[実務ガイド] ADの心臓部「NTDS.dit」を狙う正規ツール悪用攻撃への対策

Tech

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

[実務ガイド] ADの心臓部「NTDS.dit」を狙う正規ツール悪用攻撃への対策

【脅威の概要と背景】

正規のWindows管理ツールやRMM（リモート監視管理）を悪用し、ADの全認証情報を含む「NTDS.dit」を窃取する攻撃が拡大。ドメイン掌握に直結する。

【攻撃シナリオの可視化】

攻撃者は、脆弱性を突いて侵入した後にADドメインコントローラ（DC）上で、本来バックアップ等に利用される正規ツール（ntdsutil, vssadmin等）を悪用し、使用中のNTDS.ditファイルをコピー・窃取します。

graph TD
    A["攻撃元: 外部/侵入済み端末"] -->|RMM/脆弱性悪用| B["ドメインコントローラへ侵入"]
    B -->|権限昇格| C["SYSTEM権限取得"]
    C -->|VSSAdmin/DiskShadow| D["ボリュームシャドウコピー作成"]
    D -->|ntdsutil/コピー| E["NTDS.dit & SYSTEMレジストリ抽出"]
    E -->|正規通信/RMM| F["攻撃者端末へ持ち出し"]
    F -->|オフライン解析| G["全ユーザーのハッシュ奪取・ドメイン掌握"]

【安全な実装と設定】

NTDS.ditの窃取を防ぐには、ツールの実行制限と「Tiered Administration（階層化管理）」の徹底が不可欠です。

1. 誤用例：特権の乱用を許す設定

AD管理において、ドメイン管理者（Domain Admins）が日常的な作業（メール閲覧やWeb閲覧）を行う端末にログインしている状態。

# 脆弱な運用例：一般端末からDCへ管理者権限で常時接続可能


# 攻撃者はこのセッションを乗っ取り、DC上で以下を実行する

ntdsutil "ac i ntds" "ifm" "create full c:\temp" quit quit

2. 安全な代替案：実行制限とPAW（特権アクセス専用端末）の導入

DC上での特定コマンド実行をEDR等で制限し、DCへのアクセスは厳格に管理されたPAWからのみ許可します。

PowerShellによる不審なプロセス監視例：

# NTDS.ditの抽出を試みる典型的なコマンドライン引数を検知するロジック（概念）

$TargetProcesses = @("ntdsutil", "vssadmin", "diskshadow", "esentutl")
$SuspiciousArgs = @("create", "shadow", "ifm", "extract")

Get-WinEvent -LogName "Microsoft-Windows-Sysmon/Operational" | Where-Object {
    $_.Id -eq 1 -and ($TargetProcesses -contains $_.Properties[3].Value)
} | ForEach-Object {

    # 実行引数に特定のキーワードが含まれるかチェック

    if ($_.Properties[4].Value -match ($SuspiciousArgs -join "|")) {
        Write-Warning "Critical: Suspicious NTDS.dit extraction activity detected!"
    }
}

【検出と緩和策】

  • EDR/SIEMでの検知ポイント:

    • Event ID 4799: セキュリティ対応のローカルグループ メンバーシップが読み取られた（ntdsutil等による列挙）。

    • Event ID 7045: サービスがインストールされた（不審なRMMツールの導入）。

    • コマンドライン監視: ntdsutil, vssadmin create shadow, diskshadow の実行。

  • 応急的な緩和策:

    • DC上での不要なRMMツール、サードパーティ製管理ツールのアンインストール。

    • DCからインターネットへの直接通信をプロキシ等で遮断（Exfiltrationの阻止）。

【実務上の落とし穴】

  • 誤検知（False Positive）: 正規のバックアップソフトウェアもVSS（Volume Shadow Copy Service）を利用します。バックアップ実行スケジュールと検知アラートを照合する仕組みがないと、運用負荷が激増します。

  • 可用性のトレードオフ: DCのセキュリティを強化しすぎ（例：すべての管理ツール実行禁止）、障害発生時の迅速な復旧（NTDSの修復等）が遅れるリスクを考慮し、ブレイクグラス（緊急用）アカウントと手順を別途定義しておく必要があります。

【まとめ】

組織として今すぐ確認・実施すべき3つの優先事項：

  1. DCへのログイン制限: ドメイン管理者権限を日常業務から分離し、DCへのRDP/管理アクセスを特定端末（PAW）に限定する。

  2. 不審なコマンド実行の監視: EDRまたはSysmonを用いて、DC上での ntdsutil や vssadmin の実行を即時アラート化する。

  3. ADバックアップの保護: NTDS.ditの正規バックアップデータ自体が攻撃者に狙われないよう、保存先（クラウドストレージやバックアップサーバー）のアクセス権を厳格化する。

参考文献:

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました