Active Directoryの心臓部『NTDS.dit』を狙うRMM悪用攻撃：検知回避の手法と実践的防御策

【脅威の概要と背景】

正規のRMM（リモート監視・管理）ツールを悪用し、VSS経由でNTDS.ditを窃取する攻撃が急増。特定のCVEではなく、管理権限奪取後のOS機能悪用（MITRE T1003.003）として警戒が必要。

【攻撃シナリオの可視化】

攻撃者は初期潜入後、正規の管理ツール（NinjaOne, ScreenConnect, AnyDesk等）やWindows標準機能を「隠れ蓑」として利用します。

graph TD
    A["攻撃元: 外部C2"] -->|正規RMMツールの悪用| B("ドメインコントローラへの接続")
    B -->|特権昇格/権限維持| C{"VSSの作成"}
    C -->|ntdsutil / vssadmin| D["NTDS.ditのコピー"]
    C -->|reg save| E["SYSTEMレジストリの抽出"]
    D & E -->|RMM経由で外部転送| F["オフラインでのパスワードクラック"]
    F -->|ドメイン管理者権限奪取| G["完全なドメイン掌握"]

【安全な実装と設定】

NTDS.ditへのアクセス自体を禁止することはできませんが、その「プロセス」と「実行環境」を厳格化することが唯一の防衛策です。

1. 不適切な運用と安全な代替案（PowerShell例）

× 誤用例：全ドメイン管理者への広範な権限付与 ドメインコントローラ（DC）上で、誰でも（特権があれば）対話的にバックアップ操作やスクリプト実行が可能な状態。

○ 安全な代替案：JEA (Just Enough Administration) による制限 特定の管理操作（VSS作成等）のみを許可するエンドポイントを作成し、直接的なShellアクセスを制限します。

# Role Capabilityの定義 (VSS操作のみを許可)

New-PSRoleCapabilityFile -Path ".\VSSBackup.psrc" -VisibleCmdlets @(
    'vssadmin', 'Get-Service', 'Set-Service'
)

# セッション構成の登録

Register-PSSessionConfiguration -Name "DC_Backup_Only" -RoleDefinitions @{
    'CONTOSO\BackupAdmins' = @{ RoleCapabilities = 'VSSBackup' }
}

2. 鍵管理と権限の保護

• Tier 0 モデルの徹底: DC（Tier 0）にログインできるアカウントを、他の一般端末（Tier 1/2）にログインさせない。これにより、一般端末からの資格情報窃取によるDCへの横展開を防ぎます。

• RMMツールのアクセス制限: DCにインストールされたRMMエージェントに対しては、MFAの強制だけでなく、接続可能なソースIPの制限（ホワイトリスト化）を必須とします。

【検出と緩和策】

検知ポイント（SIEM/EDR）

1. プロセスの親子関係: sqlservr.exe や services.exe ではなく、RMMツールのプロセスから ntdsutil.exe や vssadmin.exe が起動された場合にアラートを発報。

2. コマンドライン引数:

   • ntdsutil "ac i ntds" "ifm" ...

   • vssadmin create shadow /for=C:

3. イベントログ（Event ID）:

   • 4799: セキュリティが有効なローカルグループの列挙（偵察行為）。

   • 7045: 新しいサービスのインストール（RMMの永続化ツール）。

緩和策（Workaround）

• バイナリの実行制限 (AppLocker/WDAC): DC上での ntdsutil.exe や vssadmin.exe の実行を、特定のバックアップユーザー以外に対してブロックする。

• ハニーファイル（Canary Objects）: NTDS.ditのダンプを試みる際に触れるような偽のディレクトリやアカウントを作成し、そのアクセスを監視する。

【実務上の落とし穴】

• 正規バックアップとの誤検知（FP）: VeeamやArcserveなどのバックアップソフトもVSSを利用します。これらの「正規のサービスアカウント」と「攻撃者のRMMプロセス」を区別するホワイトリスト管理が煩雑になり、運用を圧迫するリスクがあります。

• 可用性のトレードオフ: RMMツールを完全に遮断すると、トラブルシューティング時のMTTR（平均復旧時間）が悪化します。利便性とセキュリティのバランスとして、「DCへのRMM接続時のみ管理者に通知・承認を求めるワークフロー」の検討が必要です。

【まとめ：今すぐ実施すべき3項目】

1. DCにおける「コマンドライン監査」の有効化: vssadmin や ntdsutil の実行ログが詳細に残るよう、グループポリシーで設定を強化する。

2. Tier 0 管理端末の分離: DCを管理する端末は、インターネット閲覧やメール利用を禁止した専用の「PAW (Privileged Access Workstation)」に限定する。

3. RMMツールの権限再点検: DCに導入されているRMMエージェントの権限を最小化し、不要なリモートシェル機能を無効化する。

参考文献：

• JPCERT/CC: 侵入型ランサムウェア攻撃の分析報告書

• CrowdStrike: Protecting Against NTDS.dit Exfiltration

• Microsoft: Securing Privileged Access (Tier Model)