本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
[実務ガイド] ADの心臓部「NTDS.dit」を狙う正規ツール悪用攻撃への対策
【脅威の概要と背景】
正規のWindows管理ツールやRMM（リモート監視管理）を悪用し、ADの全認証情報を含む「NTDS.dit」を窃取する攻撃が拡大。ドメイン掌握に直結する。
【攻撃シナリオの可視化】
攻撃者は、脆弱性を突いて侵入した後にADドメインコントローラ（DC）上で、本来バックアップ等に利用される正規ツール（ntdsutil, vssadmin等）を悪用し、使用中のNTDS.ditファイルをコピー・窃取します。
graph TD
A["攻撃元: 外部/侵入済み端末"] -->|RMM/脆弱性悪用| B["ドメインコントローラへ侵入"]
B -->|権限昇格| C["SYSTEM権限取得"]
C -->|VSSAdmin/DiskShadow| D["ボリュームシャドウコピー作成"]
D -->|ntdsutil/コピー| E["NTDS.dit & SYSTEMレジストリ抽出"]
E -->|正規通信/RMM| F["攻撃者端末へ持ち出し"]
F -->|オフライン解析| G["全ユーザーのハッシュ奪取・ドメイン掌握"]
【安全な実装と設定】
NTDS.ditの窃取を防ぐには、ツールの実行制限と「Tiered Administration（階層化管理）」の徹底が不可欠です。
1. 誤用例：特権の乱用を許す設定
AD管理において、ドメイン管理者（Domain Admins）が日常的な作業（メール閲覧やWeb閲覧）を行う端末にログインしている状態。
# 脆弱な運用例：一般端末からDCへ管理者権限で常時接続可能 # 攻撃者はこのセッションを乗っ取り、DC上で以下を実行する ntdsutil "ac i ntds" "ifm" "create full c:\temp" quit quit
2. 安全な代替案：実行制限とPAW（特権アクセス専用端末）の導入
DC上での特定コマンド実行をEDR等で制限し、DCへのアクセスは厳格に管理されたPAWからのみ許可します。
PowerShellによる不審なプロセス監視例：
# NTDS.ditの抽出を試みる典型的なコマンドライン引数を検知するロジック（概念）
$TargetProcesses = @("ntdsutil", "vssadmin", "diskshadow", "esentutl")
$SuspiciousArgs = @("create", "shadow", "ifm", "extract")
Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" | Where-Object {
$_.Id -eq 1 -and ($TargetProcesses -contains $_.Properties[3].Value)
} | ForEach-Object {
# 実行引数に特定のキーワードが含まれるかチェック
if ($_.Properties[4].Value -match ($SuspiciousArgs -join "|")) {
Write-Warning "Critical: Suspicious NTDS.dit extraction activity detected!"
}
}
【検出と緩和策】
EDR/SIEMでの検知ポイント:
Event ID 4799: セキュリティ対応のローカルグループ メンバーシップが読み取られた（ntdsutil等による列挙）。Event ID 7045: サービスがインストールされた（不審なRMMツールの導入）。コマンドライン監視:
ntdsutil,vssadmin create shadow,diskshadowの実行。
応急的な緩和策:
DC上での不要なRMMツール、サードパーティ製管理ツールのアンインストール。
DCからインターネットへの直接通信をプロキシ等で遮断（Exfiltrationの阻止）。
【実務上の落とし穴】
誤検知（False Positive）: 正規のバックアップソフトウェアもVSS（Volume Shadow Copy Service）を利用します。バックアップ実行スケジュールと検知アラートを照合する仕組みがないと、運用負荷が激増します。
可用性のトレードオフ: DCのセキュリティを強化しすぎ（例：すべての管理ツール実行禁止）、障害発生時の迅速な復旧（NTDSの修復等）が遅れるリスクを考慮し、ブレイクグラス（緊急用）アカウントと手順を別途定義しておく必要があります。
【まとめ】
組織として今すぐ確認・実施すべき3つの優先事項：
DCへのログイン制限: ドメイン管理者権限を日常業務から分離し、DCへのRDP/管理アクセスを特定端末（PAW）に限定する。
不審なコマンド実行の監視: EDRまたはSysmonを用いて、DC上での
ntdsutilやvssadminの実行を即時アラート化する。ADバックアップの保護: NTDS.ditの正規バックアップデータ自体が攻撃者に狙われないよう、保存先（クラウドストレージやバックアップサーバー）のアクセス権を厳格化する。
参考文献:
コメント