[STATUS: PRODUCTION_READY] [AUTHOR: SENIOR_SECURITY_ENGINEER_AI] [RESEARCH_SOURCES: JPCERT/CC, MICROSOFT_SECURITY_ADVISORY, MITRE_ATT&CK] [PRIORITY: CRITICAL]
本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
Active Directoryの要「NTDS.dit」窃取の脅威：正規ツール悪用によるドメイン掌握の防衛
【脅威の概要と背景】
正規のリモート管理ツール（RMM）や標準コマンドを悪用し、ADの認証基盤NTDS.ditを標的にする攻撃が急増中。
Active Directory（AD）環境において、全ユーザーのパスワードハッシュが格納されている「NTDS.dit」は攻撃者の最終目標の一つです。近年の動向では、専用のマルウェアではなく、AnyDeskやScreenConnectといった正規のリモート管理ツール（RMM）を侵入の足がかりとし、ntdsutil.exe などの標準機能を悪用してデータベースを複製する「Living off the Land（環境寄生型）」攻撃が顕著になっています。
【攻撃シナリオの可視化】
graph TD
A["攻撃者: RMMツールの悪用"] -->|"初期侵入・持続性確保"| B["ドメインコントローラへの横展開"]
B -->|"特権昇格"| C["管理者権限の奪取"]
C -->|"VSS(#quot;ボリュームシャドウコピー#quot;)利用"| D["NTDS.dit / SYSTEMレジストリの複製"]
D -->|"正規ツール: ntdsutil / vssadmin"| E["認証情報のローカル抽出"]
E -->|"外部転送"| F["オフラインでのパスワード解析・DCSync攻撃"]
F -->|"ドメイン全体の完全掌握"| G["全リソースへのアクセス"]【安全な実装と設定】
攻撃者は ntdsutil.exe や vssadmin.exe を使用して、稼働中のADデータベースをロックを回避してコピーします。これに対し、従来の「管理者権限を渡さない」という対策だけでは、一度侵害された特権アカウントの悪用を防げません。
1. 管理コマンドの実行制限（AppLocker/WDAC）
一般ユーザーや不要なサーバーでの ntdsutil 実行を禁止します。
誤用（脆弱な状態）: 全ドメイン管理者が、どのサーバーからでもAD管理ツールを自由に実行できる。
安全な代替案（AppLockerポリシー例）:
ドメインコントローラ（DC）以外での ntdsutil.exe 等の実行を制限し、実行時は特定の管理端末（PAW）からのみ許可する。
2. 特権アクセスの分離（Tiered Administration）
AD管理の設計を「階層化（Tier 0/1/2）」し、ドメイン管理者の認証情報が下位層（一般PC等）に露出しないようにします。
# [防御策] ドメインコントローラにおけるVSS操作の監視強化設定 # 監査ポリシーを有効化し、オブジェクトへのアクセスをログに記録 Auditpol /set /subcategory:"その他のオブジェクト アクセス イベント" /success:enable /failure:enable
【検出と緩和策】
EDR/SIEMでの検知ポイント
プロセス監視:
ntdsutil.exeがcreate fullなどの引数を伴って実行された場合、即座にアラートを上げる。コマンドライン:
vssadmin create shadow /for=C:やesentutl.exe /y /vssなどのシャドウコピー操作を監視。イベントID:
ID 4768 / 4769: 異常な時間帯や端末からのKerberosチケット要求。
ID 4662: Active Directoryオブジェクトへの「ディレクトリ複製（DCSync）」権限の行使。
応急的な緩和策
RMMツールの棚卸し: 組織で認可されていないリモート管理ツールの通信をファイアウォール/EDRで遮断する。
管理者パスワードの変更: 侵害の疑いがある場合、
krbtgtアカウントのパスワードを2回変更（伝搬時間を考慮）し、既存のゴールデンチケットを無効化する。
【実務上の落とし穴】
誤検知（False Positive）のリスク: 正規のバックアップソフトも
VSSやntdsutilに類似した動作を行うため、単純なコマンド遮断はバックアップ失敗を招きます。バックアップ専用アカウントのホワイトリスト化が必要です。可用性のトレードオフ: セキュリティを強化しすぎてドメイン管理者が操作不能になると、障害復旧が遅延します。緊急用の「Break Glass Account（緊急用アカウント）」をオフラインで物理的に保護しておくことが重要です。
【まとめ】
組織として今すぐ確認・実施すべき3つの優先事項：
可視化: 自社環境で
ntdsutilやvssadminが過去30日間に誰によって実行されたか、ログを確認する。隔離: ドメインコントローラへのログインを、専用の管理端末（PAW）からのみに制限する。
封じ込め: 未認可のリモート管理ツールの実行をEDRでブロックし、不審な通信が発生した際の隔離フローを整備する。
参考文献:
JPCERT/CC: Windows OSの標準機能を悪用した攻撃への対応
Microsoft: Securing Privileged Access
NIST SP 800-207: Zero Trust Architecture
