米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は国際的なパートナー機関とともに、Microsoft Active Directory(AD)の侵害を検知・軽減するための更新版ガイダンスを発表しました。攻撃者がID基盤を日常的に悪用し、権限昇格や横方向移動、長期的な永続化を確立していると警告しています。
このガイダンスはオーストラリア信号局のオーストラリア・サイバーセキュリティセンター(ASD ACSC)が発表し、2026年9月15日に更新されたもので、CISA、NSA、カナダのサイバーセキュリティセンター、英国のNCSC、ニュージーランドのNCSCと共同で作成されました。
関連発表では17種類の一般的な手法が説明されていますが、CISA関連の説明でも17種と記載されており、要約と更新版の公表内容との間に食い違いがある点は留意が必要です。
Active Directoryは、企業システム全体にわたる認証・認可・ポリシー適用・アクセス制御を担っているため、価値の高い攻撃対象となっています。
ドメインの侵害に成功すると、侵入者はユーザー、サーバー、電子メール、ファイル共有、重要なアプリケーション、さらにはMicrosoft Entra IDを介して接続されたクラウドサービスに対しても特権アクセスを得る可能性があります。
このガイダンスは、初期段階の権限昇格や横方向移動から、通常の修復作業をも生き延びかねない永続化手法に至るまで、攻撃経路を体系的に分類しています。
取り上げられている手法には、Kerberoasting、AS-REP Roasting、パスワードスプレー、MachineAccountQuotaの悪用、無制約委任、グループポリシー設定(GPP)によるパスワード漏えい、Active Directory証明書サービスの侵害、DCSync、NTDS.ditの抽出、Golden TicketおよびSilver Ticket、Golden SAML、Microsoft Entra Connectの侵害、一方向ドメイン信頼のバイパス、SIDHistoryの悪用、Skeleton Key、シャドウ資格情報が含まれます。
中でもKerberoastingは特に重要な懸念事項です。攻撃者はサービスプリンシパル名(SPN)が設定されたアカウント向けのKerberosサービスチケットを要求し、そのチケットをオフラインで解析してアカウントのパスワードを復元しようとします。
CISAは、SPNを持つサービスアカウントの数を減らすこと、可能な限りグループ管理サービスアカウント(gMSA)を使用すること、最小権限を割り当てること、AES暗号化を強制することを推奨しています。
防御側は、ドメインコントローラーのイベントID 4769を中央で監視し、チケット要求の急増、RC4の使用、不審なチケットオプション値がないかを確認する必要があります。
各機関はまた、パスワードスプレーについても強調しています。これは、攻撃者がロックアウトの閾値を下回るように少数のパスワードを多数のアカウントに対して試行する手法です。
攻撃者が内部アクセスを取得した後は、MFAだけではこうした活動を防ぎきれない場合があります。NTLMベースの認証はMFAに対応していないためです。
組織は可能な限りNTLMを無効化し、管理者・サービス・緊急用(break-glass)アカウントには長く一意なパスワードを使用し、ファイル共有に漏えいした認証情報がないかスキャンし、異常な認証失敗にはアラートを出すべきです。
中心となる推奨事項の一つは、Microsoftのエンタープライズアクセスモデルを用いてTier 0資産を保護することです。
ドメインコントローラー、認証局、AD FSサーバー、Entra Connectサーバー、バックアップ基盤、Domain Admins、Enterprise Admins、そしてKRBTGTアカウントには、より強固な分離、フィッシング耐性のあるMFA、特権アクセスワークステーション、継続的な監視が求められます。
さらにこのガイダンスは、攻撃者に先んじて、組織が自らのAD環境における隠れた権限や依存関係を可視化しておくよう強く求めています。
BloodHound、PingCastle、Purple Knightといったツールは、過剰な権限、安全性の低い委任設定、脆弱な証明書テンプレート、リスクのある信頼関係の経路を特定するのに役立ちます。
インシデント対応者にとって重要なメッセージは、ADの侵害が単なるアカウント侵害にとどまらないという点です。偽造チケット、証明書の悪用、レプリケーション権限の悪用、シャドウ資格情報を通じた永続化は、広範なパスワードリセット、深刻な場合にはActive Directoryの全面的な再構築を必要とすることがあります。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。自分のチーム向けに詳しく見る
翻訳元: https://cyberpress.org/cisa-warns-of-17-active-directory-attack-techniques/
