NTDS.dit抽出によるドメイン制圧の脅威：正規ツール悪用への防御戦略

Tech

本報告書は、実務経験豊富なCSIRTおよびセキュリティエンジニアの視点から、Active Directory（AD）の機密情報が集約された「NTDS.dit」を標的とした攻撃手法とその防御策を詳述します。恐怖を煽る表現を排除し、攻撃の技術的メカニズムと具体的、かつ実務的な緩和策に焦点を当てます。構成は指示に従い、メタデータ、免責事項、H1見出しから順に展開します。

本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。

NTDS.dit抽出によるドメイン制圧の脅威：正規ツール悪用への防御戦略

【脅威の概要と背景】

攻撃者が正規のリモート管理ツール（RMM）や標準コマンドを悪用し、ADの全ハッシュ情報を保持する「NTDS.dit」を窃取する手法が再燃しています。特定の脆弱性（例：CVE-2024-38140等の認証不備）との組み合わせや、権限昇格後のLiving-off-the-Land（自給自足型）攻撃として実行され、数分でドメイン全体の資格情報が漏洩するリスクがあります。

【攻撃シナリオの可視化】

攻撃者は、侵入後にドメインコントローラ（DC）上でボリュームシャドウコピー（VSS）を作成し、ロックされたNTDS.ditを強引にコピーします。

graph TD
    A["初期侵入: RMM/VPN脆弱性"] --> B["権限昇格: ドメイン管理者権限奪取"]
    B --> C{"正規ツールの悪用"}
    C -->|ntdsutil / vssadmin| D["シャドウコピー作成"]
    D --> E["NTDS.dit & SYSTEMレジストリ抽出"]
    E -->|正規RMMで外部転送| F["オフライン・ハッシュ解析"]
    F --> G["ドメイン全体の掌握・永続化"]

【安全な実装と設定】

NTDS.ditの抽出には、通常「DC上でのローカル管理者以上の権限」が必要です。以下に、脆弱な運用と安全な代替案を対比します。

1. 権限分離の徹底（Tiered Administration）

  • 誤用例（脆弱）: ドメイン管理者が日常的に一般端末へログインし、資格情報がメモリ上に残存している。

  • 安全な代替案:

    • Tier 0 (DC専用) の管理者アカウントを、一般端末やインターネット接続環境から完全に分離する。

    • Protected Users セキュリティグループを活用し、NTLMハッシュのキャッシュを禁止する。

2. コマンド実行の制限と監視

攻撃者が多用する ntdsutil や vssadmin の実行を厳格に管理します。

# 誤用例: 誰でもVSSを操作できる状態 (デフォルトに近い)


# 攻撃者が実行する典型的なコード

ntdsutil "ac i ntds" "ifm" "create full c:\temp" quit

# 安全な対策案: 実行検知とアラート


# PowerShell Script Block Loggingを有効化し、SIEMへ転送


# 特定のキーワード (ntdsutil, vssadmin, "create full") を含む実行を即時検知

$DetectionKeywords = @("ntdsutil", "vssadmin", "shadowcopy", "create full")

# ※実際にはEDR/SIEMのシグネチャとして実装

【検出と緩和策】

  • EDR/SIEMでの検知ポイント:

    • Event ID 8222 (VSS): ボリュームシャドウコピーサービスの予期せぬ起動。

    • Event ID 4799: セキュリティ対応グループ（Administrators等）のメンバーシップ確認の頻発。

    • プロセス監視: ntdsutil.exe や vssadmin.exe が、バックアップスケジュール以外の時間に実行されていないか。

  • ネットワーク緩和策:

    • DCからインターネットへの直接通信を遮断し、許可されたRMMサーバー以外の外部接続を拒否する（Outbound Filtering）。

【実務上の落とし穴】

  • 誤検知（False Positive）: 正規のバックアップソフトウェアも vssadmin や VSS API を使用します。バックアップ実行スケジュールをホワイトリスト化していないと、毎日大量のアラートが発生し、運用が形骸化します。

  • 可用性のトレードオフ: RMMツールを完全に禁止すると、地理的に離れた拠点のDCメンテナンスが困難になります。「ツール自体の禁止」ではなく、「DC上での許可されたハッシュ値以外による実行禁止」や「MFA（多要素認証）の強制」で制御すべきです。

【まとめ】

組織として即座に確認すべき3つの優先事項：

  1. 特権アクセスの分離: ドメイン管理者アカウントで、DC以外のサーバーやPCにログインしていないか確認する。

  2. RMMツールの棚卸し: 組織で承認されていないリモートツール（AnyDesk, ScreenConnect等）がDC上で稼働していないかスキャンする。

  3. VSS操作の監視設定: ntdsutil 等によるシャドウコピー作成が行われた際、管理者にリアルタイム通知が飛ぶ設定になっているか確認する。

参考文献:

ライセンス：本記事のテキスト/コードは特記なき限り CC BY 4.0 です。引用の際は出典URL（本ページ）を明記してください。
利用ポリシー もご参照ください。

コメント

タイトルとURLをコピーしました