被害状況
| 事件発生日 | 記事には記載されていない |
|---|
| 被害者名 | 不明 |
|---|
| 被害サマリ | Active Directory を標的とした脅威行為の分析とその対策に関する記事 |
|---|
| 被害額 | 記事には記載されていない（予想不可） |
|---|
攻撃者
| 攻撃者名 | 不明（脅威行為の分析に終始した記事で、攻撃者情報は含まれていない） |
|---|
| 攻撃手法サマリ | Active Directory を標的とする、DCSync、DCShadow、Password spray、Pass-the-Hash、Pass-the-Ticket、Golden ticket、Service Principal name、AdminCount、adminSDHolder による脅威行為の分析 |
|---|
| マルウェア | 記事には記載されていない |
|---|
| 脆弱性 | 記事には記載されていない |
|---|
タイトル: Windows Active Directory への攻撃
Windows Active Directory は、企業において主要なアイデンティティおよびアクセス管理のソースであるため、多数の攻撃の中心となっている。以下に、Windows Active Directory に対する攻撃と、これを防ぐために組織が取るべき措置について述べる。
Windows Active Directory に対する攻撃には、以下のような多様な攻撃方法がある。
1. DCSync
2. DCShadow
3. Password spray
4. Pass-the-Hash
5. Pass-the-Ticket
6. Golden ticket
7. Service Principal Name
8. AdminCount
9. adminSDHolder
これらの攻撃に対して、以下の対策を取ることが重要である。
1. DCSync に対する防御：
- ドメインコントローラのセキュリティを確保し、特権アカウントを強固なパスワードで保護する。
- 不要なアカウント（サービスアカウントを含む）をアクティブディレクトリから削除する。
- ドメイングループの変更履歴などの監視を行う。
2. DCShadow に対する防御：
- 特権昇格攻撃から環境を保護する。
- すべての保護されたアカウントとサービスアカウントに強固なパスワードを使用する。
- クライアントPCへのログインに、ドメイン管理者の資格情報を使用しない。
3. Password spray に対する防御：
- パスワードのポリシーを設定し、強力なパスワードを強制する。
- 手順的なパスワードや漏洩したパスワードを使用しないことを防止する。
- パスワードの再利用を防止する。
- パスフレーズをパスワードの代わりに使用することを奨励する。
4. Pass-the-Hash に対する防御：
- 管理者権限を持つユーザーの数を制限する。
- 管理者ジャンプボックスとして強化されたワークステーションを使用する。
- ローカルアカウント向けに Microsoft Local Administrator Password Solution (LAPS) を実装する。
5. Pass-the-ticket に対する防御：
- 管理者およびサービスアカウントをはじめとする強固なパスワードを使用する。
- 環境において漏洩したパスワードを排除する。
- 環境内でベストプラクティスに従うことで、全体的なセキュリティポストアップを確保する。
6. Golden ticket に対する防御：
- KRBTGTパスワードを定期的に変更する（最低でも180日ごと）。
- アクティブディレクトリ環境において最小特権を実施する。
- 強固なパスワードを使用する。
7. Service Principal Name に対する防御：
- 不審なアクティビティ（不必要な Kerberos チケットのリクエストなど）を監視する。
- サービスアカウントに対して非常に強力なパスワードを使用し、定期的にパスワ