Active Directoryの要「NTDS.dit」窃取の脅威：正規ツール悪用によるドメイン掌握の防衛

Tech

[STATUS: PRODUCTION_READY] [AUTHOR: SENIOR_SECURITY_ENGINEER_AI] [RESEARCH_SOURCES: JPCERT/CC, MICROSOFT_SECURITY_ADVISORY, MITRE_ATT&CK] [PRIORITY: CRITICAL]

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

Active Directoryの要「NTDS.dit」窃取の脅威：正規ツール悪用によるドメイン掌握の防衛

【脅威の概要と背景】

正規のリモート管理ツール（RMM）や標準コマンドを悪用し、ADの認証基盤NTDS.ditを標的にする攻撃が急増中。

Active Directory（AD）環境において、全ユーザーのパスワードハッシュが格納されている「NTDS.dit」は攻撃者の最終目標の一つです。近年の動向では、専用のマルウェアではなく、AnyDeskやScreenConnectといった正規のリモート管理ツール（RMM）を侵入の足がかりとし、ntdsutil.exe などの標準機能を悪用してデータベースを複製する「Living off the Land（環境寄生型）」攻撃が顕著になっています。

【攻撃シナリオの可視化】

graph TD
    A["攻撃者: RMMツールの悪用"] -->|初期侵入・持続性確保| B["ドメインコントローラへの横展開"]
    B -->|特権昇格| C["管理者権限の奪取"]
    C -->|VSS("ボリュームシャドウコピー")利用| D["NTDS.dit / SYSTEMレジストリの複製"]
    D -->|正規ツール: ntdsutil / vssadmin| E["認証情報のローカル抽出"]
    E -->|外部転送| F["オフラインでのパスワード解析・DCSync攻撃"]
    F -->|ドメイン全体の完全掌握| G["全リソースへのアクセス"]

【安全な実装と設定】

攻撃者は ntdsutil.exe や vssadmin.exe を使用して、稼働中のADデータベースをロックを回避してコピーします。これに対し、従来の「管理者権限を渡さない」という対策だけでは、一度侵害された特権アカウントの悪用を防げません。

1. 管理コマンドの実行制限（AppLocker/WDAC）

一般ユーザーや不要なサーバーでの ntdsutil 実行を禁止します。

誤用（脆弱な状態）: 全ドメイン管理者が、どのサーバーからでもAD管理ツールを自由に実行できる。

安全な代替案（AppLockerポリシー例）: ドメインコントローラ（DC）以外での ntdsutil.exe 等の実行を制限し、実行時は特定の管理端末（PAW）からのみ許可する。

2. 特権アクセスの分離（Tiered Administration）

AD管理の設計を「階層化（Tier 0/1/2）」し、ドメイン管理者の認証情報が下位層（一般PC等）に露出しないようにします。

# [防御策] ドメインコントローラにおけるVSS操作の監視強化設定


# 監査ポリシーを有効化し、オブジェクトへのアクセスをログに記録

Auditpol /set /subcategory:"その他のオブジェクト アクセス イベント" /success:enable /failure:enable

【検出と緩和策】

EDR/SIEMでの検知ポイント

  • プロセス監視: ntdsutil.exe が create full などの引数を伴って実行された場合、即座にアラートを上げる。

  • コマンドライン: vssadmin create shadow /for=C: や esentutl.exe /y /vss などのシャドウコピー操作を監視。

  • イベントID:

    • ID 4768 / 4769: 異常な時間帯や端末からのKerberosチケット要求。

    • ID 4662: Active Directoryオブジェクトへの「ディレクトリ複製（DCSync）」権限の行使。

応急的な緩和策

  • RMMツールの棚卸し: 組織で認可されていないリモート管理ツールの通信をファイアウォール/EDRで遮断する。

  • 管理者パスワードの変更: 侵害の疑いがある場合、krbtgt アカウントのパスワードを2回変更（伝搬時間を考慮）し、既存のゴールデンチケットを無効化する。

【実務上の落とし穴】

  • 誤検知（False Positive）のリスク: 正規のバックアップソフトも VSS や ntdsutil に類似した動作を行うため、単純なコマンド遮断はバックアップ失敗を招きます。バックアップ専用アカウントのホワイトリスト化が必要です。

  • 可用性のトレードオフ: セキュリティを強化しすぎてドメイン管理者が操作不能になると、障害復旧が遅延します。緊急用の「Break Glass Account（緊急用アカウント）」をオフラインで物理的に保護しておくことが重要です。

【まとめ】

組織として今すぐ確認・実施すべき3つの優先事項：

  1. 可視化: 自社環境で ntdsutil や vssadmin が過去30日間に誰によって実行されたか、ログを確認する。

  2. 隔離: ドメインコントローラへのログインを、専用の管理端末（PAW）からのみに制限する。

  3. 封じ込め: 未認可のリモート管理ツールの実行をEDRでブロックし、不審な通信が発生した際の隔離フローを整備する。

参考文献:

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました