電子署名者 : Japan Computer Emergency
Response Team Coordination Center
DN : c=JP, st=Tokyo, l=Chiyoda-ku,
Japan Computer Emergency Response email=office@jpcert.or.jp, o=Japan ComputerEmergency Response Team Coordination
Team Coordination Center
Center, cn=Japan Computer Emergency
Response Team Coordination Center
日付 : 2017.03.14 11:26:43 +09'00'

ログを活用した Active Directory
に対する攻撃の検知と対策

JPCERT/CC 早期警戒グループ

本文書の目的
JPCERT/CCでは、高度サイバー攻撃（標的型攻撃）において、Active Directoryを乗っ取る事例を多数確認している
一部の組織ではActive Directoryの脆弱性が放置されていたり、ログが十分に保存されておらず、攻撃を受けやすい、または受けても検知できない環境にある
Active Directoryの攻撃手法とその対策を合わせて整理した日本語ドキュメントは少ない
JPCERT/CCがインシデント対応支援を通して得た知見を「ログを活用したActive Directoryに対する攻撃の検知と対策」に集約
1

Copyright©2017 JPCERT/CC All rights reserved.

想定している読者
想定読者— Active Directoryを運用または導入を検討しているシステム管理者— セキュリティ担当者— セキュリティインシデントの対応や調査に関わる担当者

コンセプト— Active Directoryに対する攻撃手法、攻撃を検知するためのログの確認ポイント、攻撃を抑止または被害を軽減するための対策を整理— 実践しやすいように、手順などを具体的に記載— フローチャートや表で行うべき対応を分かりやすく記載— より詳細な情報をAppendixに掲載

運用やインシデント対応の現場で実践的に活用できる文書を目指して作成
2

Copyright©2017 JPCERT/CC All rights reserved.

本文書の活用方法章

読者のニーズ
文書の全体構成を把握したい
本文書の概要(Executive Summary)を知りたい

1

はじめに

2

高度サイバー攻撃の手法

3

Active Directoryに対する Active Directoryへの攻撃手法を理解し攻撃手法
たい

4

5
63構成

高度サイバー攻撃の概要を理解したい

Active Directoryのイベン ログを分析してActive Directoryへのトログを活用した高度サ 攻撃を検知し、侵害されたコンピュータやイバー攻撃の検知アカウントを特定したい
Active Directoryに対する 攻撃抑止のための予防的対策や、検知されたActive Directoryへの攻撃に対する攻撃の対策
緊急対処について知りたい
最後にー
攻撃手法や検知、対策に必要な設定にAppendix
ついてより詳細に知りたい

Copyright©2017 JPCERT/CC All rights reserved.

Active Directoryの概要
Active Directoryとは—Microsoft社が提供している、組織内のコンピュータやユーザを集中的に管理できる仕組み—ドメイン：コンピュータやユーザを管理する際の管理単位—ドメイン管理者：ドメイン配下の全てのリソースをコントロールできる権限を持つアカウント

4

Copyright©2017 JPCERT/CC All rights reserved.

2章
高度サイバー攻撃の手法

5

Copyright©2017 JPCERT/CC All rights reserved.

高度サイバー攻撃のプロセス

侵入を防ぐのは難しい

攻撃を早期検知して被害を低減する

攻撃者はActive Directoryへの攻撃を行い、横断的侵害を容易にするため、認証情報やより高い権限の窃取を試みる
6

Copyright©2017 JPCERT/CC All rights reserved.

3章
Active Directoryに対する攻撃手法

7

Copyright©2017 JPCERT/CC All rights reserved.

Active Directoryに対する攻撃の例

攻撃者はドメイン管理者権限などを窃取し、正規の管理者になりすまして、長期にわたって使えるアクセス権限の獲得を試みる
8

Copyright©2017 JPCERT/CC All rights reserved.

Active Directoryに対する攻撃手法
攻撃手法は大きく分けて2つ
1. Active Directoryの脆弱性の悪用
2. 端末に保存された認証情報の悪用
いずれも攻撃手法やツールも公開されており、比較的容易に攻撃できる
Active Directory環境で使用される認証方式（Kerberos/NTLM認証）の脆弱性や仕様上の弱点が狙われることが多い
9

Copyright©2017 JPCERT/CC All rights reserved.

攻撃手法1（ Active Directoryの脆弱性の悪用）
Kerberos認証の脆弱性を悪用し、ドメイン管理者権限を取得する方法— Kerberos KDC の脆弱性（CVE-2014-6324 / MS14-068）の悪用を確認している— 上記脆弱性により、ドメインユーザがドメイン管理者に権限昇格することができる— ツールが公開されており、比較的容易に攻撃が可能

10

Copyright©2017 JPCERT/CC All rights reserved.

攻撃手法2（端末に保存された認証情報の悪用）
端末のメモリには過去にログインした認証情報が残存していることがあり、これを窃取する
攻撃手法

Pass-the-Hash

内容

どのように悪用するか

NTLM認証のパスワードハッシュでログインできる仕組みを悪用して不正にログインするパスワードを使いまわしている（同じパスワードハッシュでアクセスできる）ことを利用し、他のコンピュータにログイン

Kerberos認証で使われる認証チ
Pass-the-Ticket ケットを悪用して不正にログインする

11

Copyright©2017 JPCERT/CC All rights reserved.

正規ユーザになりすまして検知を回避する・Golden Ticket
・Silver Ticket
を作成する

Pass-the-Ticket
Kerberos認証で使用される認証チケットを窃取したり、不正に作成することにより、サービスを不正に利用する— TGT : Service Ticketを要求するためのチケット— Service Ticket : サービスにアクセスするために必要なチケット

12

Copyright©2017 JPCERT/CC All rights reserved.

Golden Ticket / Silver Ticket
Golden Ticket （攻撃者が不正に作成したTGT）— ドメイン管理者権限を窃取することで作成できる— ドメイン管理者を含む任意のユーザになりすますことができる— 有効期限が10年で、任意の端末上やアカウントで使える

Silver Ticket（攻撃者が不正に作成したST）— 各サーバの管理者権限を窃取することで作成できる— サーバの管理者や利用者になりすまして任意のサービスにアクセスできる— 有効期限が10年で、任意の端末上やアカウントで使える— DCにアクセスせずに使用できる＝DCにログが残らない

いずれも、不正に作成された正規の認証チケットであるため、検知が難しい13

Copyright©2017 JPCERT/CC All rights reserved.

4章
Active Directoryのイベントログを活用した横断的侵害の検知

14

Copyright©2017 JPCERT/CC All rights reserved.

ログ確認のフロー
Windows のログ（イベントログ）から攻撃の痕跡を効率的に検知する手法を紹介

フローチャートで、状況に応じて確認すべきポイントや参照すべき章を明確化

15

Copyright©2017 JPCERT/CC All rights reserved.

攻撃手法とログの調査方法、確認対象の対応

攻撃手法と有効な検知手法の対応表を掲載

調査すべき機器と調査が有効なバージョンを明記

16

Copyright©2017 JPCERT/CC All rights reserved.

不審なログの調査
攻撃の可能性がある、特徴的で比較的容易に検知できるイベントログを紹介
以下は、不審なログの調査の一例として、Kerberos KDCの脆弱性「MS14-068」を悪用する攻撃を検知する方法• 調査対象• 不審と判断する基準• 検知したら何をすればよいかなどについて、具体的に記載

17

Copyright©2017 JPCERT/CC All rights reserved.

認証ログの調査
平常時（運用）と比較して不審かどうかを判断する必要がある
以下は、認証ログの調査の一例として、意図しないアカウントに特権が割り当てられていないか調査する方法• 調査対象• 確認観点• 具体的なイベント
IDと項目名などについて、具体的に記載

18

Copyright©2017 JPCERT/CC All rights reserved.

アカウントの悪用に気づきやすい環境の紹介
管理者アカウントを使用する端末の限定
悪用を検知しやすい例（端末とアカウントが1:1）

悪用を検知しにくい例（端末とアカウントが多:1 または多:多）
Admin

ActiveDirectory

感染端末で管理者アカウントが悪用された際に気付きやすい

Admin

ActiveDirectory

感染端末で管理者アカウントが悪用されても気付きにくい管理者権限を窃取されるリスクも低減できる
19

Copyright©2017 JPCERT/CC All rights reserved.

5章
Active Directoryに対する攻撃の対策

20

Copyright©2017 JPCERT/CC All rights reserved.

Active Directoryに対する攻撃の対策
以下、2つの観点で記述
1. 予防策：Active Directoryへの攻撃を抑止するための対策
2. 攻撃を検知した際の緊急対処：被害を軽減するための対策

攻撃手法と有効な対策、対策の適用対象を表に整理して掲載

21

Copyright©2017 JPCERT/CC All rights reserved.

予防策の例（セグメント化）セキュリティレベルに応じてセグメント（ネットワーク・アカウント）を分離し、侵害範囲を制限する

ドメイン管理者権限を窃取されるリスクを低減
22

Copyright©2017 JPCERT/CC All rights reserved.

予防策の例（セキュリティ更新プログラム適用）
 セキュリティ更新プログラムを適用することで脆弱性の改修や、セキュリティの機能向上を実現できる
セキュリティ更新
プログラム

改修、機能向上の内容

KB3011780

Kerberos KDCの脆弱性「MS14-068」の改修

KB2871997

メモリに平文や、容易に平文に復元できるハッシュ（LMハッシュなど）が残存しなくなる

・主に攻撃手法1「 Active Directoryの脆弱性」の対策
・優先的に適用すべき更新プログラムを紹介
23

Copyright©2017 JPCERT/CC All rights reserved.

予防策の例（認証情報の保護）
 メモリに認証情報を保存しない、または残存する認証情報を保護する機能を活用し、認証情報の窃取を防ぐ保護機能保護される情報

LSA Protection

未署名または Microsoft 以外によって署名されたプロセスからメモリを保護する

Protected Users

このグループに所属するアカウントはセキュリティが強固なKerberos認証のみ使用する

Restricted Admin

リモートデスクトップの接続先コンピュータに認証情報を残さない

Credential Guard

LSA（Local Security Authority）の認証情報が仮想化によってホストOSから隔離された保護環境に保護される

主に攻撃手法2「端末に保存された認証情報の悪用」の対策
24

Copyright©2017 JPCERT/CC All rights reserved.

攻撃を検知した際の緊急対処の例
Golden Ticket の無効化
—一度Golden Ticketを作成されてしまうと、「MS14-068」の更新プログラムを適用しても、侵害されたアカウントのパスワードを変更しても、効果がない

被害拡大抑止に有効な緊急対処について、適用時の注意事項や手順なども併せて紹介
25

Copyright©2017 JPCERT/CC All rights reserved.

Appendix

26

Copyright©2017 JPCERT/CC All rights reserved.

Appendixの構成• 攻撃手法や検知・対策のために必要な設定などについて、より詳細に知りたい方向けの参考情報（以下はAppendixの例）• Active Directoryの攻撃手法（Golden Ticket /Silver Ticketを使用する攻撃）の検証結果• ログの保管状況やActive Directoryの運用状況などの実態調査の抜粋結果

27

Copyright©2017 JPCERT/CC All rights reserved.

Appendixの構成

28

Copyright©2017 JPCERT/CC All rights reserved.