クレデンシャル、認証、健全性：
Falcon Identity Threat Detectionでインシデント対応を強化
November 17, 2021 | Tim Parisi | 最前線から

CrowdStrike の イ ン シ デ ン ト 対 応 チ ー ム が 新 し い Falcon Identity Threat Detection（ITD） モ ジ ュ ー ル を 活 用 し、Microsoft Active Directory や Azure AD における、サイバー犯罪者（eCrime）や国家主導の攻撃者グループの活動の可視化とコントロールを実現〇

CrowdStrikeのインシデント対応チームは、Microsoft ActiveDirectory（AD）およびAzure ADのアカウント認証の可視化、クレデンシャルハイジーン（健全性管理）、および多要素認証の実装にFalcon Identity Threat Detection（ITD）モジュールを活用。

〇

CrowdStrike Falcon®プラットフォームに統合されるFalcon ITDは、アラート、ダッシュボード、カスタムテンプレートを提供し、侵害されたアカウントやエリアを特定することで、攻撃対象領域の縮小と、セキュリティ対策の増強を実現。

〇Falcon ITDは、かつては過去ログの確認や、監査を通してしか確認できなかった悪質な活動を、インシデント対応チームが迅速に特定することを可能にし、組織がより早く、より効率的に脅威を根絶できるよう支援。

インシデント対応チームや社内のセキュリティチームによる調査では、これまで Microsoft AD や Azure AD に対して限定的な可視性しか得られず、封じ込めや修復が困難でした。そのため、被害組織から提供された過去のログをベースに遡及的な分析を行ったり、手動で認証や健全性の監査を行うしかありませんでした。CrowdStrike が 2020 年に Preempt 社を買収して以来、Services チームは Falcon プラットフォーム上で稼働する新しいモジュール「 Falcon Identity Threat Detection（ITD）」を活用し、Active Directory に関連するインシデント対応調査において、タイムリーかつ十分な可視性を得ることができるようになりました。具体的には、アカウント認証の可視化、クレデンシャルハイジーンおよび多要素認証の実装などが可能になっています。このブログでは、インシデント対応における Falcon ITD の重要性と、当社のインシデント対応チームが現在どのように Falcon ITD を活用しているかについて紹介します。

インシデント対応における Falcon ITD の活用方法
CrowdStrike が高品質かつ低コストの調査を被害組織に提供するにあたり、重要な差別化要因の一つが Falcon プラットフォームであることはよく知られています。2021 年を通して、インシデント対応を行う際には、Falcon ITD を武器の一つとして利用してきました。この新しいモジュールは、お客様とインシデント対応チームの両方に、以下の重要なデータポイントを提供します。
〇

不審なログイン/認証のアクティビティ〇

失敗したログインアクティビティ。パスワードスプレーやブルートフォース攻撃を含む〇

企業全体のすべてのアイデンティティのインベントリ（旧アカウントとパスワード・ハイジーン・スコアを含む）〇

複数のドメインにまたがる脆弱性を検出するための、アイデンティティ ストア（Active Directory、LDAP/Sなど）の検証と評価〇

可視性の向上とパターン識別に必要となるユーザー、デバイス、アクティビティに関する総合的なイベント情報〇

特定のアカウントの「ウォッチリスト」の作成

一般的なインシデント対応のための調査では、当社のチームはお客様の協力のもと、Active Directory のトポロジー情報（ドメイン、アカウント、エンドポイント、ドメインコントローラーなど）を把握します。ドメインコントローラーが特定されると、
Falcon ITD センサーがインストー
ルされ、アカウント、権限、認証およびADハイジーンのベースライン作成と評価が開始されます。これらは通常 5 〜 24 時間以内に完了します。
完了すると、Falcon ITD テレメトリー情報と結果が Falcon プラットフォーム内に表示されます。これを当社の対応チームとお客様が分析します。
図 1 は、Falcon ITD の Overview ダッシュボードです。攻撃対象領域のリスクを分類し、その深刻度を Low、Medium、High のように評価しています。CrowdStrike のインシデント対応チームは、このデータを使用して、攻撃者が特権への昇格を行う可能性を判断します。たとえば、権限を持たないアカウントが権限のあるアカウントへの攻撃パスを持っていないか、特権アカウントの認証情報を侵害するために悪用されるアカウントはないか、簡単に破られるパスワードを持つアカウントを許可するポリシーになっていないかなどを読み取ります。

図 1：Falcon ITD の Overview ダッシュボード（クリックで拡大）

図 2 は、メインのインシデントダッシュボードを示します。このダッシュボードでは、ベースラインパターンおよび認証アクティビティの指標に基づいて、不審なイベントを表示します。また、「あるアカウントが特定のシステムで認証された場合にアラートを発する」など、CrowdStrike のインシデント対応チームがカスタム構成した検知パターンも使用されます。

図 2：Falcon ITD のメインのインシデントダッシュボード（クリックで拡大）

当社の対応チームはこれらの情報を活用して、以下のシナリオのような調査結果を得ることができます。
〇

認証情報が、サービスプリンシパル名（SPN）の列挙パターンに合致する異常なLDAPアクティビティの実行に使用された〇あるアカウントが誤った2要素認証コードを入力した、アイデンティティ検証がタイムアウトした

〇

使用されたクレデンシャルが「パス・ザ・ハッシュ」手法と一致〇

偵察ツール「BloodHound」が使用するとされる、異常なLDAP検索クエリが、あるアカウントにより実行された

上記の組み込みポリシーに加え、CrowdStrike の対応チームはお客様と協議のうえ、カスタムルールを作成してアラートをトリガーし、Falcon ITD 内で以下のような制御を実行することもできます。
〇

特定のアカウントやアカウントグループが、いずれかの/任意のシステムに対して認証された場合にアラートを生成する〇

特定のアカウントのいずれかの/任意のシステムへの認証を強制的にブロックする〇

特定の認証プロトコルの使用を強制的にブロックする〇

Kerberos/LDAP/NTLMプロトコルを使用して認証を行おうとするいずれかの/任意のアカウントに対し、Google、Duo、Azureなどの2要素認証プロバイダーによるアイデンティティ検証を実施する〇

パスワードの侵害を受けたアカウントのパスワードリセットを実行する

また、不審なアクティビティが確認されたアカウントについて、追加の情報が必要となる場合があります。通常は、インシデント対応チー
ムは、お客様のチームからそのアカウントに関する情報（所属するグループ、アカウントの権限、サービスアカウントなのかユーザーアカウントなのか等）を提供してもらう必要があります。図 3 は、Falcon ITD でこれらの情報に加えて、パスワードの最終変更日、パスワードの強度、および過去のアカウントアクティビティを含む情報が表示される様子を示しています。これもまた、CrowdStrike の対応チームが調査を効率化して、お客様が安全に業務を再開することに集中できるようにした例です。

図 3：Falcon ITD のアカウント情報表示（クリックで拡大）

ケーススタディ：偵察と健全性
最近のインシデント対応調査で、CrowdStrike Services は、数年にわたり被害者の環境に断続的にアクセスを行っていたサイバー犯罪者（eCrime）を特定しました。この攻撃者は、複数の特権アカウントを利用し、ドメイン管理者アカウントを密かに作成して、偵察やラテラルムーブメントを行い、環境内から情報を収集していました。CrowdStrike のインシデント対応チームは、Falcon ITD を活用して、攻撃者に侵害されたアカウントに関連する権限を迅速に調査し、攻撃に利用されたパスワードの健全性の問題を特定しました。インシデント対応チーム
は、カスタムのパスワードリストを Falcon ITD にインポートすることにより、組織のデフォルトパスワードや簡単に推測できるパスワードを使用して、攻撃者によって利用された可能性の高いアカウントを特定することができました。

また、Falcon ITD を使用することで、被害者の環境内で攻撃者が SMB 共有を偵察していることも追跡することができました。攻撃者は、Falcon がインストールされていないシステム上で、正規の管理者アカウントを利用していました。幸いなことに、Falcon ITD が提供する可視化機能が働き、対応チームにこの偵察活動を警告しました。私たちはお客様と協力して、攻撃者を一掃すべく改善策を講じました。

ケーススタディ：多要素認証およびドメインレプリケーション
また別の調査では、CrowdStrike のインシデント対応チームは、ある環境を侵害し、数年にわたって居座り続けていた国家主導の攻撃者グループを特定しました。このような高レベルの攻撃者ともなると、被害ネットワークの環境や、Active Directory の構成、特権レベルの認証情報まで熟知しており、その目的を達成するためにマルウェアを使用する必要すらありませんでした。
数年にわたってアクセスが検知されなかったことから、対応チームは、攻撃者の可動を制限するために、Falcon ITD を活用して、以下の 2 つのシナリオに対して MFA 認証を実施しました。これにより、不正なラテラルムーブメントが大幅に低減しました。
〇

管理者によるサーバーへのRDP接続にMFA認証を要求する（Duoを使用）〇

任意のユーザーが任意のサーバーからワークステーションにRDP接続する際に、MFA認証を要求する（Duoを使用）

Falcon ITD の検知機能は、ドメインレプリケーション攻撃を防御側に警告し、被害ネットワークにおける攻撃の再開を発見するうえでも、非常に重要な役割を担いました。これにより防御側は、被害者の VPN プールから発生したレプリケーション攻撃のソースを迅速に特定し、その VPN と、影響を受けたアカウント、攻撃者によるアクセスがあったリモートのリソースに対して是正措置を講じることができました。

まとめ
Falcon Identity Threat Detection は、CrowdStrike のインシデント対応チームがサイバー犯罪者や国家主導の攻撃について調査を行う際に、これまでは実現できなかったスピードとスケールで Active Directory の可視性と制御の向上を実現し、新たな利点をもたらします。

その他のリソース• Falcon ITDに関する詳細な情報については、こちらの概要ページおよびデータシートを参照ください。
• CrowdStrike Servicesに関する詳細情報については、こちらの概要ページを参照ください。

原文：Credentials, Authentications and Hygiene: Supercharging Incident Response with Falcon Identity Threat Detection

https://www.crowdstrike.com/blog/how-crowdstrike-supercharges-incident-response-with-identity-threat-detection/©2021 CrowdStrike, Inc. All rights reserved. CrowdStrike、Falcon のロゴ、CrowdStrike Falcon、CrowdStrike Threat Graph は、CrowdStrike, Inc. が所有するマークであり、米国および各国の特許商標局に登録されています。CrowdStrike は、その他の商標とサービスマークを所有し、第三者の製品やサービスを識別する目的で各社のブランド名を使用する場合があります。