CISAが発表した最新のレッドチーム評価報告書は、重要インフラ事業者に対して警鐘を鳴らしています。豊富なセキュリティ予算や高度なツールを揃えていても、SOC(セキュリティオペレーションセンター)が悪意ある活動を認識・エスカレーション・封じ込めできなければ意味がないというのです。
この報告書「A Tale of Two SOCs」は、政府サービス・施設セクターの組織と、上下水道システムセクターの組織を対象に実施された並行評価を比較したものです。CISAのオペレーターはほぼ同一の攻撃手法を用いましたが、結果はまったく異なるものとなりました。
いずれの評価においても、レッドチームはまずフィッシングによって初期侵入の足がかりを築きました。続いてオペレーターは、デフォルトのMachine Account Quota設定や、誤設定されたActive Directory Certificate Servicesのテンプレートといった、Active Directoryにありがちな脆弱性を悪用しました。
こうした条件が揃うことで、権限昇格・認証情報の窃取・エンタープライズ環境全体への横展開が可能となり、長年放置されてきたID管理の設定不備が、たった一台の侵害端末をドメイン全体に及ぶインシデントへと発展させる様子が浮き彫りになりました。
組織Aでは、攻撃の連鎖が目立った抵抗を受けることなく進行しました。CISAは昇格したドメイン権限を獲得し、機密性の高い業務システムに到達、クラウドリソースにもアクセスしましたが、その間ずっと検知されることはありませんでした。
最終的にレッドチームはSOC担当者のメールを閲覧し、防御側のワークステーションにキーロガーまで仕込みましたが、これを食い止められるような有効な対応は一切見られませんでした。
この評価結果は、複数の防御製品を導入している環境であっても、攻撃者が自由に活動を続けられてしまう実態を如実に示しています。
一方、組織Bでは大きく異なる結果となりました。同組織のSOCは初期段階のフィッシングペイロードを検知し、2分から20分以内に影響を受けたワークステーションを隔離しました。
この迅速な対応により、侵入がネットワーク全体に広がる前にC2(コマンド&コントロール)通信を遮断することができました。
初期侵害が封じ込められたことを受け、CISAは「侵害を前提としたシナリオ」に切り替え、信頼できるエージェントを用いて、フィッシング攻撃が成功した攻撃者と同等のアクセス権を与える形で評価を継続しました。
この模擬アクセス権が与えられた状況でも、レッドチームは同じくMachine Account Quotaの脆弱性を突いて権限を昇格させました。オペレーターはMicrosoft System Center Configuration Managerのファイルから平文の認証情報を取得し、DCSync攻撃を実行してドメインコントローラーの認証情報を窃取しました。
窃取された認証情報には、極めて機密性の高いkrbtgtアカウントも含まれていました。攻撃者はこれを悪用してGolden Ticketを偽造し、Active Directoryドメインへの永続的なアクセスを維持することが可能になります。
しかし組織Bでは、侵害が発生した後も防御層が機能し続けました。SOCはOT(運用技術)非武装地帯(DMZ)内で侵害されたベイシオンホストを隔離し、Microsoftのアラートによって検知された不審なAzureサインインをブロックしました。
この対応は、権限の高い認証情報が漏洩した後であっても、迅速なトリアージと効果的な封じ込め、連携の取れた監視体制によって攻撃者の動きを制限できることを示しています。
CISAは組織Aの失敗の主な原因を、技術の不足ではなく組織運営上の機能不全にあるとしています。複数のSOCとEDRプラットフォームがチーム間で十分な連携のないまま運用されており、日常的な業務による大量の誤検知が、本物の侵入の兆候を覆い隠してしまっていました。
アナリストには明確なエスカレーション手順や、行動を起こすための十分な権限がありませんでした。ある事例では、防御側の担当者がSCCMサーバー上のレッドチーム活動に関連するアラートを検知したにもかかわらず、システムの所有者を特定できなかったために対応を見送っていました。
この勧告では、組織に対してMachine Account Quotaの制限、ESC1脆弱性を抱える証明書テンプレートの是正、サービスおよびクラウド認証情報の有効期限設定、そしてワークロードIDへの条件付きアクセス制御の適用を強く求めています。
セキュリティチームに、疑わしい活動をより迅速に調査し、業務への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/cisa-red-team-compromises-active-directory/
