CISAの最新のレッドチーム評価では、Active Directory、クラウドID、SOC(セキュリティオペレーションセンター)の運用プロセスにおけるありふれた不備が、フィッシングによる侵入の足がかりから組織全体の侵害へとどのようにエスカレートし得るかが示されています。
8月25日付の勧告では、2つの重要インフラ組織の事例が対比されています。一方は侵入をまったく検知できなかったのに対し、もう一方は初期侵入を迅速に封じ込めたものの、ID管理とクラウドセキュリティに重大な弱点を抱えていたことが明らかになりました。
ソーシャルセキュリティ保護
フィッシングからドメイン管理者権限へ
CISAは、政府サービス・施設分野の組織と上下水道システム分野の組織を対象に、実際の攻撃者を模した手法を用いた並行評価を実施しました。
いずれのケースでも、レッドチームはドメインの完全な侵害に成功し、機密性の高い業務システムへのアクセスを獲得しました。さらにMicrosoft Entra IDのクラウド環境にまで侵害範囲を拡大しています。
組織Aでは、デフォルトの認証情報が設定されたままのWebアプリケーションが評価の起点となりました。レッドチームはこのアプリケーションから入手できる内部のメールアドレスを使ってフィッシングメールを送信し、4台のワークステーションの侵害に成功しました。
これらのシステムから、攻撃側は静的なエンドポイント検知・対応(EDR)のシグネチャを回避するよう改変されたBloodHoundコレクターを実行し、ユーザー、コンピューター、グループ、アクセス制御リスト、組織単位、グループポリシーオブジェクトの情報を収集しました。
権限昇格を可能にしたのは、Active Directoryにおける2つの弱点でした。1つ目は、デフォルトのMachine Account Quota設定により、権限を持たないユーザーでもドメイン内にコンピューターアカウントを作成できてしまう点です。
2つ目は、複数のActive Directory Certificate Servicesのテンプレートに、ESC1と呼ばれる誤設定が存在していたことです。これにより、低権限のユーザーであっても他のユーザーやコンピューターに代わって証明書を要求できる状態になっていました。
レッドチームはコンピューターアカウントの作成とADCS証明書の悪用を連鎖させることで、ドメインID(アイデンティティ)を偽装し、横展開する経路を手に入れました。
権限昇格後、レッドチームはSCCM基盤を利用してユーザーとデバイスの紐付けを特定し、機密性の高い業務システムに関連するワークステーションを標的にしました。
あるシステム管理者のワークステーションに残っていた平文の認証情報から1つのデータベースへのアクセスが可能になったほか、復号されたSQL開発者用の設定ファイルからも別のデータベースの認証情報が判明しました。
さらにレッドチームは、ユーザーのホームディレクトリ内の設定ファイルに保存された静的なAWS IAMキーも発見しました。ローテーションや有効期限の管理が行われていなかったため、これらの認証情報は失効することなく使われ続けていました。
仮想デスクトップのアーキテクチャも、被害の拡大を助長しました。この組織は機密性の高い環境を仮想ホスト経由で分離していたものの、レッドチームはユーザーの仮想デスクトップと同期しているルートの分散ファイルシステム(DFS)ドライブを侵害しました。
これにより、アクティブなユーザーセッションを必要とせずに、データベース接続用ファイルやクラウド設定データを含む数千人分のユーザーのローカルファイルにアクセスできる状態になりました。
侵害はその後、Microsoft Entra IDにまで及びました。レッドチームはAzureHoundとROADreconを使ってアプリケーション、所有者、権限情報を列挙し、強力なMicrosoft Graph権限を持つアプリケーションを標的に定めました。
あるアプリケーション所有者のプライマリリフレッシュトークンを取得した後、攻撃者はそのアプリケーションにクライアントシークレットを追加しました。これを使ってワークロードIDになりすまし、Microsoft Graph経由でSOCのメールを読み取っています。
対照的な2つのSOC
組織AのSOCは、この一連の活動に関連する中〜低深刻度のエンドポイントアラートを受信していたものの、対応には至りませんでした。より深刻度の高いラベルが付いた大量の誤検知や日常的なイベントの中に、実際の兆候が埋もれてしまっていたのです。
複数のSOCがそれぞれ別々の検知プラットフォームを運用しており、互いのツールの状況を把握できていませんでした。またシステム所有者との連携不足から、あるSCCM関連の不審なアラートが誤検知として片付けられてしまっていました。
一方、組織Bでは3台のワークステーション上でスピアフィッシングのペイロードを検知し、それぞれ10分、2分、20分以内に隔離しました。この対応によってC2(コマンド&コントロール)通信は遮断され、CISA側は「侵害はすでに発生している」との前提で評価を進めることになりました。
しかしそれでもなお、レッドチームはサービスアカウントの認証情報を含むSCCM配布ポイントのXMLファイルを発見しました。ドメインコントローラーに対する過剰な権限設定により、リソースベースの制約付き委任とDCSyncが可能となり、krbtgtアカウントを含む認証情報が露出する結果となりました。
組織Bの防御側は、ペイロードの活動がアラートを発生させたことを受けて、OT(制御技術)のDMZに置かれた踏み台ホストも隔離しています。同時に、アウトバウンドのインターネット通信に対する制限により、コールバックの試みは阻止されました。
それでも、ハイブリッドID環境には弱点が残っていました。Entraの同期用アカウントがMFAなしで対話的なクラウドアクセスを許可していたほか、Seamless SSOの悪用によって、多要素認証による保護がかかっていない同期アカウントでもEntra IDへのアクセスが可能な状態になっていたのです。
CISAは各組織に対し、確立された行動ベースラインに基づいて検知ルールを調整すること、SOC間の縦割り構造を解消すること、ADCS・Machine Account Quota・サービスアカウントの権限を監査すること、保存されている認証情報をローテーションすること、そしてワークロードIDに対して条件付きアクセスを導入することを推奨しています。
また各組織は、クラウド環境の侵害を検知し、攻撃者がクラウドIDを悪用してアクセスを再確立する前にアクセス権とリフレッシュトークンを失効させるための、検証済みの手順を整備しておく必要もあります。
調査の遅れによるインシデント発生を防ぎましょう。15,000のSOCから集約された脅威インテリジェンスで、Tier 1の対応力を強化できます。 TI LookupをあなたのSOCに統合する
翻訳元: https://gbhackers.com/cisa-red-team-achieves-full-domain-compromise/
