高度な攻撃手法と防御策

Tech

role: CSIRT / Senior Security Engineer language: Japanese tone: Professional, Technical, Objective metadata: research_sources: [NVD, JPCERT/CC, MITRE ATT&CK, Microsoft Security Blog] threat_focus: NTDS.dit Exfiltration (T1003.003) attack_vector: Legitimate Remote Management Tools / LotL

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

ADドメインの崩壊を招く「NTDS.dit」の窃取：正規管理ツールを悪用した高度な攻撃手法と防御策

【脅威の概要と背景】

正規のRMMツールやntdsutilを悪用し、ADの全認証情報を含むNTDS.ditを窃取する手法。特定のCVE番号に依存せず、管理権限の奪取後に実行される深刻なポストエクスプロイト（T1003.003）です。

【攻撃シナリオの可視化】

攻撃者は初期侵入後、正規のリモート管理ツール（RMM）やPowerShellを用いてドメインコントローラー（DC）上でボリューム・シャドウ・コピー（VSS）を作成し、ロックされたNTDS.ditを複製・持ち出します。

graph TD
    A["攻撃者"] -->|RMMツールの悪用 / 認証情報の窃取| B["ドメインコントローラーへのアクセス"]
    B -->|権限昇格 / 管理者権限| C["ntdsutil / vssadmin の実行"]
    C -->|ボリュームシャドウコピー作成| D["NTDS.dit & SYSTEMレジストリの抽出"]
    D -->|外部C2サーバーへ転送| E["オフラインでのパスワードクラック"]
    E -->|全ドメインユーザーのパスワード取得| F["ドメイン完全掌握 / 永続化"]

【安全な実装と設定】

NTDS.ditの窃取を防ぐには、DC上での特権コマンド実行を制限し、正規ツール（ntdsutil等）の挙動を監視する必要があります。

1. 脆弱な運用（攻撃者が悪用しやすい環境）

DC上でローカル管理者権限を持つユーザーが多すぎる、またはRMMツールがDCで常時動作している状態です。

# 攻撃者が実行する例（正規ツールを悪用した抽出）


# 検出が不十分な環境では、これだけで全ハッシュが盗まれる

ntdsutil "ac i ntds" "ifm" "create full c:\temp" q q

2. 安全な代替案（防御強化の構成）

ADの階層管理（Tiered Administration）を導入し、DCへのアクセスを厳格に制限します。また、AppLockerやWindows Defender Application Control (WDAC) でDC上の実行可能ファイルを制限します。

# 対策：特権アクセス管理の強化（PowerShell JEAの活用例）


# 必要な操作（バックアップ等）のみを許可し、ntdsutilの自由な実行を制限する役割定義

New-PSSessionConfigurationFile -Path ".\DCAdminConfig.pssc" -SessionType RestrictedRemoteServer -RoleDefinitions @{
    'DomainAdmins' = @{ VisibleCmdlets = 'Get-Service', 'Start-Service' } # ntdsutilを許可しない
}

具体的な保護策：

  • Tier 0 モデルの徹底：DCを管理するのは、専用の特権管理端末（PAW）からのみに限定する。

  • VSS操作の監視：vssadmin や ntdsutil によるスナップショット作成をSIEMで即時アラート化する。

  • リモートツールの制限：DCにAnyDeskやTeamViewer、ScreenConnect等の汎用RMMツールをインストールしない。

【検出と緩和策】

EDR/SIEMでの検知ポイント

  • イベントID 4662 (Active Directory オブジェクトへのアクセス)：特にレプリケーション特権（DS-Replication-Get-Changes-All）の行使を監視。

  • コマンドライン引数の監視：ntdsutil, vssadmin, esentutl, diskshadow の実行、および “IFM” (Install From Media) オプションの使用を検知。

  • プロセスの親子関係：RMMツールのプロセスから cmd.exe や powershell.exe が起動され、VSS操作を行っている場合は異常と判断。

緩和策 (Workaround)

  • Active Directory Recycle Binの有効化：属性変更の追跡を容易にする。

  • 「保護されたユーザー (Protected Users)」グループの活用：NTLMハッシュのキャッシュを防止し、パス・ザ・ハッシュ攻撃を困難にする。

【実務上の落とし穴】

  • 誤検知（False Positive）のリスク：正規のバックアップソフトがVSSを使用するため、単純な「VSS作成検知」では運用が麻痺する可能性があります。バックアップソフト固有のサービスアカウントや、既定の実行スケジュール以外での実行を識別するロジックが必要です。

  • 可用性とのトレードオフ：DCのセキュリティを固めすぎると、障害発生時の復旧作業（リストア）が困難になる恐れがあります。ブレイク・グラス・アカウント（緊急時用アカウント）の運用ルールを事前に策定しておくことが不可欠です。

【まとめ】

組織として今すぐ確認・実施すべき3つの優先事項：

  1. DCからのRMMツール削除：ドメインコントローラー上で動作している不要なリモート管理ツールを即座に特定し、アンインストールする。

  2. 監査ログの強化：イベントID 4662および4688（コマンドライン引数含む）をSIEMに集約し、ntdsutil 等の異常な使用を監視する。

  3. 特権階層モデルの導入：ドメイン管理者権限をDC以外（一般端末やサーバー）で絶対に使用しない運用を徹底する。

参考文献：

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました