セキュリティ
ハッカーにとって、情報の入手はあまりにも容易でした
PWNED PWNEDへようこそ。本コラムは、脆弱なセキュリティポリシーとその回避策を毎週取り上げる連載です。他者の失敗から教訓を得ていただければ幸いですが、せめて反面教師として楽しんでいただければ十分です。
ネットワークに大きな穴を開けてしまった事例をご存知の方は、[email protected] までお知らせください。ご希望があれば匿名での掲載にも対応します。
今週は、Active Directoryに関するずさんなパスワード管理の事例をご紹介します。英国のセキュリティ企業Reliance Cyberでリアクティブコンサルティングサービス部門の責任者を務めるRob Anderson氏から寄せられた話です。
Andersonは以前、開発者が使用するサービスアカウントを作成していたある企業と仕事をした経験を振り返ります。その企業には認証情報を管理するための適切なパスワードボルトがなく、チームメンバーが必要な情報をすぐに見つけられるよう、Active Directoryの説明フィールドにパスワードを直接書き込んでいたのです。
「Active Directoryのユーザーアカウントさえあれば、ごく一般的なユーザーであっても、Active Directory全体のコメントフィールドや説明フィールドを読み取れることに、誰も気づいていないのです」とAndersonはThe Registerに語りました。「これは驚くべきセキュリティの失態です。」
程なくして、イニシャルアクセスブローカー（IAB）――保護されたネットワークへのアクセス権を取得し、他の脅威アクターに売却することを専門とする存在――がフィッシングキャンペーンを展開し、エンドポイントで攻撃的ハッキングツール「Sliver」を実行しました。これにより被害者の認証情報を入手し、Active Directoryへの照会に利用したのです。
ADへの侵入に成功したハッカーたちは、ドメイン全体へのアクセス権が紐づいた大量のパスワードを発見しました。このアクセス権を悪用してすべてのバックアップを削除し、ランサムウェアを実行。Hyper-VハイパーバイザーとそのホストをEncryptした結果、2000人以上のユーザーが業務を停止させられ、企業は数か月間にわたってオフラインを余儀なくされました。
この残念な事例から得られる教訓は明確です。広大な攻撃対象領域を生み出したくなければ、パスワードを平文で容易にアクセスできる場所に保存してはなりません。フィッシングがなかったとしても、信頼できない同僚が脅威アクターにパスワードを売却していた可能性も十分あります。実際、最近の調査では、労働者の8人に1人が会社のログイン情報の売却は正当化できると考えていることが明らかになっています。
「稼働中のアプリケーションサーバーに設定情報が保存されており、脅威アクターがファジング――ありそうなファイル名やディレクトリ名を次々と試す手法――を使うことで、設定情報や認証情報が露出するケースも目にしたことがあります」とAndersonは述べています。
近頃の開発者は認証情報の管理場所についてより意識が高まっているとAndersonは指摘しますが、セキュリティへの無頓着は取り返しのつかない結果をもたらします。誰も信用してはなりません。®
