本記事はGeminiの出力をプロンプト工学で整理した業務ドラフト（未検証）です。
Active Directoryの要「NTDS.dit」窃取攻撃：正規ツールを隠れ蓑にしたドメイン掌握への対策
【脅威の概要と背景】
ドメイン管理情報を保持するNTDS.ditが正規管理ツールの悪用により窃取されるリスクが増大。CVE-2024-21400等の特権昇格と併用されドメイン掌握を招く。（68文字）
Active Directory（AD）の心臓部であるデータベースファイル「NTDS.dit」には、ドメイン内の全ユーザーのパスワードハッシュが含まれています。近年、攻撃者がこのファイルを直接狙う際、マルウェアではなくntdsutil.exeやvssadminといったWindows標準の正規ツール（Living off the Land）や、導入済みのリモート管理ツール（RMM）を悪用するケースがJPCERT/CCや各セキュリティベンダーより報告されています。
【攻撃シナリオの可視化】
graph TD
A["攻撃元: 外部/侵入済み端末"] -->|RMMツール/VPN悪用| B["ドメインコントローラへのアクセス"]
B -->|CVE-2024-21400等で権限昇格| C["SYSTEM/Domain Admin権限奪取"]
C -->|ntdsutil/vssadminの実行| D["NTDS.ditのシャドウコピー作成"]
D -->|SYSTEMハイブと共に抽出| E["NTDS.ditの外部転送"]
E -->|オフライン解析| F["全ドメインユーザーのハッシュ入手"]
F -->|Golden Ticket作成| G["ドメインの完全掌握/永続化"]
【安全な実装と設定】
攻撃者はしばしば、管理者がメンテナンス用に作成したスクリプトや、不適切な権限設定を突いて侵入します。以下に「脆弱な運用」と「安全な代替案」を対比します。
1. リモート管理の安全化（PowerShell）
× 誤用例（脆弱な運用） プレーンテキストのパスワードをスクリプト内に保持し、WinRMを無制限に許可している。
# 危険：パスワードのハードコード
$password = ConvertTo-SecureString "P@ssw0rd123!" -AsPlainText -Force
$cred = New-Object System.Management.Automation.PSCredential("admin", $password)
Invoke-Command -ComputerName DC01 -ScriptBlock { Get-Process } -Credential $cred
○ 安全な代替案（JEA: Just Enough Administration） 特定の管理操作のみを許可し、パスワードの露出を防ぐ。また、マネージドサービスアカウント（gMSA）を利用する。
# 推奨：JEA（構成プロファイルの一部）により
# NTDS関連コマンドを実行できない「制限されたセッション」を提供
# さらに、gMSAを使用してパスワード管理をADに委ねる
$params = @{
Name = 'ADMaintenanceRole'
RoleDefinitions = @{ 'Operator' = @{ VisibleCmdlets = 'Get-Service', 'Restart-Service' } }
}
New-PSSessionConfigurationFile @params
2. NTDS.ditのコピー制限
ADのデータベースは使用中のため通常コピーできませんが、ntdsutilの「IFM (Install From Media)」機能が悪用されます。
- 対策:
ntdsutil.exeおよびvssadmin.exeの実行を、AppLockerやWindows Defender Application Control (WDAC) でドメインコントローラ（DC）上でのみ厳格に制限する。
【検出と緩和策】
1. EDR/SIEMでの検知ポイント
プロセス監視:
ntdsutil.exeがcreate fullなどの引数を伴って実行された場合のアラート発報。vssadmin.exeによるシャドウコピー作成の監視。
ファイルアクセス監視:
C:\Windows\NTDS\ntds.ditへの、DCのバックアッププロセス以外のアクセス。
コマンドラインの異常:
esentutl.exeを使用したNTDS.ditの修復・コピー試行。
2. 緩和策（Workaround）
Tiered Administration (階層型管理): ドメイン管理者が一般端末にログインすることを禁止し、ドメインコントローラへのアクセスを専用の管理端末（PAW）からのみに制限する。
RMMツールの制限: 組織で認可されていないRMMツールの通信をファイアウォール/プロキシで遮断する。
【実務上の落とし穴】
誤検知（False Positive）のリスク: 正規のバックアップソフトウェアも
vssadminやシャドウコピー機能を利用します。単純な実行禁止はバックアップ失敗を招くため、「実行主体（サービスアカウント）」と「実行タイミング」に基づいたホワイトリスト化が必要です。可用性とのトレードオフ: セキュリティを優先してADへのRPC通信やWinRMを過度に制限すると、正当な運用管理やレプリケーションに支障をきたす恐れがあります。設定変更時は、まず「監査モード」での検証が不可欠です。
【まとめ】
組織として今すぐ実施すべき3つの優先事項：
DCにおけるログ監視の強化:
ntdsutilおよびvssadminの実行ログ（イベントID 4688等）をSIEMで即時確認できる体制を整える。特権アカウントの分離: 階層型管理モデルを導入し、ドメイン管理者権限の「横展開（Lateral Movement）」パスを物理的・論理的に遮断する。
RMMツールの棚卸し: 既知の脆弱性を持つ、または未認可のリモート管理ツールがネットワーク内に存在しないかスキャンを実施する。
参考文献:
