Tenable Identity Exposure SaaS ユーザーガイド
最 終 更新 日 : 2024 年 8 月 5 日

Copyright © 2024 Tenable, Inc.All rights reserved.Tenable、Tenable Nessus、Tenable Lumin、Assure、および Tenable のロゴは、Tenable, Inc.またはその関連 会社の登 録商標 です。その他 の各 製品 またはサービスは、それぞれの所 有者 の商 標 です。

目次
Tenable Identity Exposure SaaS ユーザーガイドへようこそ

88

このガイドについて
Tenable Identity Exposure を使 い始 める

10

Tenable Identity Exposure のセキュアリレー

33

セキュアリレーの要 件

41

リレーの設 定47

セキュアリレーのインスト ール (CLI)49

セキュアリレーのインスト ール (Tenable Nessus Agent)

50

Tenable Identity Exposure の基 本 事 項

53

Tenable Identity Exposure ユーザーポータル

53

Tenable Identity Exposure にログインする

56

ワークスペースへのアクセス

60

ユーザー環 境 設定

63

通知

66

ダッシュボード

68

ウィジェット69

ID エクスプローラー

73

イベント フロー75

イベント フローのテーブル

77

ウィザードを使 用してイベント 情 報 を検 索78

イベント 情 報 を手動 で検 索

80

イベント 情 報 のクエリをカスタマイズする

81

ブックマーククエリ

84-2-

クエリ履 歴86

逸脱 イベント を表示

88

イベント の詳 細89

属性 の変化

93

イベント 情 報 のユースケース

96
100

露出 インジケーター
露出 インジケーターの詳細

103

逸脱 オブジェクト

106

逸 脱オブジェクト を検 索

108

逸 脱オブジェクト の無 視112

危険 の原因 となっている属 性

114

RSoP ベースの露出インジケーター

116

Microsoft Entra ID 関 連の露 出インジケーター

116

露出 インジケーターからの逸脱 を修正

117

標 準ユーザーに設 定される AdminCount 属性

118

危 険な Kerberos 委 任

121SDProp の一 貫性 を確 保する

127
131

攻撃 インジケーター
攻撃 インジケーターの詳細

134

攻撃 インジケーターインシデント

136
141

ト ポロジー
信頼 関 係143

危険 な信 頼145
146

攻撃 経 路-3-

151

攻撃 関 係
キー認 証情 報の追加

153

メンバーの追加154

操 作が許 可されている

156

委 任が許 可されている

158

GPO に属している

161

DCSync163

操 作の許可 を付与できる

165

SID 履歴 あり

167

暗 黙的 な乗 っ取り

169

GPO を継承170

リンクされている GPO

172

グループのメンバー

174

所有

175

パスワードのリセット

177

RODC 管理

179

DACL の書 き込 み

181

所 有者 の書 き込み

182

ティア 0 資産の特定

184

攻撃 経 路 のあるアカウント186

攻撃 経 路 のノードタイプ

188
190

アクティビティログ
Tenable Identity Exposure の設 定 と管 理

193

Active Directory の設定

193

-4-

AD オブジェクト またはコンテナへのアクセス

193

特権 分 析 のためのアクセス

195

攻撃 インジケーターのデプロイメント

201

攻撃 インジケーターのインスト ール

204

攻 撃インジケーターインスト ールスクリプト

211

技 術的 な変更と潜在 的な影 響

220

攻 撃シナリオ (v. 3.36 以 前)

221

Microsoft Sysmon のインスト ール

226

攻撃 インジケーターのアンインスト ール

231

SYSVOL からの期 限 切れの GPO フォルダーの手 動削 除
攻撃 インジケーターのト ラブルシューティング

232
232

アンチウイルス検 出

233

監 査ポリシーの詳 細 設定 の優 先順位

234

イベント ログリスナーの検 証

236

Tenable Identity Exposure ログファイル

238

DFS レプリケーションの問 題 の緩 和

244
245

認証
Tenable One を使 用した認証

246

Tenable Identity Exposure アカウント を使 用した認 証

246

LDAP を使用した認 証

250

SAML を使用 した認 証

253

ユーザーアカウント256

セキュリティプロファイル

258
260

インジケーターのカスタマイズ

-5-

262

インジケーターのカスタマイズの調 整
ユーザーロール

264

ロールの管理264

ロールのアクセス許可 の設定

265

ユーザーインターフェースエンティティに対するアクセス許 可 の設 定 (例 )

269
272

フォレスト
フォレスト の管 理

272

サービスアカウント の保 護

273
274

ドメイン
ドメインのデータの強制 更 新277

ハニーアカウント

278

Kerberos 認 証

281
288

アラート
SMTP サーバー設定

289

メールアラート

290

Syslog アラート

294

Syslog とメールアラート の詳 細298

ヘルスチェック

304

レポート センター

309

Microsoft Entra ID のサポート

310

Tenable クラウドのデータ収集

319

特権 分 析

320

アクティビティログ

321

Tenable Identity Exposure 公 開 API

323

-6-

データ管理325

デプロイメント リージョン

326

Tenable Identity Exposure のライセンシング

327
329

ライセンスの管 理
Tenable Identity Exposure のト ラブルシューティング

332

ト ラブルシューティング用 のログ

333

Tenable Identity Exposure 診 断ツール

334

SYSVOL 堅牢 化の Tenable Identity Exposure に対 する干 渉

336

-7-

Tenable Identity Exposure SaaS ユーザーガイドへようこそ
最 終 更 新 日 : 8月 30, 2024
Tenable Identity Exposure は、脅 威 の予 測、侵 害の検出、インシデント や攻 撃への対 処 を通 じて、お客様 がインフラのセキュリティを確 保できるようにします。直 感的に操作 できるダッシュボードを使 ってActive Directory をリアルタイムで監 視 することで、最も重大な脆 弱性とそれに推奨 される修 正方 法 を一目で把 握できます。さらに、Tenable Identity Exposure の攻撃 インジケーターと露出インジケーター (IoE)
により、Active Directory に影 響を与 える潜 在的な問 題を見つけたり、危険 な信 頼関係 を特 定したり、攻撃 を詳 しく分析 したりすることができます。
開 始 するには、Tenable Identity Exposure を使い始めるを参 照してください。

このガイドについて
この Tenable Identity Exposure SaaS ユーザーガイドでは、以下 の情 報 を提供 しています。
lセキュアリレーのインスト ールlセキュリティ監視 を有効 にする前 に実行するタスクl

Tenable Identity Exposure の設 定 と使用

攻撃インジケーターと露出 インジケーターの機能 は、ライセンスの種 類によって利 用範 囲が異なります。
注 意 : Tenable Identity Exposure は、単 独 、または Tenable One パッケージの一部 として利 用可能 です。詳細は、Tenable One を参 照してください。
ヒント : Tenable Identity Exposure ユーザーガイド は、英 語 、日 本 語 、ドイツ語 、韓 国 語 、中 国 語 (簡 体 字 )、中 国語(繁体 字 ) で提 供されています。Tenable Identity Exposure のユーザーインターフェースも同様 に、英 語、日 本 語 、ドイツ語、フランス語、韓国語 、中国 語 (簡 体字)、中国 語 (繁体 字) で提供 されています。ユーザーインター
フェース言 語 を変更 するには、ユーザー環 境 設定をご覧 ください。

Tenable Identity Exposure の詳 細 は、次 のカスタマー向け説明 資料で確認してください。
lTenable Identity Exposure セルフヘルプガイド

lTenable Identity Exposure はじめに (Tenable University)

Tenable One サイバーエクスポージャー管 理プラット フォーム

-8-

Tenable One は、サイバーエクスポージャー管理プラット フォームです。DX 時代 のアタックサーフェス全 体の可視 化 、起 こり得る攻 撃を防ぐための取 り組みへのフォーカス、サイバーリスクの正 確な伝 達 を支援 する
ことで、最 大 限 のビジネスパフォーマンスを発 揮できるようにします。
このプラット フォームは、IT 資産 、クラウドリソース、コンテナ、ウェブアプリケーション、アイデンティティシステ
ムにわたる、業 界で最 大 の網 羅 性を誇 る脆弱 性 カバレッジを提供 します。Tenable Research の迅 速で幅広 い対応 をベースにして包 括 的な分 析 機能 を組み込むことで、対 応措 置の優先 順 位付 けとサイバーリスクの伝 達 が可能 となります。Tenable One は、以下 を実 現 します。
l

DX 時 代 のアタックサーフェス全体 の包 括的な可視化l

起こり得 る脅威に先駆けた攻 撃防 止対策 の優先 順 位付け

lより適 切 な判 断 を可 能 にするサイバーリスクの伝達

Tenable Identity Exposure はスタンドアロン製 品として存 在しますが、Tenable One サイバーエクスポー
ジャー管 理 プラット フォームの一部 としても購入できます。
ヒント : Tenable One 製 品の使用開 始の詳細 については、Tenable One デプロイメント ガイド を参照してください。

-9-Tenable Identity Exposure を使 い始 める
このセクションでは、Tenable Identity Exposure のデプロイ後 に Tenable Identity Exposure を効果的 に使用 するための主な手 順 を説 明します。
各セクションには、関 連タスクのより詳細 な説 明と手順 へのリンクが含 まれています。
1.

ログインしてユーザーインターフェースを操 作 するlTenable Identity Exposure にログインする ポータルに移 動 します。以下 に示 すようなホーム
ページが開きます。

l

初 回ログインは hello@tenable.ad で、パスワードは verySecure1 です。

lサイドナビゲーションバーを展 開または折 りたたみます。

lo

展開するには、ウィンドウの左 上にあるメニューをクリックします。

o

折りたたむには、ウィンドウの左 上にあるをクリックします。

Tenable Identity Exposure ユーザーポータル を操作します。

- 10 -

2.

セキュアリレーをインスト ールする
セキュアリレーでは VPN 接 続 ではなく TLS 暗 号化を使用し、Active Directory データをネット ワーク
から Tenable Identity Exposure SaaS プラット フォームに安全に転送します。要件 によっては複 数のセキュアリレーが可 能 です。
前提条件
l

セキュアリレー仮 想 マシン (VM) 用 の Windows Server への管理 者アクセスlTenable Identity Exposure ダウンロードポータルからダウンロードされた最新 のセキュアリレー
インスト ーラーl

ネット ワークアドレスと認 証ト ークンを含む Tenable Identity Exposure ポータルからの 1 回 限 りのリンクキー

詳 細な前 提条 件 については、Secure Relayを参照してください。

リンクキーの取 得
1. 管 理者 アカウント で Tenable Identity Exposure のウェブポータルに接続します。
2. [システム] > [設定] > [リレー] タブをクリックします。
3. リンクキーの横 にある [クリップボードにコピー] アイコンをクリックします。
セキュアリレーのインスト ール
1. Windows Server VM でインスト ーラーファイルを右クリックし、[管理 者として実行] を選 択 します。
2. インスト ールウィザードのようこそ画面で、[次 へ] をクリックします。
3. [カスタムセット アップ] ウィンドウで、必要に応じて [参照 ] をクリックしてディスクパーティションを変 更し、[次 へ] をクリックします。
4. [リンクキー] ウィンドウで以 下 を行います。

- 11 -

o

ポータルからコピーしたリンクキーを貼り付けます。

oセキュアリレーの名 前 を入 力します。

o[接続 をテスト する] をクリックします。

5. テスト が成功 (緑色 のアイコン) したら、[次 へ] をクリックします。成功 していない場合は、[戻る] をクリックしてエラーを修 正します。
6. [インスト ールの準 備 完了 ] ウィンドウで [インスト ール] をクリックします。
7. インスト ールが完了 したら、[終了 ] をクリックします。
詳 細な手 順については、Install the Secure Relay (GUI)を参照 してください。
ポータルでのリレーのインスト ールの確 認
1. Tenable Identity Exposure ポータルに戻ります。
2. [システム] > [リレー管 理] タブをクリックします。
新 しくインスト ールされたリレーがリレーのリスト に表示されます。Post-installation Checksを参
照 し、インスト ールが成功 したことを確 認します。
リレーの設 定監視 するドメインを追加 すると、新しいオプションが表示され、そのドメインを担当 するセキュアリレー
を選 択 できます。完全な手 順については、Configure the Relayを参照してください。
自動更新
Tenable Identity Exposure は、定 期的にセキュアリレーの更 新 を自 動 でチェックし、インスト ールします (HTTPS アクセスが必要 )。更 新 が行われると、ネット ワークト レイアイコンが表示されます。更 新後、Tenable Identity Exposure サービスが再起 動し、データ収 集 が再 開されます。
3.

Active Directory ドメインの露 出 インジケーター (IoE) を有 効 にする
露出 インジケーター (IoE) を設 定 する前 に、適切 なアクセス許 可 を持つ Active Directory サービス
アカウント を作 成する必要があります (ない場 合)。Tenable Identity Exposure ではセキュリティを監視する管 理者権 限は必要 ありませんが、一部のコンテナではサービスアカウント ユーザーに読 み取- 12 -

りアクセスを許可 するために手動 での設 定が必 要になります。
詳 細については、AD オブジェクト またはコンテナへのアクセスを参 照 してください。

1. デフォルト の「hello@tenable.ad」アカウント などの管 理者 認証情 報を使用 して、Tenable
Identity Exposure ウェブポータルにログインします。
2. 左 上のメニューアイコンをクリックしてナビゲーションパネルを展 開 し、左 側 のパネルで [システム] をクリックします。
フォレスト の追 加
1. [フォレスト 管 理] タブで、[フォレスト の追加] をクリックします。
2. フォレスト の表 示 名 を入力 します (例: Tenable)。
3. このフォレスト 内 のすべてのドメインに接続 するサービスアカウント のログインとパスワードを入力します。
4. [追加] をクリックします。
詳 細については、フォレスト を参 照してください。
ドメインの追 加
1. [ドメインの追 加 ] をクリックします。
2. 監 視するドメインの表示 名 を入力します (例: HQ)。
3. 完 全修 飾 ドメイン名を入 力します (例: sky.net)。
4. ドロップダウンリスト から該 当 するフォレスト を選 択します。
5. セキュアリレーで SaaS を使 用 する場 合は、このドメインを処理 するリレーを選 択します。
6. アカウント に必 要な権 限 がある場合は、[特 権 分 析] ト グルを有効 にします。
7. [特権による分 析] を有 効 にする場合は、Tenable クラウドに対してオプションで [特 権による分 析の転 送] を有 効にします。
8. ドメインコント ローラーでプライマリドメインコント ローラーエミュレーター FSMO ロールに関 する以下 の詳細 を入 力します。

- 13 -o

IP アドレスまたはホスト 名o

LDAP、グローバルカタログ、および SMB ポート については、事前 入 力されたデフォルト
値のままにします

9. 下 部にある [接続 をテスト する] をクリックします。
10. 成 功したら、[追 加] をクリックします。
[ドメイン管理 ] ビューには、LDAP 初 期化、SISFul 初期化、ハニーアカウント の設 定に関 するステータスの列が表 示され、最初のクロールが完了するまで、円形 の読 み込み中アイコンが表 示されます。
詳 細については、ドメインを参 照してください。
初 期 化 の監 視
1. [イベント フロー] ビューに切り替えます。数 分 後に分 析が開 始 され、データの入 力が開始 されます。
2. [システム] > [ドメイン管理 ] に戻ります。
3. LDAP と SYSVOL の初 期化 完了を示す緑 色 のアイコンが表 示されるまで待ちます。
これで、このドメインの露 出 インジケーター (IoE) の監視 が有 効 になりました。ウェブポータルの通 知は、環境 の規模に応 じて数分または数 時間 で表 示されます。
エクスポージャーデータの確 認
1. 左 側のメニューで [露出 インジケーター] をクリックすると、追加したドメインに対してト リガーされたすべてのインジケーターが表示されます。
2. インジケーターをクリックすると、コンプライアンス違 反の原 因となっている危 険なオブジェクト の詳 細が表 示されます。
3. 詳 細を閉じ、[ダッシュボード] に移動 して環境 メト リクスを表示 します。
4.

ドメインの攻 撃 インジケーター (IoA) をデプロイする
IoA をデプロイするには、次に説明 するように、まず 3 つの設定 を実 行する必要 があります。

- 14 -

1. IoA スクリプト は、すべての攻 撃シナリオで必須 です。
2. ハニーアカウント は、Kerberoasting などの特定の攻撃 を検出 するように設定 されています。
3. OS 資格情報 のダンプなどの攻撃を検出するため、監 視対象 ドメインのすべてのドメインコン
ト ローラーに Sysmon をインスト ールします。
Tenable Identity Exposure では、IoA スクリプト とそのコマンドライン、およびハニーアカウント 設 定 コ
マンドラインを提 供しています。ただし、これらの前提条 件は、ドメインコント ローラーまたは適 切な権限 を持つ管 理マシンで直 接実 行 する必 要があります。
詳 細については、攻撃インジケーターのデプロイメント を参 照 してください。

攻 撃 シナリオの設 定
1. 管 理者 の認証 情報 (例: hello@tenable.ad) を使用 して、Tenable Identity Exposure ウェブ
ポータルにログインします。
2. [システム] > [設定] > [攻 撃 インジケーター] と進みます。
3. お使 いの環 境 で有 効にする攻撃シナリオを選 択 します。
4. ドメイン名 の下 にあるチェックボックスを選択 して、利用 可能 なすべての攻 撃シナリオを有 効にします。
5. 右 下の [保 存] をクリックします。
6. 上 部の [手 順を見 る] をクリックします。
IoA エンジンをデプロイする手 順を示すウィンドウが表示 されます。
7. ト グルを使用 して、自 動更 新機能 を有 効または無 効にします。
8. 最 初の [ダウンロード] ボタンをクリックして PS1 ファイルをダウンロードします。
9. 2 番目 の [ダウンロード] ボタンをクリックして JSON ファイルをダウンロードします。
10. インスト ールファイルをダウンロードした場所 を書き留めます。
11. [次の PowerShell コマンドを実行します] というラベルの付 いたフィールドを見 つけます。
12. テキスト フィールドの内 容 をコピーして、テキスト ファイルに貼 り付けます。

- 15 -

13. PS1 および JSON ファイルを、適切な権限のあるドメインコント ローラーまたは管理 サーバーにコピーします。
14. Windows PowerShell の Active Directory モジュールを管 理者 として起 動し、ファイルをホストしているフォルダーに移 動 します。
15. Tenable Identity Exposure ウェブポータルからコピーしたコマンドを貼 り付 けて、[Enter] キーを押 します。
16. グループポリシー管 理 コンソールを開 き、ドメインコント ローラーの OU にリンクされている「Tenable.ad」という名 前の GPO を見つけます。
詳 細な手 順については、攻 撃インジケーターのインスト ールを参 照してください。

ハニーアカウント の設 定
1. Tenable Identity Exposure ウェブポータルに戻 ります。
2. [システム] > [ドメイン管理 ] タブに移動 します。
3. ドメインの右側 にある [ハニーアカウント の設定 ステータス] の下 にある [+] アイコンをクリックします (他の 2 つのステータスが緑色 の場合に利用可能 になります)。
4. [名前検 索] ボックスに、ハニーポット として使用 するアカウント の名 前を入 力します。
5. ドロップダウンリスト からオブジェクト の識 別名を選択します。
6. コマンドラインテキスト フィールドの内容をコピーして、テキスト ファイルに貼 り付 けます。
7. IoA スクリプト を実 行したサーバーに戻ります。
8. PowerShell コマンドラインを開 くか、管理 者として起動します。
9. Tenable Identity Exposure ウェブポータルからコピーしたコマンドを貼 り付 けて、[Enter] キーを押 します。
10. コマンドラインが適 切 に実 行 されることを確認 します。
11. Tenable Identity Exposure ウェブポータルに戻 り、下 部にある [追 加] ボタンをクリックします。
数 秒後 、ハニーアカウント 設 定のステータスが緑の点で表 示されます。

- 16 -

詳 細な手 順については、ハニーアカウント を参照 してください。

Sysmon のインスト ール
Tenable Identity Exposure ウェブポータルは、Sysmon の自 動デプロイメント を提 供 していません。
必要 な Sysmon 設定ファイルについては、Microsoft Sysmon のインスト ールを参 照 してください。
Sysmon は、ドキュメント に記 載されているように手動でインスト ールすることも、GPO でインスト ール
することもできます。
詳 細な手 順については、Microsoft Sysmon のインスト ールを参照 してください。

5.

Tenable Identity Exposure 用 に Microsoft Entra ID を設 定 する
Tenable Identity Exposure は、Active Directory に加えて Microsoft Entra ID もサポート しています。その際、Entra ID のアイデンティティ用の特 別 な IoE を使用します。
詳 細については、Microsoft Entra ID のサポート を参 照 してください。

Entra ID アプリケーションの作 成
1. 適 切な認 証情報 を使 用 して、portal.azure.com で Azure 管理ポータルにログインします。
2. [Azure Active Directory] タイルをクリックし、左 側 のメニューから [アプリの登録] をクリックします。
3. [新規登 録] をクリックし、アプリケーション名 (例 : 「Identity Exposure App」) を入力します。
4. 下 部にある [登録 ] をクリックします。
5. アプリの [概要] ページにある、「アプリケーション (クライアント ) ID」と「ディレクト リ (テナント ) ID」
を書 き留めます。
6. 左 側のメニューにある [証明 書とシークレット ] をクリックします。
7. [新しいクライアント シークレット ] をクリックして説明を入 力し、ポリシーごとに有 効期 限 を設定します。
8. [追加] をクリックし、表 示 されたシークレット 値を安 全に保 存 します。

- 17 -

9. [API アクセス許 可]、[アクセス許可を追 加] の順にクリックします。
10. [Microsoft Graph] を選択 し、次に [アプリケーションのアクセス許可 ] を選 択します。
11. 次 のアクセス許 可を追 加します: Audit Log.Read.All、Directory.Read.All、IdentityProvider.Read.All、Policy.Read.All、Reports.Read.All、
RoleManagement.Read.All、UserAuthenticationMethod.Read.All。
12. [アクセス許可を追加 ] および [管理者の同意を付与する] をクリックします。
Tenable Vulnerability Management の設 定
1. 適 切なアカウント を使 用して、Tenable Vulnerability Management ウェブポータルに接 続 します。
2. メニューから [設 定 ] > [認 証情報 ] をクリックします。
3. [認証情 報の作成 ] をクリックし、[Microsoft Azure] タイプを選 択します。
4. 名 前、説 明を入力 して、[テナント ID]、[アプリケーション ID]、[クライアント シークレット ] に貼 り付 けます。
5. [作成] をクリックします。
6. メニューの [設 定 ] > [マイアカウント ] > [API キー] をクリックします。
7. [生成] をクリックし、警 告 を確 認して [続 行 ] をクリックします。
8. [アクセスキー] と [シークレット キー] の値 をコピーします。
Tenable Identity Exposure の設 定
1. グローバル管 理 者アカウント で接続します。
2. メニューから [システム] > [設 定] > [Tenable クラウド] をクリックします。
3. [Microsoft Entra ID サポート を有 効にする] を切り替えて有 効にします。
4. 前 に生成 したアクセスキーとシークレット キーを入力します。
5. チェックマークをクリックすると、API キーが正 常に送 信されます。
6. [テナント 管 理] タブをクリックし、[テナント の追加 ] をクリックします。

- 18 -

7. Azure AD テナント の名 前を入 力します。
8. 前 に作成 した Azure 認 証情 報を選択します。
9. [追加] をクリックします。
検 出 結 果 の監 視 および確 認
1. Tenable Identity Exposure によってテナント がスキャンされます。次のスキャン時 間を表 示 するには、[スキャンステータス] にカーソルを合 わせます。
2. 最 初のスキャンが終 了 すると、[スキャンステータス] 列に緑色 のアイコンが表 示 されます。
3. 左 側のメニューで [露出 インジケーター (IoE)] をクリックします。
4. タブを使 用 して、AD と Azure AD のインジケーターをフィルタリングします。
5. [すべてのインジケーターを表 示] を切 り替えて、使用可 能 なすべてのインジケーターを表示します。
6. 3 つのタブには、[インジケーターの詳細 ]、[テナント の検 出結果 ]、[推 奨事 項] があります。
7. 潜 在的 なエクスポージャーリスクと修 正ガイダンスを確 認します。
6.

環 境 内 で IoE をセット アップして使 用 する
Tenable Identity Exposure は露 出インジケーター (IoE) を使 用 して、Active Directory のセキュリ
ティ成 熟 度を測 定し、監視 と分 析 の対象 となっているイベント フローに深刻 度レベルを割 り当 てます。
IoE の詳細 については、露出 インジケーター を参照してください。

IoE へのアクセス
1. Tenable Identity Exposure にサインインします。
2. 左 上のアイコンをクリックして、パネルを展開 します。
3. 左 側にある [露出 インジケーター (IoE)] をクリックして、IoE を表示 します。

- 19 -

デフォルト のビューには、環 境内で潜在的 に脆 弱 な設定項 目が、[重 大 ]、[高]、[中 ]、[低]の深 刻度 別に評 価 されて表 示されます。
すべての IoE の表 示
l[すべてのインジケーターを表 示] の右にあるト グルをクリックします。
oTenable Identity Exposure インスタンスで利 用 可 能 なすべての IoE を確認できます。
ドメインが表示 されない項目は、そのサイバーエクスポージャーのない項 目 です。

o[すべてのインジケーターを表 示] の右側に [ドメイン] と表 示 されます。環 境内に複 数のドメインがある場 合は、クリックして表示 するドメインを選択 します。

IoE の検 索l[インジケーターの検 索 ] をクリックし、「パスワード」などのキーワードを入 力します。
パスワードに関 連するすべての IoE が表示 されます。

IoE の詳 細 の確 認lインジケーターに関 する追 加 情報 を表示するには、そのインジケーターをクリックします。
o

詳細ビューは、特定 のサイバーエクスポージャーのエグゼクティブサマリーで始 まります。

o

次に、それに関連 するドキュメント と、この特 定 の項 目が露出 される可能 性のある既知の攻撃 者ツールをリスト します。

l

右 側には、[影 響を受けたドメイン] が表示されます。
o[脆弱 性 の詳 細] タブをクリックして、この IoE に対 して行 われたチェックに関 する追 加 情報を確認します。

o[危険 なオブジェクト ] タブをクリックして、サイバーエクスポージャーをト リガーしたオブジェ
クト と理 由 のリスト を表 示します。

o

リスト でオブジェクト を展開 すると、逸脱 の原因 に関 する詳細 を確 認できます。

クエリの作 成- 20 -

1. クエリを作 成するには、[式を入 力してください] をクリックし、項 目の Boolean クエリを入 力 しま
す。左側 にあるフィルターアイコンをクリックして、クエリを作成することもできます。
2. [無視] ト グルをクリックして、開始日と終 了 日 の設 定、ドメインの選 択、および無 視された項
目 の検索 を行 うことができます。
完 全な手 順 については、逸 脱オブジェクト を検 索を参照してください。

危 険 なオブジェクト の無 視 またはエクスポートl

リスト 内 のオブジェクト を無 視 して非表示 にすることができます。
o

1 つ以上のオブジェクト を選択し、ページ下部 にある [アクションの選択 ] をクリックします。

o[選択 されたオブジェクト を無 視] を選択し、[OK] をクリックします。

o

選択されたオブジェクト を無 視する期間 の終了日を選択 します。

o

[選択 されたオブジェクト の無視を停 止] オプションを使 用して、同じ方法 でオブジェクトの無視を停 止 できます。

l

このインジケーターのすべての危険なオブジェクト のリスト を CSV ファイルとしてエクスポート するには、[すべてエクスポート ] ボタンをクリックします。
完 全な手 順 については、逸 脱オブジェクト を参 照してください。

修 正 の推 奨 事 項
l[推奨事 項] タブをクリックして、このインジケーターの修 正 方法 に関する推 奨事項 を表示 します。
修 正のユースケースについては、露 出インジケーターからの逸脱 を修正 も参照 してください。

7.

イベント フローを使 用 して AD の設 定 変 更 を追 跡 するイベント フローは、AD インフラに影響 を与えるイベント をリアルタイムで監 視し分 析した結果 を表示します。イベント フローを使 用して、重 大な脆弱性と推奨 される修正 方法を特定できます。

- 21 -

詳 細は、イベント フローおよびイベント 情報のユースケースを参照してください。

イベント フローへのアクセス
1. Tenable Identity Exposure にサインインします。
2. 左 上のアイコンをクリックして、ナビゲーションバーを展開 します。
3. [イベント フロー] をクリックします。
[イベント フロー] ページの操 作[イベント フロー] ページが開き、ソースタイプ、オブジェクト パス、ドメイン、日付を含むイベント のリス
ト が表 示 されます。
1. 右 上にある日 付ボックスをクリックして、検索する日付 を指 定します。
2. [ドメイン] をクリックして、Active Directory サーバーまたはフォレスト を変 更します。
3. 右 上にある一 時停 止ボタンをクリックして、イベント フローのキャプチャを一時 停止 または再開します。
クエリの作 成検索 用 のクエリを作 成 する方 法には、手 動 かウィザードを使用 する 2 つの方 法があります。
lイベント を手 動でフィルタリングするには、検索ボックスに式 を入力 し、ブール演算 子を使用 して結果を絞 り込みます。
詳 細については、イベント 情 報 を手動で検索 を参 照してください。

l

検 索ウィザードを使 用する場 合
1. 左側のマジックワンドアイコンをクリックします。
2. プロンプト に従 って、クエリ式 を作 成して組み合 わせます。
詳 細については、ウィザードを使用してイベント 情報 を検 索およびイベント 情報 のクエリをカスタマイズするを参 照 してください。

- 22 -

イベント 詳 細 の表 示
重要 なイベント を特 定 したら、次 の操作を行 います。
1. イベント をクリックします。これにより、そのオブジェクト の変更される属性 が表 示されます。
2. 左 側にある青 い点 のアイコンにカーソルを合わせると、イベント の前 後の値を比較できます。
3. 項 目にカーソルを合わせると、追加 情報が表 示されます。
4. [値全体 を表示 ] をクリックし、情報をクリップボードにコピーするボタンをクリックします。
設 定 変 更 の特 定Active Directory サーバーにおけるサイバーセキュリティの課 題の 1 つは、大 規模 な設 定変 更 を行う
際に、サイバー空 間に露 呈された資産 に影響 を与 えないようにすることです。設 定変 更を特 定 す
るには、次の操 作を行います。
1. マジックワンドアイコンをクリックします。
2. [逸脱のみ] を有 効にします。
3. [検証] をクリックします。
サイバー空 間 に露 呈 されたリスクの項 目 を表 示 します。
イベント の横に赤いひし形 の記 号 が表示 されます。イベント をクリックすると、設 定の変 更に関 する
情報 が表 示されます。[逸 脱] というラベルの付いた追加のタブが利 用可 能です。クリックすると、作成または解 決 した特 定のサイバー空 間に露 呈 されたリスク項 目が表 示 されます。
8.

IoA を使 用 して AD に対 する潜 在 的 な攻 撃 を特 定 する
Tenable Identity Exposure の攻 撃 インジケーター (IoA) により、Active Directory (AD) に対 する攻撃を検 出することができます。
詳 細については、攻撃インジケーター を参照 してください。

IoE へのアクセス- 23 -

1. Tenable Identity Exposure にサインインします。
2. 左 上のアイコンをクリックして、ナビゲーションバーを展開 します。
3. [攻撃インジケーター] をクリックします。
タイムラインのフィルタリング
デフォルト では、現 在の攻撃 検 出のタイムラインが表示 されます。フィルターを変更 するには、次 の操作 を行います。
l[日]、[月 ]、[年] のいずれかをクリックします。

l

タイムフレームを変 更 するには、カレンダーアイコンをクリックして適 切 なタイムフレームを選 択します。

表 示 のフィルタリング
ポータルの右側 にあるセレクターを使 用して、特 定のドメインまたは IoA の表 示をフィルタリングできます。
1. [ドメイン] をクリックして選択 肢を表示し、選択します。
2. [X] をクリックして閉じます。
3. [インジケーター] をクリックして選択肢を表示し、選択します。
4. [X] をクリックして閉じます。
例として、2022 年 に起きたイベント を表示するには、次の操作を行 います。
1. [年] ボタンをクリックし、[2022] を選 択します。
2. タイムラインの赤と黄色 のバーをクリックします。
3. その月に検 出 された上 位 3 つの深刻度 が重 大な攻 撃と上 位 3 つの中程度 の攻撃 を示 す
新 しいビューが表 示されます。
4. ブラックボックスの外 側 をクリックして、ビューを閉じます。
検 出 された攻 撃 の詳 細 表 示
タイムラインの下 には、攻撃 が検出 された監 視対 象ドメインのカードが表示されます。

- 24 -

l[並べ替 え] ドロップダウンをクリックします (現在 は [ドメイン] に設 定されています)。

lドメイン、インジケーターの重 大度、フォレスト のいずれかでカードを並べ替えることができます。

l

特 定のドメインまたは攻 撃 を検 索 するには、検索ボックスを使用 します。

lデフォルト では、攻撃 を受 けたドメインのカードのみが表 示されます。[攻撃 を受 けたドメインのみを表示] を [はい] から [いいえ] に切 り替えて、各ドメインを表 示 するビューに切り替 えます。

グラフのカスタマイズ
カードには、グラフと上位 3 つの攻 撃の 2 種類の情報が含 まれています。
1. グラフの種類を変 更 するには、カードの右上にある鉛筆 アイコンをクリックします。
2. [攻撃の分布 ] または [イベント 数] のいずれかを選択 します。
3. [保存] をクリックします。
インシデント の詳 細 表 示
検出 された攻 撃に関する詳 細を表 示するには、次の操作を行います。
l

カードをクリックしてこのドメインに関 連するインシデント を表示します。

l

フィルタリングするには、検 索ボックスを使 用するか、開始 日 や終 了日、または特定のインジケーターを選択 します。もしくは、[いいえ] と [はい] のボックスを切り替え、クローズしたインシ
デント の表 示 と非 表示 を切り替えます。

l

インシデント をクローズするには、アラート を選 択し、下部 にある [アクションの選択 ] メニューをクリックし、[選 択 されたインシデント をクローズする] を選 択 して、[OK] をクリックします。

lインシデント を再 オープンするには、アラート を選択し、[アクションの選 択] メニューをクリック
し、[選 択されたインシデント を再オープンする] を選択 して、[OK] をクリックします。

攻 撃 の詳 細 と YARA 検 出 ルールの表 示- 25 -

l

攻 撃をクリックして、詳 細ビューを開 きます。説 明パネルには、攻 撃のインシデント の説 明 、MITRE ATT&CK フレームワーク情 報、外部 ウェブサイト へのリンクを含 む追 加リソースが表示
されます。

l

[YARA 検 出ルール] パネルをクリックすると、検 出 ツールでマルウェア調査を実行できるルールの例 が表示 されます。

l[すべてエクスポート ] をクリックして、インシデント のリスト をエクスポート します。使 用できる形
式 は CSV のみです。

通 知 とアラート
Tenable Identity Exposure が攻撃 を検出すると、右上 のベルのアイコンに通知 が表示 されます。これらの攻撃 は、[攻撃 アラート ] タブに表 示されます。
9.

アラート を設 定 して使 用 する
Tenable Identity Exposure のアラート システムは、監 視対 象の Active Directory におけるセキュリ
ティの悪 化 や攻 撃を特定 するのに役立ちます。メールまたは Syslog 通 知を使 って、脆 弱 性や攻撃に関 する分 析データをリアルタイムでプッシュします。
完 全な手 順については、アラート を参照 してください。

SMTP サーバーの設 定
1. Tenable Identity Exposure に接続します。
2. [システム] > [設定] の順 にクリックします。
3. このメニューから SMTP サーバーを設 定します。
メールアラート の作 成
1. [アラート エンジン] で、[メール] をクリックします。
2. [メールアラート の追 加 ] ボタンをクリックします。
3. [メールアドレス] ボックスに、受信者 のメールアドレスを入 力 します。

- 26 -

4. [説明] ボックスに、アドレスの説明を入 力します。
5. [アラート のト リガー] ドロップダウンリスト から、[変 更時]、[各 逸脱時 ]、または [各 攻撃時 ] を選 択します。
6. [プロファイル] ドロップダウンで、このメールアラート に使用 するプロファイルを選択 します。
7. [逸脱時 にアラート を送 信] ボックスにチェックを入 れると、システムの再 起 動でアラート がト リガーされるとメール通知 が送 信されます。
8. [深刻度 のしきい値 ] ドロップダウンから、Tenable Identity Exposure がアラート を送信 するし
きい値を選択します。
9. アラート を送信するインジケーターを選択します。
10. アラート のドメインの選 択
a. [ドメイン] をクリックして、Tenable Identity Exposure がアラート を送 信するドメインを選択します。
b. フォレスト またはドメインを選 択し、[選択内 容でフィルター] ボタンをクリックします。
11. [設定のテスト ] ボタンをクリックします。
Tenable Identity Exposure がメールアラート をサーバーに送信 したことを確認 するメッセージが表 示 されます。
12. [追加] ボタンをクリックします。
Tenable Identity Exposure によりメールアラート が作成されたことを確 認 するメッセージが表示 されます。
Syslog アラート の作 成
1. [Syslog] をクリックし、[Syslog アラート の追加] ボタンをクリックします。
2. [コレクターの IP アドレスまたはホスト 名] ボックスに、通知 を受信 するサーバーのサーバー IP
かホスト 名を入 力します。
3. [ポート ] ボックスに、コレクターのポート 番号を入力します。
4. [プロト コル] ドロップダウンから、[UDP] または [TCP] を選 択します。

- 27 -

5. [TCP] を選 択した場 合は、[TLS] オプションのチェックボックスを選択して、TLS セキュリティプロ
ト コルを有 効にします。
6. [説明] ボックスに、コレクターの簡 単 な説明を入力します。
7. アラート をト リガーするための 3 つのオプション、[変更時]、[各逸 脱時 ]、[各 攻撃 時] から 1 つを選 択します。
8. [プロファイル] ドロップダウンで、この Syslog アラート に使 用 するプロファイルを選 択 します。
9. システムの再 起動 またはアップグレードの後 にアラート を送 信 する場合 は、[初期 分 析フェーズ
中 に逸脱 が検 出された場 合にアラート を送信 する] にチェックを入 れます。
10. 変 更時 にト リガーするアラート を設定する場 合は、イベント 通 知をト リガーする式 を入力します。
11. [設定のテスト ] ボタンをクリックします。
Tenable Identity Exposure が Syslog アラート をサーバーに送信 したことを確 認するメッセージが表 示 されます。
12. [追加] をクリックします。
Tenable Identity Exposure により Syslog アラート が作 成 されたことを確認するメッセージが表示 されます。
10.

Tenable Identity Exposure ポータルでダッシュボードを設 定 する
ダッシュボードを使用すると、Active Directory のセキュリティに影響を与 えるデータや傾 向 を視 覚化できます。ウィジェット でダッシュボードをカスタマイズし、要件に応 じてグラフやカウンターを表 示 できます。
詳 細については、ダッシュボードを参 照 してください。

ダッシュボードへのアクセス
1. Tenable Identity Exposure にサインインします。
2. 左 上のアイコンをクリックして、ナビゲーションバーを展開 します。

- 28 -

カスタムダッシュボードの作 成
1. [ダッシュボード] に移動 し、[追 加] をクリックします。
2. [ダッシュボードの追 加] をクリックします。
3. 名 前を付けて [OK] をクリックします。
ダッシュボードへのウィジェット の追 加
1. 右 上にある [追加 ] をクリックします。
2. [このダッシュボードにウィジェット を追加 ] を選 択するか、画面中 央のボタンをクリックします。
3. ウィジェット のタイプ (棒 グラフ、折 れ線 グラフ、カウンター) を選択 します。
折 れ線 グラフウィジェット の設 定
1. [折れ線 グラフ] をクリックします。
2. ウィジェット に名前 を付 けます (例: 「過 去 30 日間の逸脱 」)。
3. データのタイプ (ユーザー数 、逸脱数 、コンプライアンススコア) を選 択します。
4. [逸脱] を選 択 し、1 か月に設 定します。
5. [インジケーターなし] をクリックし、使用するインジケーターを選択 します。
6. データセット に「重 大 」などの名 前 を付けます。
7. 必 要に応 じて他 のデータセット (例: 中および低) を追加 します。
8. [追加] をクリックします。
棒 グラフウィジェット の追 加
1. [棒グラフ] をクリックします。
2. これに「コンプライアンス」という名 前 を付 け、コンプライアンススコアのデータタイプを選 択 します。
3. すべてのインジケーターを選 択 します。

- 29 -

4. データセット に「IoE」などの名 前を付けます。
5. [追加] をクリックします。
カウンターウィジェット の追 加
1. [カウンター] をクリックします。
2. ウィジェット に「ユーザー」などの名前を付 け、データのタイプを [ユーザー数 ] に設 定 します。
3. ステータス [すべて] を選択 し、ドメインを選 択します。
4. データセット に名 前を付けて、[追 加] をクリックします。
11.

攻 撃 経 路 を表 示 する
Tenable Identity Exposure は、グラフィック表示 を通してビジネス資産 の潜 在的な脆 弱性を視 覚化する方 法を複数提供 しています。
詳 細については、攻撃経路 を参 照してください。

攻 撃 経 路 機 能 へのアクセス
1. Tenable Identity Exposure にサインインします。
2. 左 上のメニューアイコンをクリックして、ナビゲーションバーを展 開します。
3. [セキュリティ分 析 ] セクションで、[攻 撃経路] をクリックします。攻 撃経 路機能 には、次 の 3 つのモードがあります。
o

攻撃経 路

o

影響範 囲

o

露出資 産

[影 響 範 囲 ] モードの使 用
1. [検索] ボックスにアカウント の名前 (例: 「John Doe」) を入 力 します。
2. リスト からアカウント を選 択し、虫めがねのアイコンをクリックします。

- 30 -

3. 選 択済 みの侵 害されたアカウント からの影 響範囲を調査します。
4. 必 要に応 じて、ノードをフィルタリングして表示します。
5. エンドポイント にカーソルを合 わせると、攻 撃経路が表示されます。
6. オプションを切り替 えて、すべてのノードのツールチップを表示 します。
7. ズームバーを使用 して、表 示を調 整します。
8. 検 索オブジェクト を変 更 するには、アカウント 名の横にある [X] をクリックして、新しい検 索 を実 行します。
[露 出 資 産 ] モードの使 用
1. 検 索ボックスに、機密 性の高 いサーバーの名 前 (例 : 「srv-fin」) を入力 します。
2. リスト からオブジェクト を選 択し、虫 めがねのアイコンをクリックします。
3. 選 択した機 密 性の高 いサーバーに対 する露出資産 を調査します。
4. [影響範 囲] モードと同 様 のオプションを使用します。
5. パスにカーソルを合わせると、詳細が表 示されます。
6. オプションを切り替 えて、すべてのノードのツールチップを表示 します。
7. 下 部のバーを使用 して、ビューを調整します。
[攻 撃 経 路 ] モードの使 用
1. 開 始ポイント の [検索 ] ボックスに侵害されたアカウント の名 前 (例: 「John Doe」) を入力 します。
2. アカウント 名 をクリックします。
3. 到 達ポイント の検 索ボックスに、機 密性の高い資産の名 前 (例: 「s or v-fin」) を入 力 します。
4. 資 産名 をクリックします。
5. 虫 めがねのアイコンをクリックします。
6. 侵 害されたアカウント と機密 性の高い資産の間で想定される攻撃 経路 を調査します。

- 31 -

7. [影響範 囲] モードおよび [露 出 資産 ] モードと同 様のオプションを使 用します。
追加機能l[私が特権 を持 つ資 産をコント ロールできるのは誰 ですか]: 特 権資産 への攻 撃経 路 があるす
べてのユーザーアカウント とコンピューターアカウント を表 示 します。

l

[私が権限 を持 つ資 産はどれですか]: ティア 0 資 産とその資 産につながる潜在 的な攻撃 経
路 があるアカウント をリスト します。

lタブを切 り替えてリスト を表示 します。

l

表 示を切り替えるには、アイテムの横 にある虫 めがねのアイコンをクリックします。

l

青 い矢印 と点 のアイコンをクリックすると、この資 産のみを表 示するフィルターが適用された露出 資産 ビューが開きます。

結 果 の解 釈
1. 攻 撃経 路 機能を使用 して仮定を確 認し、エンティティ間 の危険 な攻撃 経 路 を視 覚 化 します。
2. 修 正アクションを実 行して、特 定 された攻撃経 路を閉じます。
ヒント : Tenable Identity Exposure の詳 細 は、次のカスタマー向け説明 資料で確 認してください。
lTenable Identity Exposure Self Help Guide(Tenable Identity Exposure セルフヘルプガイド)lTenable Identity Exposure Introduction (Tenable University)(Tenable Identity Exposure の概要 (Tenable University))- 32 -

Tenable Identity Exposure のセキュアリレー
バージョン 3.59 では、セキュアリレーコンポーネント は Tenable Identity Exposure プラット フォームで指定 されたタスクを引き継ぎます。
l

AD オブジェクト を収集 するディレクト リリスナー (DL) コンポーネント へのデータの転送 元になるドメイ
ンを設 定 できます。

l

自動 更 新 により、大 規模 なインフラのセット アップとメンテナンスが容 易になります。同 時アップグレー
ドを必 要とする複数 の DL が不 要 になりました。

l

単一 の DL とさまざまなエンドポイント (製品 内認 証 のためのドメインコント ローラー、SMTP またはSYSLOG サーバー、LDAP サーバーなど) との間のブリッジとして機能します。

l

1 つまたは複数 のドメインに関 連付 けられます。DL が管理 できるリレーの数 に制 限はありません。

lTenable Identity Exposure コンソールでネーミングやマッピング (ドメイン、SMTP、SYSLOG、LDAP
認証 ) などを設 定する必 要 があります。

始 める前 にセキュアリレーを備えた Tenable Identity Exposure 3.59 のインスト ールまたはアップグレードを行 う際は、次のガイドラインに従 います。
1. セキュアリレーの要 件を確認 します。
2. ネット ワーク要 件
o以 前のバージョンと現 在のバージョンでは、DL が AMQP(S) プロト コルを使 用して SEN と直 接通 信していました。

oバージョン 3.59 では、複 数 の DL がリレーに置 き換 わりに、HTTPS 経由 で残りの唯一の DL と通 信します。

oEnvoy はリバースプロキシです。

3. リンクキー: セキュアリレーのインスト ールには、ネット ワークのアドレスと認 証ト ークンを含む 1 回のみ
使用 可 能 なリンクキーが必 要 です。Tenable Identity Exposure は、セキュアリレーのインスト ールが成功 するたびに新 しいキーを再 生成します。

リンクキーを取得 するには

- 33 -

1. Tenable Identity Exposure コンソールで、左側のメニューバーの [システム] をクリック
し、[設 定 ] タブ > [リレー] の順に選 択します。

2.

をクリックしてリンクキーをコピーします。

4. ロールのアクセス許 可 : リレーを設 定 するには、ロールベースのアクセス許 可 を持つユーザーである必
要があります。必 要なアクセス許 可 は次のとおりです。
l

データエンティティ: エンティティリレーlインターフェースエンティティo[管理 ] > [システム] > [設 定] > [アプリケーションサービス] > [リレー]o[管理 ] > [システム] > [リレー管 理]

詳 細については、ロールのアクセス許可 の設 定を参 照してください。
インスト ール手 順
必 要 なユーザーロール: ローカルマシンの管理者- 34 -

セキュアリレーをインスト ールするには
1. Tenable のダウンロードサイト からセキュアリレーの実行可能プログラムをダウンロードします。
2. ファイル tenable.ad_SecureRelay_v3.xx.x をダブルクリックして、インスト ールウィザードを開 始します。
[ようこそ] 画面 が表示されます。

3. [次 へ] をクリックします。
[カスタムセット アップ] ウィンドウが表示されます。

- 35 -

4. [参 照 ] をクリックして、セキュアリレー用 に予 約した (システムパーティションとは別の) ディスクパーティ
ションを選 択 します。
5. [次 へ] をクリックします。
[リレー設 定 ] ウィンドウが表示 されます。

- 36 -

6.
7. 以下 の情 報を入力します。
a. [リレー名 ] ボックスに、セキュアリレーの名 前 を入 力します。
b. [リンクキー] ボックスに、Tenable Identity Exposure ポータルから取得 したリンクキーを貼 り付
けます。
c. プロキシサーバーを使 用する場合は、[リレー呼 び出 しに HTTP プロキシを使 用 する] オプショ
ンを選択し、プロキシアドレスとポート 番 号 を入力 します。
8. [次 へ] をクリックします。
プロキシ設 定ウィンドウが表 示されます。

- 37 -

9. 次のいずれかのオプションを選 択 します。
a. なし: プロキシサーバーを使用 しません。
b. 非 認 証 : プロキシサーバーのアドレスとポート を入 力します。
c. 基 本 認 証 : アドレスとポート に加えて、プロキシサーバーのユーザーとパスワードを入力 します。
注 意 : 「非 認 証 」または「基 本 認証 」を使用してプロキシを設 定するために、リレーは IPv4 アドレス
(192.168.0.1 など) または http:// や https:// のないプロキシ URI (myproxy.mycompany.com など)
のみをサポート し、IPv6 アドレス (2001:0db8:85a3:0000:0000:8a2e:0370:7334 など) はサポート しません。

10. [接 続 をテスト する] をクリックします。次 のいずれかが発 生します。
l

緑 色 のライト - 接 続 に成功 しました。

l

無 効 なリンクキー - Tenable Identity Exposure ポータルからリンクキーを取 得してください。

l

無 効 なリレー名 - このボックスは空 のままにできません。リレーの名前を入力 してください。

- 38 -

l

接 続 に失 敗 しました - インターネット アクセスを確 認してください。
ヒント :- 接 続 に失敗した場 合 は、ディレクト リリスナーサーバーの環 境変数 「ALSID_CASSIOPEIA_CETI_
Service__Broker__Host」を検証してください。
- セキュリティエンジンノードの IP アドレスに設 定 されていることを確認します。この変数がデフォルトの「127.0.0.1」に設定 されている場合 、セキュアリレーのインスト ールが失 敗します。
- 環 境 変 数「ALSID_CASSIOPEIA_CETI_Service__Broker__Host」を更新 した後、Ceti サービスを
再 起 動 します。
- セキュアリレーのインスト ールを再 開 します。そうしないと、ロールバックしてリレーと Envoy の各 サー
ビスがインスト ールされたままになり、それ以上のインスト ールがブロックされます。

11. [次 へ] をクリックします。
[インスト ールの準 備 完 了 ] ウィンドウが表示されます。
12. [インスト ール] をクリックします。
13. インスト ールが完了 したら、[終 了 ] をクリックします。
インスト ール後 のチェック
セキュアリレーのインスト ールが完 了したら、次の点を確認してください。
Tenable Identity Exposure にインスト ールされているリレーのリスト
インスト ールされているリレーのリスト を表 示するにはlTenable Identity Exposure で、左 側のメニューバーの [システム] をクリックし、[リレー管 理 ] タブを
選択 します。
このペインには、セキュアリレーとそのリンクされたドメインのリスト が表示されます。

サービス
インスト ールが成 功 すると、次 のサービスが実行 されます。
lTenable_Relayltenable_envoy
注 意 : Envoy ライセンスは、Tenable Identity Exposure の [システム] > [法 的 情 報 ] > [Envoy ライセンス]にあります。

- 39 -

環境変数
インスト ールの際には、名前が「ALSID」で始まるセキュアリレーに関連 する 4 つの新 しい環 境変数も追 加されます。プロキシサーバーの使 用を選 択した場合 、プロキシ IP およびポート に関連する 2 つの追 加 の変数 が存 在 します。
ト ラブルシューティング用 のログ
ログは次 の場 所にあります。
lインスト ールログ: C:\Users\<your user>\AppData\Local\Templ

リレーログ: インスト ール時 に指定 されたフォルダー内のセキュアリレーをホスト している VM 上

リレー設 定l

リレーの設 定自動更新
セキュアリレーをインスト ールすると、Tenable Identity Exposure は新しいバージョンを定期 的にチェックするようになります。このプロセスは完 全 に自 動 化されており、ドメインへの HTTPS アクセス (TCP/443) が必要です。ネット ワークト レイのアイコンは、Tenable Identity Exposure がセキュアリレーを更新 していることを示します。プロセスが完 了 すると、Tenable Identity Exposure サービスが再 起動 しデータ収集 が再開されます。
アンインスト ール

セキュアリレーをアンインスト ールするには
1. Windows で、[設 定 ] > [アプリと機 能 ] > [Tenable Identity Exposure セキュアリレー] の順に移 動
します。
2. [アンインスト ール] をクリックします。
アンインスト ールが完 了すると、Tenable Identity Exposure セキュアリレーサービスと環 境変 数 がシステムに表 示 されなくなります。
3. Tenable Identity Exposure で、左 側のメニューバーの [システム] をクリックし、[リレー管 理 ] タブを
選択 します。

- 40 -

4. アンインスト ールしたばかりのリレーを選択し、をクリックして使用可 能なリレーのリスト から削 除 し

ます。

関連項 目
l

Troubleshoot Secure Relay Installation

セキュアリレーの要件
セキュアリレーとは、この図 に示 すように、VPN の代 わりに Transport Layer Security (TLS) を使用 して、
ネット ワークから Tenable Identity Exposure に Active Directory データを転 送する転 送モードのことです。
ネット ワークがインターネット に到達 するためにプロキシサーバーを必要 とする場 合、リレー機能は認 証 のあ
るまたはない HTTP プロキシもサポート します。
Tenable Identity Exposure は、お客様 のニーズに応 じてドメインにマッピングできる複数 のセキュアリレーをサポート することができます。

TLS 要 件TLS 1.2 を使 用 するには、2024 年 1 月 24 日の時 点で、リレーサーバーが次の暗号 化 パッケージのうち少なくとも 1 つをサポート している必要 があります。
l

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256l

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384l

TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256

また、リレー機 能との互換性 のために、Windows の設定 が、指定された暗号 化パッケージと一 致している
ことを確 認してください。

- 41 -

暗 号 化 スイート を確 認 するには
1. PowerShell で次のコマンドを実 行 します。
@("TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256", "TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384", "TLS_ECDHE_
RSA_WITH_CHACHA20_POLY1305_SHA256") | % { Get-TlsCipherSuite -Name $_ }2. 出力 TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256 を確認 します。

3. 出力 が空 白の場 合、リレーの TLS 接 続 が機能するために必要 な暗号 化パッケージがどれも有効になっていないことを示 します。少 なくとも 1 つの暗 号 化 パッケージを有 効 にします。
4. リレーサーバーの楕円 曲 線暗 号 (ECC) 曲 線 を検証します。この検証 は、ECDHE (Elliptic Curve
Diffie-Hellman Ephemeral) 暗号 化スイート を使用する場 合に必須 です。PowerShell で次 のコマ
ンドを実 行 します。

- 42 -

Get-TlsEccCurve

5. 曲線 25519 があることを確認 します。有効 になっていない場 合 は有効 にします。

Windows の暗 号 化 設 定 を検 証 するには
1. IIS Crypto ツールで、次 のオプションが有 効 になっていることを確 認 します。
lクライアント プロト コル: TLS 1.2

l

暗 号: AES 128/128 および AES 256/256l

鍵 交換 : ECDH

2. 暗号 化 設 定を変 更した後 、マシンを再起動 します。
注 意 : Windows の暗号 化設 定を変 更すると、マシン上 で実 行され、「Schannel」として知られる
Windows TLS ライブラリを使 用するすべてのアプリケーションに影響します。したがって、調 整によって意 図しない問題 が発生 しないようにしてください。選 択した設 定 が、組織の全 体 的な強 化目 標またはコンプラ
イアンス要 件 に適 合していることを確認します。

必 要 なポート- 43 -

l

プロキシサーバーのない従 来 のセット アップの場合、リレーには次のポート が必要 です。

プロキシサーバーを使 用 したセット アップの場合 、リレーには次 のポート が必 要 です。

注 意 : ネット ワークフローは、オンプレミスと SaaS の両方のプラット フォームで同 じように機能します。

仮 想 マシンの前 提 条 件
セキュアリレーをホスト する仮想 マシン (VM) の要件は次 のとおりです。
顧客

Tenable Identity

必要

メモリ (イvCPU (イディスクト ポロ

利用可能の規

Exposure サービス

なイン

ンスタン

ンスタン

ジ

なディスク

- 44 -

スタン

模

ス

任意

l

Tenable_

1

Relay

のサイ
ズ

l

容 量 (イン
スごと)

スごと)

スタンスご
と)

8 GB の2 vCPURAM

システムパー

30 GB

ティションとは別のログ用

tenable_パーティション

envoy

注 意 : セキュアリレーとディレクト リリスナーを同 じ仮想 マシンにインスト ールする場 合は、それぞれのサイズ要 件 を合算する必要 があります。Resource Sizingを参 照してください。
ヒント : 初 回インスト ールでは、インスト ールプロセスを妨 げる可 能 性のある既存 の GPO ポリシーを継承しないように、VM を非ドメイン参加のままにしておくことをお勧めします。インスト ールの完 了後、VM をドメインに参 加させる
ことができます。

VM には次 の要 件も必要です。
lHTTP/HTTPS ト ラフィック - HTTP/HTTPS ト ラフィックがセキュアリレーマシンに向 かうようにクライアン
ト を削 除 する、無 効化する、バイパスする、または許 可リスト に追加 します。このアクションにより、セキュアリレーのインスト ールがブロックされ、Tenable プラット フォームに向かうト ラフィックが停 止 したり、遅くなったりします。

lWindows Server 2016 以降のオペレーティングシステム (Linux 以 外)l

解決 済 みのインターネット に接 続 した DNS のクエリと、少なくとも cloud.tenable.com および *.tenable.ad に対 するインターネット アクセス (TLS 1.2)l

ローカル管理者 権限l

EDR、ウイルス対策 、GPO 設定o

VM に十 分な CPU が残 っている — たとえば、Windows Defender のリアルタイム保護 機 能は、CPU 使用率 がかなり高 く、マシンを飽 和 させる可 能性 があります。

o

自 動更 新- 45 -

n*.tenable.ad への呼び出しを許 可 し、自動 更新 機能 がリレー実 行可能 ファイルをダ
ウンロードできるようにします。

n

自動更 新 機能 をブロックしているグループポリシーオブジェクト (GPO) がないことを確 認します。

n「リレーアップデーター」のスケジュールタスクを削除したり変更 したりしないでください。

許 可 されたファイルとプロセスリレーをスムーズに動作 させるには、特定 のファイルとプロセスをアンチウイルスや EDR (エンドポイント 検
知 ・対 応)、XDR (拡張 検知 ・対応) などのサードパーティセキュリティツールに許可 します。
注意: C:\ パスをリレーのインスト ールドライブに合わせて変 更してください。

Windows
ファイル
C:\Tenable\*
C:\tools\*
C:\ProgramData\Tenable\*- 46 -

プロセス
nssm.exe --> パス: C:\tools\nssm.exe
Tenable.Relay.exe --> パス: C:\Tenable\Tenable.ad\SecureRelay\Tenable.Relay.exe
envoy.exe --> パス: C:\Tenable\Tenable.ad\SecureRelay\envoy.exe
updater.exe --> パス: C:\Tenable\Tenable.ad\updater.exe
powershell.exe --> パス: C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe (OS のバージョンによって異 なる場合 があります)
スケジュールされたタスク
C:\Windows\System32\Tasks\Relay updater
C:\Windows\System32\Tasks\Manual Renew Apikey
C:\Windows\System32\Tasks\Tenable\Tenable.ad\SecureRelay\CompressLogsSecureRelay
C:\Windows\System32\Tasks\Tenable\Tenable.ad\SecureRelay\RemoveLogsSecureRelay
レジスト リキー
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Tenable\Tenable.ad Secure Relay

リレーの設 定インスト ール時 およびインスト ール後のチェックの後 、Tenable Identity Exposure でリレーを設 定してドメインにリンクし、アラート を設定 します。
oドメインマッピング: 複数 の DL アプリケーション設 定 またはネット ワーク環境 変数を必要 なドメイン設定に置 き換えます (編集 の回 数は異 なる場 合があります)。
ドメインをセキュアリレーにマッピングするには
1. Tenable Identity Exposure で、左側のメニューバーの [システム] をクリックし、[ドメイン管 理 ]タブを選 択 します。
2. ドメインのリスト で、リンクするドメインを選択 し、行 の末 尾 にある[ドメインの編 集 ] ペインが開きます。

- 47 -

をクリックします。

3. [リレー] ボックスの矢 印をクリックして、インスト ールされているリレーのドロップダウンリスト を表
示 し、ドメインにリンクするリレーを選択します。

[編 集 ] をクリックします。
Tenable Identity Exposure がドメインを更新 したことを確 認するメッセージが表 示されます。
Sysvol と LDAP が同 期し、変更が含 められます。イベント フローが新しいイベント の受 信を開始 します。
o

アラート マッピングn

SMTP 設 定: SMTP サーバー設定を必 要に応じて編 集します。

nSyslog アラート : Syslog アラート を設定 します (編集回数 は異 なる場 合 があります)。

- 48 -

o

LDAP マッピング: LDAP 認 証を実 装します。

関連項 目
l

Secure Relay - FAQs

セキュアリレーのインスト ール (CLI)
次の手 順では、コマンドラインを使用 してセキュアリレーをインスト ールします。始 める前に、Secure Relayで説 明 されているように、必 要 な前 提 条 件を満 たしていること、および必 須 のリンクキーがあることを確認してください。

CLI を使用 してセキュアリレーをインスト ールする方法
1. Tenable Identity Exposure ダウンロードポータルから VM にインスト ーラーをダウンロードします。
2. PowerShell で次のコマンドを入 力 します。
セキュアリレーのインスト ール<PATH>\tenable.ad_SecureRelay_v3.43.0.exe /qn OPTIONS

次のオプションを指 定します。
o

APPDIR=<path> (必須 ) - リレーのインスト ールフォルダーへのパス。リレーは大きなログ
ファイルを作 成するため、システムパーティションではないパーティションを選択 します。

oEDIT_LINKINGKEY=<string> (必須 ) - Tenable Identity Exposure インスタンスから取 得したリンクキー。

oEDIT_INSTANCENAME=<string> (任 意) - リレーの名前 。名 前を設 定 しない場 合 、Tenable Identity Exposure はマシンの名 前を使用 します。この名前 は Tenable
Identity Exposure で変更 できます。この名前 は一意である必 要があります。

oPROXY_ADDRESS=<IP or DNS> (任意) - ネット ワークが Tenable ドメインに到 達するためにプロキシサーバーを必 要とする場合 に使用 するプロキシアドレス。プロキシアドレス
を提 供する場 合は、プロキシポート も提供する必要があります。

oPROXY_PORT=<number> (任 意) - ネット ワークが Tenable ドメインに到 達するためにプロキシサーバーを必 要とする場合に使用するプロキシポート 。プロキシアドレスを提 供する- 49 -

場 合は、プロキシポート も提 供する必要があります。
o/L*<folder> (任意 ) - インスト ールによってリレーインスト ールログのみが含 まれるファ
イルが作 成されるパス。

オプション付きのセキュアリレーインスト ールの例.\tenable.ad_SecureRelay_v3.43.0.exe /qn APPDIR=D:\Tenable\Tenable.ad\ EDIT_
LINKINGKEY=eyJjZXRpRG5zIjoicWExc2Fhcy1yZWxheS50ZW5hYmxlLmFkIiwidG9rZW4iOiI4NkYwMzMzQS01Mk
I5LTQ4QTctQjMxMS05RDdGRkM5QjkzNTUifQ== EDIT_INSTANCENAME="US Network Area" /L*
C:\Users\Administrator\Desktop\log.txt

注 意 : Enter キーを押すと、インスト ールがバックグラウンドタスクとして開 始されます。CLI プロンプトはすぐに返されますが、インスト ールが完 了 したという意味ではありません。/L* オプションを選 択した
場 合は、ログファイルを調べて、インスト ールが正常に完了 したことを確認できます。

例
次は、インスト ールの成 功または失 敗 を示 すログエント リの例 です。
インスト ール成 功
MSI (s) (D8:EC) [17:39:04:383]: Product: Tenable.ad Secure Relay -- Installation completed
successfully.
MSI (s) (D8:EC) [17:39:04:383]: Windows Installer installed the product. Product Name: Tenable.ad
Secure Relay. Product Version: 3.43.0. Product Language: 1033. Manufacturer: Tenable. Installation
success or error status: 0.
=== Logging stopped: 3/15/2023

17:39:04 ===インスト ール失 敗
MSI (s) (74:38) [17:18:35:713]: Product: Tenable.ad Secure Relay -- Installation failed.
MSI (s) (74:38) [17:18:35:713]: Windows Installer installed the product. Product Name: Tenable.ad
Secure Relay. Product Version: 3.43.0. Product Language: 1033. Manufacturer: Tenable. Installation
success or error status: 1603.
=== Logging stopped: 3/15/2023

17:18:35 ===セキュアリレーのインスト ール (Tenable Nessus Agent)
次の手 順では、Tenable Nessus Agent を使 用 してセキュアリレーをインスト ールします。

- 50 -

始める前 にlTenable Nessus Agent がダウンロードされてインスト ールされていることを確認 します。
注 意 : Tenable Nessus Agent インスト ールプログラムは、エージェント キーを要求 します。このキーはセキュ
アリレー機能 には必 要 ありません。

lセキュアリレーの説 明に従 って、必要 な前提 条 件 を満たし、必 須 のリンクキーを用意 してください。

Nessus を使 用してセキュアリレーをインスト ールする方 法
1. Tenable Nessus Agent をホスト していて、リレーとして機 能するマシンの Tenable Nessus Agent
ディレクト リ (c:\Program Files\Tenable\Nessus Agent) で管理 者コマンドプロンプト ウィンドウを開 き、次のコマンドを入 力 します。
セキュアリレーのインスト ール
nessuscli install-relay --linking-key=<Relay Linking Key> --proxy-host=<Customer Proxy IP or
DNS> --proxy-port=<Customer Proxy Port>

2. <Tenable Identity Exposure Relay Linking Key> を Tenable Identity Exposure インスタンスからあらかじめコピーしてあった値 に置き換 えます。プロキシサーバーを使 用する場合 は、プロキシアドレスとポート 番 号を指 定します。
インスト ールが開始 されます。数 分かけて接続性 チェックとインスト ールプロセスが実 行されます。
インスト ールが正常 に完了 すると、リレーがホスト マシンで実 行されていることを示 すメッセージが表示されます。

- 51 -

3. Tenable Identity Exposure で、[システム] > [リレー管 理 ] をクリックします。新 しくインスト ールされたリレーが、インスト ールウィンドウのリレーのリスト に、識別子とともに表 示されます。

- 52 -

Tenable Identity Exposure の基 本 事 項
このセクションでは、Tenable Identity Exposure を使い始め、最大 限 に活 用するために、ほとんどのユー
ザーが知 っておくべき重要な日 常的 タスクについて説 明します。
製品 を初 めて使 用する方 や、基 本の再 確認 が必要な方 向けに、認証、ワークスペースでの操 作 、環 境
設定 と通 知 の設 定、ダッシュボードとウィジェット の使用、ID エクスプローラーでの ID の調 査 、イベント フローによるデータ証 跡の視 覚化 、露 出インジケーター (IoE) と攻 撃 インジケーターの理解 など、一 般 的 な操作 に関 する詳細 な手 順 がここに記 載されています。
特定 のタスクに関 連 する情 報 を検 索するには、画 面 左側のメニューペインで関連 するト ピックをクリックします。

Tenable Identity Exposure ユーザーポータル
Tenable Identity Exposure にログインすると、この例に示 すようなホームページが開 きます。

サイドナビゲーションバーを展開または折 りたたむにはo展開 するには、ウィンドウの左 上 にあるメニューをクリックします。

o

折りたたむには、ウィンドウの左 上にあるをクリックします。

- 53 -

#

名称

機能

1

ダッシュボード

ダッシュボードを使用 すると、AD インフラのセキュリティを視覚 的な方法で効率的に管 理 し、監 視できます。

2

ID エクスプローラー

Tenable Identity Exposure の ID エクス
プローラービューは、Active Directory とMicrosoft Entra ID の両 方 のアイデンティティを統合します。このビューには、リ
スト されている各 資産 のアイデンティティ
リスクスコア (ベータ版 ) と、アイデンティ
ティの侵 害 の考えられる到 達 範囲 が表示されます。

3

イベント フローは、Active Directory にイベント フロー影響 を与 えるイベント のリアルタイムの監視 と分 析の結 果を表 示 します。
4

Tenable Identity Exposure は露出 イン

露 出インジケーター

ジケーター (IoE) を使 用して、Active
Directory のセキュリティの成 熟 度を測定し、監 視と分析の対 象となっている
イベント の情 報に深 刻度レベル (重大、高 、中、低) を割 り当 てます。
5

Tenable Identity Exposure は攻撃 イン

攻 撃インジケーター

ジケーターを使用 して攻撃 をリアルタイ
ムで検 出 できます。
6

ト ポロジーページは、Active Directory

ト ポロジーをインタラクティブなグラフで視覚化 します。フォレスト 、ドメイン、およびそれらの間に存 在 する信頼 関係が表 示されます。
7

攻撃 経路 ページは、Active Directory

攻 撃経 路の関係 性をグラフで表 します。

- 54 -

l

影 響範囲 : 侵害 された可能性 のある資 産から発 生した AD 内のラ
テラルムーブメント を評 価 します。

l

攻 撃経路 : 特定 のエント リポイン
ト から資 産に到 達する権限 昇格の手法 を予 測します。

l

露 出資産 : サイバー空間 に露 出した資 産の視覚化 を使 用して資産 の脆 弱性 を測 定し、すべての昇 格経路 に対処 します。

8, 9

マネジメントこのセクションでは、以 下を設 定 できます。

必 要 なユーザーロール: 適切なアクセス許 可を持つ組 織 のユーザー

lアカウント : ユーザーアカウント 、
ロール、セキュリティプロファイル

lシステム: フォレスト とドメイン、ア
プリケーションサービス、アラート 、認証

詳細 は、Tenable Identity Exposure
Administrator Guideを参照 してください。
10

ヘルスチェック

ヘルスチェックを使用すると、ドメインとサービスアカウント の設 定を 1 つの統 合
ビューでリアルタイムに可 視化 でき、そこからドリルダウンして詳細 情 報を表示 で
きます。

11

ウィジェットウィジェット は、ダッシュボード上 のカスタマイズ可 能なデータセット です。棒グラ
フ、折 れ線グラフ、カウンターを含めることができます。

- 55 -

12製 品のアップデート

製品 の最新 機 能に関 する情報。

13

設定

システム設 定、フォレスト とドメインの管理、ライセンス、ユーザーとロールの管理、プロファイル、アクティビティログへの
アクセス。

14

通 知 (ベル)

確認 待ちの攻撃 アラート や露出 アラー
ト はベルのアイコンとバッジのカウント で通知 されます。

15

Tenable ワークスペースからアプリケー

ワークスペースへのアクセス

ションを切り替 えるには、このアイコンをクリックします。
16, 19ユーザープロファイルアイコン (ユーザー環 境

このアイコンをクリックして、セキュリティプ

設 定)ロファイル、リリースノート 、アクティビティ
ログ、環境 設定、サインアウト のサブメ
ニューにアクセスします。

17

セキュリティプロファイル

セキュリティプロファイル を使用 すると、さまざまなタイプのユーザーが、さまざまなレポート の視点 からセキュリティ分析
をレビューすることができます。

18

クリックすると、Tenable Identity

新 機能

Exposure の最新 バージョンのリリース
ノート が開きます。
20

クリックすると Tenable Identity

サインアウトExposure からサインアウト します。

Tenable Identity Exposure にログインする
Tenable Identity Exposure のウェブアプリケーションにはクライアント URL からアクセスします。
Tenable Identity Exposure にログインするには、次 のオプションのいずれかを選 択します。

- 56 -

lTenable Identity Exposure アカウント を使用 するl

LDAP アカウント を使 用するl

SAML を使用 する

注 意 : 初 期 認 証 情 報はユーザー名 「hello@tenable.ad」、パスワード「verySecure1」です。

Tenable Identity Exposure アカウント を使 用 する

Tenable Identity Exposure アカウント を使 用してサインインするには
1. 任意 のブラウザのアドレスバーにクライアント URL (例 : client.tenable.ad) を入 力します。
[ログイン] ウィンドウが表 示されます。

2. [Tenable Identity Exposure] タブをクリックします。

- 57 -

3. メールアドレスを入力します。
4. パスワードを入 力します。
5. [ログイン] をクリックします。
Tenable Identity Exposure ページが開きます。
LDAP アカウント を使 用 する

LDAP を使 用してサインインするには
1. 任意 のブラウザのアドレスバーにクライアント URL (例 : client.tenable.ad) を入 力します。
[ログイン] ウィンドウが表 示されます。

2. [LDAP] タブをクリックします。
3. LDAP アカウント 名 を入力します。

- 58 -

4. LDAP パスワードを入力 します。
5. [ログイン] をクリックします。
Tenable Identity Exposure ページが開きます。
SAML を使 用 する

SAML を使 用してサインインするには
1. 任意 のブラウザのアドレスバーにクライアント URL (例 : client.tenable.ad) を入 力します。
[ログイン] ウィンドウが表 示されます。

2. [SAML] タブをクリックします。

- 59 -

3. ID プロバイダー (IDP) へのリンクをクリックします。
Tenable Identity Exposure により認証 のために SAML サーバーにリダイレクト されます。
4. IDP で会社の認 証情 報を入力 します。
ログインユーザーとして Tenable Identity Exposure にリダイレクト されます。
警 告 : ログインに繰り返し失敗すると、Tenable Identity Exposure によってアカウント がロックされます。アカウントがロックされた場 合は、管 理者に連絡 してください。

Tenable Identity Exposure からサインアウト するには
1. Tenable Identity Exposure で、ユーザーアイコンをクリックします。
サブメニューが表 示 されます。
2. [サインアウト ] をクリックします。
Tenable Identity Exposure のログインページに戻 ります。

ワークスペースへのアクセス
Tenable にログインすると、デフォルト で [ワークスペース] ページが表示 されます。[ワークスペース] ページ
で、Tenable アプリケーションを切り替えたり、デフォルト のアプリケーションを設定 して今 後 [ワークスペー
ス] ページをスキップするようにしたりできます。上部のナビゲーションバーに表 示される [ワークスペース] メ
ニューから、アプリケーションを切 り替えることもできます。
重 要 : Tenable は期 限 切れのアプリケーションのアプリケーションタイルを無 効にします。Tenable は、期限 が切 れてから 30 日 後 に、[ワークスペース] ページとメニューから期 限切 れのアプリケーションタイルを削 除します。

ワークスペースメニューを開く[ワークスペース] メニューを開く方法
1. いずれかの Tenable アプリケーションの右上 隅にある
[ワークスペース] メニューが表 示されます。

- 60 -

ボタンをクリックします。

2. アプリケーションタイルをクリックして開 きます。

ワークスペースページを表 示する[ワークスペース] ページを表 示する方法
1. いずれかの Tenable アプリケーションの右上 隅にあるボタンをクリックします。

[ワークスペース] メニューが表 示されます。
2. [ワークスペース] メニューの [ワークスペース] をクリックします。

- 61 -

[ワークスペース] ページが表示 されます。

デフォルト のアプリケーションを設 定する
Tenable にログインすると、デフォルト で [ワークスペース] ページが表示 されます。ただし、今後 [ワークスペース] ページをスキップするように、デフォルト アプリケーションを設 定 することもできます。
デフォルト では、管 理 者 、スキャンマネージャー、スキャンオペレーター、標 準 、基 本 のロールを持 つユーザーは、デフォルト のアプリケーションを設定 できます。別のロールをお持ちの場合 は、管 理者 に連 絡して、[マイアカウント ]から [管 理 ] アクセス許可 をリクエスト してください。詳 細については、カスタムロールを参 照してください。

デフォルト のログインアプリケーションを設 定 する方 法
1. Tenable にログインします。
[ワークスペース] ページが表示 されます。
2. 選択 するアプリケーションの右上 にある ボタンをクリックします。
メニューが表示 されます。

- 62 -

3. メニューで、[デフォルト ログインページの作 成 ] をクリックします。
ログインするとこのアプリケーションが表 示されるようになります。

デフォルト のアプリケーションを削 除する
デフォルト のアプリケーションを削除 する方 法
1. Tenable にログインします。
[ワークスペース] ページが表示 されます。
2. 削除 するアプリケーションの右上 にある ボタンをクリックします。
メニューが表示 されます。
3. [デフォルト ログインページの削 除 ] をクリックします。
ログインすると [ワークスペース] ページが表示されるようになります。

ユーザー環 境 設 定
Tenable Identity Exposure のユーザー環境を設 定できます。
l

言語 を選択するにはl

プロファイルを選 択するにはl

パスワードを変 更するにはl

プロファイルを選 択するには- 63 -

環境設 定 を行 うには
1. Tenable Identity Exposure で、右 上隅 のユーザープロファイルアイコンをクリックします。
サブメニューが表 示 されます。

2. [マイアカウント ] を選択します。
[環 境 設 定 ] ページが表 示 されます。
言 語 を選 択 するには
a. [言 語 ] で、ドロップダウンリスト の矢印をクリックして、使用する言 語 を選択します。
b. [Save] をクリックします。
Tenable Identity Exposure が環境 設定を更 新したことを確認 するメッセージが表 示されます。ユー
ザーインターフェースに選 択 した言 語が表 示されます。
プロファイルを選 択 するにはあるセキュリティプロファイルから別 のセキュリティプロファイルに切り替えると、Tenable Identity Exposure がインジケーターの設定 を表 示するには、およびダッシュボード、ウィジェット 、イベント 情報 でデータ表 現 を表示するにはが変わります。

- 64 -

a. [環 境 設 定 ] で、[プロファイル] をクリックします。
b. Tenable Identity Exposure に接 続した後、[優 先 するプロファイル] のドロップダウン矢 印 をクリックしてデフォルト のプロファイルを選 択 します。
c. [Save] をクリックします。
Tenable Identity Exposure が環境 設定を更 新したことを確認 するメッセージが表 示されます。
詳細 は、セキュリティプロファイル を参照 してください。
パスワードを変 更 するには
注 意 : Tenable One のライセンスがある場合、パスワード情 報 を利 用できません。この場 合、Tenable
Vulnerability Management がすべての認 証 設 定を管 理します。詳細 については、Tenable Vulnerability
Management ユーザーガイドのアクセス制 御 を参 照してください。

a. [環 境 設 定 ] で、[認 証 情 報 ] をクリックします。
b. 以下 の情 報を入力します。
o

古 いパスワードo

新 しいパスワード

c. [新 しいパスワードの確 認 ] ボックスに新しいパスワードを再入力します。
d. [Save] をクリックします。
Tenable Identity Exposure がパスワードを変更 したことを確認するメッセージが表示 されます。
注 意 : Tenable Identity Exposure では、LDAP や SAMLなどの外部 プロバイダーを通 じて接続されているアカウント のパスワードは変更 できません。

API キーを管 理 するにはa. [環 境 設 定 ] で [API キー] をクリックします。
[現 在 の API キー] ボックスにアクセスト ークンが表示 されます。
b. 以下 を実行できます。
c.

アイコンをクリックして、API キーをクリップボードにコピーし、必 要 に応 じて使用します。

- 65 -

d. [API キーの更 新 ] をクリックすると、新しいアクセスト ークンが生 成 されます。
確認 を求めるメッセージが表 示 されます。
注 意 : API キーを更 新すると、Tenable Identity Exposure は現 在 のト ークンを無効 にします。

詳細 については、公 開 API の使用 をご覧ください。

通知
Tenable Identity Exposure のホームページの右上 隅に、確認待 ちの攻 撃アラート や露出 アラート がベルのアイコンとバッジのカウント で通 知 されます。Tenable Identity Exposure は新 しいアラート を受信 すると、
通知 バッジの数 を増 やします。
青露出アラート赤攻撃アラートアラート を表 示するには
1. Tenable Identity Exposure でベルのアイコンをクリックします。
[アラート ] ペインが開きます。
2. 次のいずれかを実行します。
o

露 出アラート を表 示するには [露 出 アラート ] タブをクリックします。

o

攻 撃アラート を表 示するには [攻 撃 アラート ] タブをクリックします。
関 連するアラート のリスト が表 示されます。

アラート に関連 するイベント を表 示 するには
1. リスト からアラート を選 択し、[アクション] > [逸 脱 を表 示 ] をクリックします。
イベント の詳細ペインが開 き、次の情報が表 示されます。
o

ソース (イベント コレクター)o

オブジェクト タイプ

o

ファイル

- 66 -o

パスo

影 響を受けているドメイン

o

日付

o

イベント 発 生 時の値と現 在の値を含 む属 性のリスト

2. [逸 脱 ] タブをクリックします。
[逸 脱 ] ペインが開き、イベント に関 連する逸脱 のリスト が表示されます。

3. [n/n 個 のインジケーター] をクリックして、アラート をト リガーした露 出 インジケーターのペインを表 示 します。
4. [n/n 個 の理 由 ] をクリックして、アラート の理 由 を表 示します。
5. 矢印 をクリックして、アラート の情報 を展開または折 りたたみます。
6. インジケーター名 をクリックして、インジケーターの詳 細ページを表 示 します。

アラート をアーカイブするにはアラート を表 示 した後 にアーカイブできます。

- 67 -

1. [アラート ] ペインのアラート のリスト で、アーカイブするアラート のチェックボックスを選 択します。
oオプションで、ペインの下 部の [n/n 個 のオブジェクト を選 択 済 み] チェックボックスをクリックして、すべてのアラート をまとめて選 択できます。

2. ペインの下部の [アクションの選 択 ] > [アーカイブ] をクリックします。
3. [OK] をクリックします。

ダッシュボード
ダッシュボードを使用すると、Active Directory のセキュリティに影響を与 えるデータや傾 向 を視覚化 できます。ウィジェット でカスタマイズし、要 件に応 じてチャート やカウンターを表 示できます。
Tenable Identity Exposure ダッシュボードは、所 属組 織の Active Directory (AD) セキュリティを対 象 とする、リアルタイムのコマンドセンターとして使います。ID 環 境の包括 的な概 要 (リアルタイムの一 元化されたビューなど) が表示されます。また、重 大な脆弱性 もハイライト されるので、潜 在 的な攻撃 手法をピンポイ
ント で特定 し、プロアクティブにリスク緩 和 策を実 行できます。

主なダッシュボード機能l

一 目 でわかる概 要 : コンプライアンススコア、主 なリスク、ユーザーアクティビティの傾向 など、重 要 指標が目 立 つように表示されることで、セキュリティの状態を素早 く把握 できます。

- 68 -

l

詳 細 情 報 へのドリルダウン: 深 刻 度、ユーザーカテゴリ、その他の関連 基準 によってリスク要 因の内訳を示 すインタラクティブなウィジェット により、特定 の領域 をさらに掘り下 げることができます。

l

カスタマイズ重 視 : 事 前 構築 されたテンプレート を使用 するか、独自 のレイアウト を作 成して、優 先
度に合 わせてパーソナライズされたダッシュボードを作成できます。たとえば、よく繰り返し発 生する
次のような IoE でよくある設 定ミスを表 示するダッシュボードを作 成 することができます。

ln

SDProp の一貫性 を確 保するnドメインコント ローラーが不 正なユーザーに管理されているn

危 険な Kerberos 委 任

リアルタイムの監 視 : 継続 的なアップデート とアラート により、新たな脅 威や不審 なアクティビティに関する最 新 情報を入手できます。

l

実 用 的 なインサイト : 深 刻 度と潜 在 的な影響 に基づいて優先 順位 が付 けられた、修 正 に関 する
実用 的 な推奨事 項 が示されます。

ウィジェットダッシュボードのウィジェット を使 用して、棒 グラフ、折れ線グラフ、カウンターの形式で Active Directory に関するデータを視覚 化 できます。ウィジェット をカスタマイズして詳細 情 報を表 示したり、ウィジェット をドラッ
グしてダッシュボード上 で位置 を変更 したりできます。
新しく作 成 したダッシュボードや既 存 のダッシュボードにウィジェット を追 加できます。
ウィジェット をダッシュボードに追 加 するには
1. Tenable Identity Exposure で、か [ダッシュボード] をクリックします。(このページは、Tenable

Identity Exposure でもデフォルト で開 きます。)
2. ダッシュボードペインで、ダッシュボードタブを選択します。
3. 次のいずれかを実行します。
oダッシュボードが空 の場 合、[ウィジェット の追 加 ] をクリックします。

oダッシュボードにすでにウィジェット が含 まれている場合、右上 隅の- 69 -> [現 在 のダッシュボー

ドにウィジェット を追 加 ] をクリックします。
[ウィジェット の追 加 ] ペインが開きます。
4. タイルをクリックして次のいずれかを選択します。
o

棒 グラフ

o

折 れ線 グラフoカウンター

5. [ウィジェット の名 前 ] ボックスにウィジェット の名前を入力します。
6. [ウィジェット の設 定 ] の [データのタイプ] ボックスでドロップダウンリスト の矢印 をクリックして、次 のいずれかを選 択 します。
o

ユーザー数 : ドメインのアクティブユーザーの数 。

o逸 脱数 : 検 出された逸脱 またはセキュリティ違反 の数。

oコンプライアンススコア: 0 〜 100 の値で示されるスコア。検 出された逸 脱の数とその深 刻 度を計 算して、Tenable Identity Exposure により算出 されます。

o

期 間 (折れ線グラフの場 合): ドロップダウンリスト の矢 印をクリックして、表 示する期間 を選 択します。

- 70 -

7. [データセット の設 定 ] で、次 を行います。
データセット の設 定
ステータス (ユーザー数 )アクティブ、非アクティブ、すべてのいずれかを選択します。

インジケーター

a. [インジケーター] をクリックして、1 つ以上 のインジケーター
を選択します。
[露 出 インジケーター] ペインが開 きます。
b. リスト から 1 つまたは複 数 のインジケーターを選 択 します。
オプションで、以 下のように行 うこともできます。
n

検索ボックスにインジケーター名を入力 する。

n

すべてのインジケーターを選択 します。

n

特定の深刻度 レベル (重大 、高 、中 、低) のすべてのインジケーターを選 択する。

c. [選 択 内 容 でフィルター] をクリックします。
ドメイン

a. [ドメイン] をクリックして、1 つ以上のドメインを選 択します。
[フォレスト とドメイン] ペインが開きます。
b. リスト からドメインを選択 します。オプションで、以下 のように行うこともできます。
n

検索ボックスにドメイン名を入 力する。

n

すべてのドメインを選 択する。

c. [選 択 内 容 でフィルター] をクリックします。
8. [データセット の名 前 ] にデータセット の名前を入力します。
9. ウィジェット のドメインを選択 します。
オプションで、検 索 ボックスにドメイン名を入力することができます。
10. [選 択 内 容 でフィルター] をクリックします。

- 71 -

11. オプションで、[新 しいデータセット の追 加 ] をクリックして、ウィジェット のオプションが異 なる別のデータ
セット を追 加することができます。
12. [追 加 ] をクリックします。
Tenable Identity Exposure がウィジェット を追 加したことを確認 するメッセージが表示 されます。
ウィジェット を変 更 するには
1. Tenable Identity Exposure で、[ダッシュボード] をクリックします。
2. 変更 するウィジェット が含まれているダッシュボードを選 択します。
3. ウィジェット を選 択します。
4. ウィジェット の右 上 隅のアイコンをクリックします。

[ウィジェット の変 更 ] ペインが開 きます。
5. 必要 に応 じて変 更 します。
6. [編 集 ] をクリックします。
Tenable Identity Exposure がウィジェット をアップデート したことを確認 するメッセージが表示 されます。
ウィジェット をリフレッシュするには
1. ウィジェット を選 択します。
2. ウィジェット の右 上 隅のアイコンをクリックします。

ウィジェット がリフレッシュされます。
ウィジェット を削 除 するには
1. Tenable Identity Exposure で、[ダッシュボード] をクリックします。
2. 削除 するウィジェット が含まれているダッシュボードを選 択します。
3. ウィジェット を選 択します。
4.

アイコンをクリックします。

- 72 -

[ウィジェット の削 除] ペインが開 きます。削除の確認を求めるメッセージが表 示されます。
5. [OK] をクリックします。
Tenable Identity Exposure がダッシュボードからウィジェット を削 除 したことを確 認するメッセージが表示 されます。

関連項 目l

ダッシュボードID エクスプローラー
アクセス許 可 : Microsoft Entra ID の設 定 とデータ視 覚化にアクセスするには、ユーザーロールに適 切なアクセス
許可が必 要 です。詳細 は、ロールのアクセス許可 の設 定 を参照してください。

Tenable Identity Exposure の ID エクスプローラービューは、Active Directory と Microsoft Entra ID 両方の ID を統 合 します。このビューには、リスト されている各資産 のアイデンティティリスクスコア (ベータ版 ) と、侵害 されたアイデンティティの考 えられる影響範囲 が表 示 されます。

Identity Explorer にアクセスするには
注 意 : アイデンティティエクスプローラーは、Microsoft Entra ID 機能を使用する場 合にのみ表 示されます。詳 細は、Microsoft Entra ID のサポート を参 照してください。

lTenable Identity Exposure で、左 側のナビゲーションバーの Identity Explorer アイコン
リックします。

- 73 -をク

[Identity Explorer] ペインが開 きます。

[Identity Explorer] ペインには、アクセス可 能 なリソース全体 の以下 の情報 が表示 されます。
l

ID 名 - 当 該 ID プロバイダーのユーザーアカウント の名 前 。

lアカウント プロバイダー - ID プロバイダー。

l

エクスポージャースコア - Tenable Identity Exposure は、資産の重大度 、または各 ID プロバイダーの ID とその脆弱 性を評 価することでこのメト リクスを算 出し、メト リクスを集 計 して、特定の ID の総合的 なエクスポージャースコアを出 します。
注 意 : Tenable Identity Exposure は Tenable One ライセンスがある場合 にのみエクスポージャースコアを
表 示します。

lオープンのリスク - Microsoft Entra ID の露 出インジケーターが資 産をスキャンした時に検 出 した検出結 果 の数。詳細 は、Microsoft Entra ID 関連 の露出 インジケーター を参照 してください。

l

アクセス可 能 なリソースの合 計 - この資 産がアクセス (読 み取り、書 き込みなど) できるタイプのリ
ソースの数 。

ID を検 索 するには
1. [Identity Explorer] ペインの [検 索 ] ボックスに、ユーザー名 かアカウント 名 を入力 します。
2.

アイコンをクリックします。

- 74 -

Tenable Identity Exposure は一 致する結果 を表示します。
ID をエクスポート するには
1. [Identity Explorer] ペインの下 部 で、[すべてエクスポート ] をクリックします。
[ID のエクスポート ] ペインが開 きます。
2. [すべてエクスポート ] をクリックします。
Tenable Identity Exposure によりファイルがローカルマシンにダウンロードされます。

イベント フローTenable Identity Exposure のイベント フローは、AD インフラに影響 を与 えるイベント をリアルタイムで監視し分 析 した結果 を表 示します。イベント フローを使用 して、重大 な脆弱性 と推奨 される修正 方法 を特定できます。
[イベント フロー] ページを使用 して、時間 を遡 って以前 のイベント をロードしたり、特定 のイベント を検 索したりできます。ページの上部 にある検 索 ボックスを使用 して、脅威 を検 索したり悪意 のあるパターンを検出したりすることもできます。
イベント フローは次 のイベント を追 跡 します。
lユーザーやグループの変 更 : アカウント やグループの作成、削 除、変 更が含まれます。

l

アクセス許 可 の変 更 : ファイル、フォルダー、プリンターなどのオブジェクト に対 するアクセス制御 の変
更が含 まれます。

lシステム設 定 の調 整 : グループポリシーオブジェクト (GPO) やその他の重要 な設 定への変更が含 まれます。

l

疑 わしいアクティビティ: 不正 な試 行、権限 昇 格、および危険 信 号を示 すその他 のイベント が含 まれます。

Tenable Identity Exposure は、次 のような機 能を提供 して、イベント フローのデータを活 用できるようにしています。
l

検 索 ・フィルタリング可 能 : キーワードや特 定の条件を使用 してイベント スト リームを簡単 にナビゲー
ションできるため、無 関係 な結果 を最小限に抑 えながら、関 連するアクティビティに注 意を集 中 的- 75 -

に向 けることができます。
l

詳 細 なイベント 情 報 : 各イベント エント リには、影 響を受 けているオブジェクト 、変更 を担 当したユー
ザー、使 用されているプロト コル、関 連する露 出インジケーター (IoE) などの詳 細情 報が記 載されています。

l

関 係 の視 覚 化 : イベント 間 の関 係 を図示する機能 により、一見 無 関 係に見えるアクティビティが、より広 範 な攻 撃 キャンペーンにどのようにつながる可 能性があるかを明 らかにします。

イベント フローにアクセスするにはlTenable Identity Exposure で、左 側のナビゲーションバーの [イベント フロー] をクリックします。
[イベント フロー] ページが開き、イベント のリスト が表示 されます。詳細 は、イベント フローのテーブルを参 照 してください。

タイムフレームを選 択 するには、次 のようにします。

ドメインを選 択 するには、次 のようにします。

イベント を表 示 するには、次 のようにします。

イベント フローを一 時 停 止 して再 開 するには、次 のようにします。

- 76 -

次 のイベント または前 のイベント を読 み込 むには、次 のようにします。

イベント フローのテーブル
Tenable Identity Exposure は、Active Directory のイベント が発 生次第 、それらをイベント の詳細 テーブ
ルに継 続 的 に一 覧 表 示します。イベント の詳 細テーブルには以 下の情 報が含 まれています。
情報

説明

ソース

AD インフラで起 きたセキュリティ関連の変更 の発 生源を示 しています。
可 能性 のある発 生 源は 2 種類あります。
lAD インフラとの通 信に使 用されている Lightweight Directory Access Protocol(LDAP)

lファイルやプリンターなどの共有 に使 用されている Server Message Block (SMB) プ
ロト コル

Tenable Identity Exposure はネット ワーク上の LDAP と SMB のト ラフィックを徹底 的 に
分 析し、異常 や潜 在的 な脅 威を検 出 します。
注 意 : Active Directory (AD) の管理 者は、ユーザーアカウント やマシンアカウント にデプロイされた設定を制 御するグループポリシーを作 成できます。グループポリシーオブジェクト (GPO)は、こうした制御 設 定を保存 します。Sysvol フォルダーは、ドメインコント ローラー (DC) の GPO ファイル
を保存します。各ドメインメンバーは高レベルの権 限を使 って GPO を適用したり実行したりできるため、AD のセキュリティのために GPO の内容を監視することは重 要 です。

タイプ

以 下のようなイベント の特 徴的な要素 を表示します。
l

ACL の変 更l

SPN の変 更lメンバーの削 除l

新しいメンバーl

新しい信 頼l

不明な種 類のファイルの追 加l

新しいオブジェクト- 77 -

l

オブジェクト の削除lパスワードの変更

l

UAC の変 更l

新しい GPO のリンクl

GPO のリンクの削除

l

所有者 の変更l

ファイル名の変 更l

SPN の作 成l認証リセット の失敗

l

認証の失 敗オブジェ

AD オブジェクト に関 連付 けられたクラスまたはファイル拡張子を示します。ディレクト リオブ

クトジェクト (ユーザー、コンピューターなど) や、ファイル名 に特定 の拡 張子 (ini、XML、csv) が含 まれるファイルを検 索 できます。

パス

AD オブジェクト へのフルパスを示 し、そのオブジェクト の AD 内の一 意の場所 を特定できる
ようにします。

ディレク

AD インフラに対 する変 更 元 となったディレクト リを示 します。

トリ
日付

イベント が発 生した時 間を示します。

ウィザードを使 用 してイベント 情 報を検 索
検索 ウィザードでは、クエリ式を作成 して組 み合わせることができます。
l

検索 ボックスで頻繁に使 用する式 をブックマークのリスト に追加 して、後で使 用することができます。

l

検索 ボックスに式 を入力 すると、Tenable Identity Exposure はこの式を [履 歴] ペインに保 存 し、再利 用 できるようにします。

ウィザードを使 用 して検 索するには- 78 -

1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2.

アイコンをクリックします。
[クエリ式 の編 集 ] ペインが開 きます。詳細は、イベント 情報 のクエリをカスタマイズする を参 照 してく
ださい。

3. パネルでクエリ式を定義 するには、AND または OR 演算 子 ボタン (1) をクリックして、最 初の条 件に適用 します。
4. 属性 をドロップダウンメニューから選 択し、値 を入力 します (2)。
5. 次のいずれかを行います。
o

属 性を追加 するには、[+ 新 しいルールの追 加 ] (3) をクリックします。

o

別 の条件 を追 加するには、[新 しい条 件 の追 加 ] の + AND または + OR 演算 子をクリックします。属性 をドロップダウンメニューから選 択し、値 を入力 します。

o

逸 脱オブジェクト だけを検索 するには、[逸 脱 のみ] のト グルをクリックして許 可します。+ AND
または + OR 演算子 を選 択 して、条 件をクエリに追 加します。

o

条 件またはルールを削 除するには、アイコンをクリックします。

6. [検 証 ] をクリックして検 索を実 行するか、[リセット ] をクリックしてクエリ式を変更 します。

関連項 目

- 79 -

l

イベント 情 報 を手動 で検 索lウィザードを使 用してイベント 情 報 を検 索l

イベント 情 報 のクエリをカスタマイズするl

ブックマーククエリlクエリ履 歴イベント 情 報を手 動 で検 索
特定 の文字 列 またはパターンに一致 するイベント をフィルタリングするには、検索 ボックスに式を入力 し、ブール演算 子 *、AND、OR を使 用 して結 果を絞り込みます。検索 の優先 順位 を変更 したい場 合 は、
括弧 を使 用 して OR ステート メント をカプセル化 できます。検 索 では、Active Directory 属 性の特 定の値が検 索されます。

イベント 情報 を手動で検 索 するには
1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2. 検索 ボックスに、クエリ式を入 力します。
3. 次のように検索 結 果をフィルタリングできます。
o[カレンダー] ボックスをクリックして、開 始日と終 了 日を選 択 します。

o[n/n 個 のドメイン] をクリックして、フォレスト とドメインを選 択 します。

4. [検 索 ] をクリックします。
Tenable Identity Exposure は、検 索条件 に一 致する結 果でリスト を更 新します。
ヒント : 他 の条 件 を使用して検索 するには、ウィザードを使用 してイベント 情 報を検 索が可 能です。

例
以下 の例では、次のイベント 情 報 を検索 します。

- 80 -

l

監視 対 象 の AD インフラを危 険にさらす可能性 のある、非アクティブのユーザーアカウントl

不審 なアクティビティおよびアカウント の異常な使 用イベント 情 報のクエリをカスタマイズする
イベント 情 報 を使用 すると、デフォルト の露出 インジケーターと攻 撃インジケーターの監視 に加えて、
Tenable Identity Exposure 機 能を拡 張することができます。カスタムクエリを作成 してデータをすばやく取得し、そのクエリを Tenable Identity Exposure が Security Information and Event Management (SIEM)に送 信 できるカスタムアラート として使 用することもできます。
次の例 は、Tenable Identity Exposure で実 際に使 用できるカスタムクエリを示しています。
ユースケース説明

GPO の起 動 と停 止 バイナリとグローバ

起動パスまたはグローバル SYSVOL レプリケーションパスのル SYSVOL パスの監 視スクリプト を監 視します。攻 撃 者はしばしば、これらのスクリ
プト を使 用してネイティブ AD サービスを悪用 し、環 境 全 体にランサムウェアをすばやく増 殖 させます。
l

起 動 パスのスクリプト のクエリ:
globalpath: "sysvol" AND types:"Scriptsini"
注 意 : ここでは、types は列ヘッダーではなくオブジェク- 81 -

ト 属性のことです。
l

SYSVOL 監 視 クエリ:
globalpath:"sysvol" AND(globalpath:".ps1" OR globalpath:".msi"
OR globalpath:".bat" OR
globalpath:".exe")

GPO 設 定 の変 更GPO 設 定 に対する変更を監視 します。攻 撃者はしばしば、このメソッドを使用 してセキュリティ設定 をダウングレード
し、執 拗な不 正アクセスやアカウント 乗 っ取りを助 長します。
l

GPO 監 視 クエリ:
gptini-displayname:"New Group Policy
Object" AND changetype:"Changed"

認 証 の失 敗 とパスワードのリセット

ロックアウト につながる認 証 試行の複 数回 の失 敗 を監 視 します。これは、ブルート フォース攻撃 の早期警 告フラグとして機能 します。
注 意 : ロックアウト ポリシーと日付/時刻 変数 を設定 する必 要があります。詳細は、Tenable Identity Exposure アカウント を使用 した認証 を参照してください。
l

認 証 失 敗 クエリ
useraccountcontrol:"Normal" AND- 82 -

badpwdcount:"<ACCOUNT_LOCKOUT_
THRESHOLD>" AND badpasswordtime:"<DATE_TIME_STAMP>"l

パスワードリセット クエリ
pwdlastset: "<DATE_TIME_STAMP"

追 加 、削 除 、または変 更 されたオブ

ACL 権 限および関連 するオブジェクト のアクセス許可 セット

ジェクト のアクセス許 可に対する不正な変更を監 視します。攻 撃者 はこのメソッドを悪用してアクセス許可 を昇格 します。
注 意 : 日付 /時 刻変 数を指 定する必要 があります。
lオブジェクト のアクセス許 可 クエリ
ntsecuritydescriptor:0 AND
whenchanged:"DATE_TIME_STAMP"

逸 脱 を引 き起 こす管 理 者 への変 更ビルト イン管理 グループおよびカスタムグループは機密 性 の高いグループであり、リスクが発生する可能性 がある逸 脱- 83 -

や設 定 変更 を厳 重 に監 視する必要があります。このクエリを使用すると、管 理者グループ内のセキュリティ設 定 に悪影響を与 えた可 能性 のある最近の変更 をすばやく確 認できます。
l

管 理 者 への変 更 クエリ
isDeviant:true AND cn:"admins"

関連項 目
l

イベント 情 報 を手動 で検 索lウィザードを使 用してイベント 情 報 を検 索lブックマーククエリlクエリ履 歴lイベント 情 報 のユースケース

ブックマーククエリ
クエリ式を頻 繁 に使用 する場合 、その式 をカスタマイズしたブックマークのリスト に追加 して、再 度 使用 することができます。
クエリ式 をブックマークするには
1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2. 検索 ボックスの横にあるアイコンをクリックします。

[クエリ式 の編 集 ] ペインが開 きます。
3. 検索 ボックスに、クエリ式を入 力します。

- 84 -

4. 検索 ボックスの右にあるアイコンをクリックします。

[ブックマークに追 加 ] ボックスが表 示されます。
5. [フォルダーを選 択 ] ボックスでドロップダウン矢印をクリックして、リスト からフォルダーを選 択 します。
6. (オプション) [新 規 フォルダーの作 成 ] のト グルをクリックして、[はい] に切 り替 えます。[フォルダーの名
前 ] ボックスに、ブックマークフォルダーの名 前を入 力します。
7. [ブックマークの名 前 ] ボックスに、ブックマークの名 前を入 力します。
8. [追 加 ] をクリックします。
Tenable Identity Exposure がリスト にブックマークを追加 したことを確 認するメッセージが表示 されます。
ブックマークしたクエリ式 を使 用 するには
1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2. 検索 ボックス内 をクリックします。
検索 ボックスの下に [履 歴 ] タブと [ブックマーク] タブが表 示されます。
3. [ブックマーク] タブをクリックします。
ブックマークのリスト が表示 されます。
4. ブックマークをクリックして選 択します。
Tenable Identity Exposure がクエリ式を読 み込 み、検 索 を実行 します。
ブックマークを管 理 するには
1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2. 検索 ボックス内 をクリックします。
検索 ボックスの下に [履 歴 ] タブと [ブックマーク] タブが表 示されます。
3. [ブックマーク] タブをクリックします。
ブックマークのリスト が表示 されます。
4. [ブックマークの管 理 ] をクリックします。

- 85 -

[ブックマーク] ペインが開きます。
5. 次のいずれかを行います。
o

ブックマークを検 索する
a. 検索ボックスにブックマーク名 を入力します。
b. ドロップダウンリスト からフォルダーを選択します。

oブックマークまたはブックマークフォルダーの名前 を編集する
a. ブックマークまたはブックマークフォルダーのアイコンをクリックします。

b. [ブックマークの名 前 ] または [フォルダーの名 前 ] ボックスに、ブックマークまたはブックマー
クフォルダーの新 しい名前を入力します。
c. [編 集 ] をクリックします。
Tenable Identity Exposure がブックマークまたはブックマークフォルダー名 を更 新したことを確 認するメッセージが表示されます。
o

ブックマークフォルダーのブックマークを削 除 するn

ブックマークまたはブックマークフォルダーのアイコンをクリックします。

関連項 目
l

イベント 情 報 を手動 で検 索lウィザードを使 用してイベント 情 報 を検 索l

イベント 情 報 のクエリをカスタマイズするl

クエリ履 歴lイベント 情 報 のユースケース

クエリ履 歴検索 ボックスに式 を入力すると、Tenable Identity Exposure はこの式を [履 歴 ] ペインに保存し、再利用できるようにします。
履 歴 にあるクエリ式 を使 用 するには

- 86 -

1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2. 検索 ボックス内 をクリックします。
検索 ボックスの下に [履 歴 ] タブと [ブックマーク] タブが表 示されます。
3. [履 歴 ] タブをクリックします。
クエリ式 のリスト が表 示 されます。
4. 使用 するクエリ式 をクリックして、選 択 します。
Tenable Identity Exposure がクエリ式を読 み込 み、検 索 を実行 します。

クエリ式 の履 歴 を管 理 するには
1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2. 検索 ボックス内 をクリックします。
検索 ボックスの下に [履 歴 ] タブと [ブックマーク] タブが表 示されます。
3. [履 歴 ] タブをクリックします。
クエリ式 のリスト が表 示 されます。
4. [履 歴 の管 理 ] をクリックします。
[履 歴 ] ペインが開きます。

- 87 -

5. 次のいずれかを行います。
l

クエリ式 を検索 する
a. 検索ボックスに、クエリ式 を入力します。
b. カレンダーボックスをクリックして、開 始 日と終 了日 を選択します。
c. [検 索 ] をクリックします。

l

履 歴からクエリ式を削除 するnl

アイコンをクリックします。

履 歴からすべてのクエリ式 を消去する
a. [選 択 内 容 のクリア] をクリックします。
削除の確 認を求 めるメッセージが表 示されます。
b. [確 認 ] をクリックします。

関連項 目
l

イベント 情 報 を手動 で検 索lウィザードを使 用してイベント 情 報 を検 索l

イベント 情 報 のクエリをカスタマイズするl

ブックマーククエリlイベント 情 報 のユースケース

逸脱 イベント を表 示
イベント 情 報 テーブルに逸 脱 イベント だけを表 示 することができます。

逸脱イベント のみを表 示するには
1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2. 検索 ボックスの横にあるアイコンをクリックします。

[クエリ式 の編 集 ] ペインが開 きます。

- 88 -

3. [逸 脱 のみ] ト グルをクリックして [許可] に切 り替 えます。
4. [検 証 ] をクリックします。
Tenable Identity Exposure は、イベント 情報 テーブルの [ソース] の横 に赤いひし形マークを付 けてイベント のリスト を更新します。

各部 の説 明lイベント 情 報 が、Tenable Identity Exposure セキュリティプロファイルの逸 脱 を検出しました。

lイベント 情 報 が、他 のセキュリティプロファイルの逸 脱を検出 しました。

l

変 更によって逸 脱 が解 決されたことを示します。

イベント の詳 細- 89 -

Tenable Identity Exposure のイベント 情 報には、Active Directory (AD) に影 響する各 イベント の詳 細情報が表示 されます。特定 のイベント に関する詳 細情報が得られるため、ユーザーは技 術的 な情報 を確認し、露出インジケーターの深刻 度 レベル (重大、高、中、低) に応じて必要であれば対策 措置 を講 じることができます。
イベント の詳 細 を表 示 するには
1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2. [イベント 情 報 ] テーブルのエント リをクリックして選 択します。
[イベント の詳 細 ] ペインが開 きます。

IoE、イベント 、逸 脱 オブジェクトl

露 出 インジケーター (IoE) は、AD に影響を与 えている脅 威について説明 します。Tenable Identity
Exposure の IoE は、イベント をリアルタイムで受信 してセキュリティレベルを評 価します。IoE にいくつかの技 術的な脆 弱 性 が含 まれる場 合 もあります。IoE は、検 出 された脆 弱性に関する情報 、関連する逸 脱オブジェクト 、推奨 対 策措置 を提 供します。

lイベント は、AD で発生 する可能 性 があるセキュリティ関 連の変更を示 します。これには、パスワードの変 更やユーザーの作成 、新 しい GPO や変 更された GPO、新 しく委 任された権 限などが含 まれます。イベント により、IoE のコンプライアンスステータスが準拠から非準拠 に変 わる可 能性 があります。

l

逸 脱 オブジェクト は技術的 な要 素 です。それ単体 で、または別 の逸 脱 オブジェクト と関 連 付けられて、IoE の攻撃 手 法 の特 定が機能 するようになります。

- 90 -

属性テーブル
属性 テーブルには、次 の列 が含 まれています。
列

説明

属性

イベント 情 報テーブルで選 択したイベント に関連 する AD オブジェクト の属 性を示 します。属 性はオブジェクト の特 徴を説 明します。複数の属 性で 1つの AD オブジェクト を説 明することができます。

イベント 時 の値

イベント 発 生時の属性 の値 を示 します。

現在 の値

表 示している時点における AD の属 性 の値を示します。

ヒント : イベント が発生 する前 の属 性の値を表 示するには、左 側にある青い点の上 にカーソルを合 わせます (存在する場 合)。

属 性 を検 索 するにはl[イベント の詳 細 ] ペインで、検索 ボックスに文字列を入 力します。
Tenable Identity Exposure は、検 索文字 列に一致 する属性 に絞 り込 んだリスト を表 示 します。

詳細 は、属 性 の変化 を参 照 してください。

逸脱- 91 -

[イベント 情 報 ] のイベント に逸 脱 が含まれている場合 、[イベント の詳 細 ] ペインにも表 示 され、問 題 の原因を特 定 することができます。
逸 脱 を表 示 するには
1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2. [イベント 情 報 ] テーブルのエント リをクリックして選 択します。
[イベント の詳 細 ] ペインが開 きます。
3. [逸 脱 ] タブを選 択します。
Tenable Identity Exposure は、逸 脱のリスト と、逸脱をト リガーした IoE を表示 します。

IoE の詳 細 をドリルダウンするには
1. [逸 脱 ] タブで、逸 脱 の理 由の下 にある IoE タイルをクリックします。
[インジケーターの詳 細 ] ペインが開 き、逸 脱 オブジェクト のリスト と次の情 報が表 示されます。
o

IoE の名 前oIoE の深 刻度 (重 大、高 、中 、低)o

IoE のステータスo

直 近の検 出のタイムスタンプ- 92 -

2. 次のいずれかのタブをクリックします。
o

情 報 — IoE に関する内 部と外 部のリソースが含まれています。

o

脆 弱 性 の詳 細 — AD で検 出された弱 点に関する説明が表示 されます。

o

逸 脱 オブジェクト — 技術 的な詳細と、オブジェクト をフィルターする検 索ボックスが含 まれています。

o

推 奨 事 項 — 問 題の解 決方 法 に関するヒント が含まれています。

属性 の変 化
属性 の値が変 わると、イベント 情 報 の [属 性 ] 列 の前 に青い点 が表 示 されます。
属 性 の変 化 を表 示 するには
1. Tenable Identity Exposure で、左 側のナビゲーションバーの [イベント フロー] をクリックします。
[イベント 情 報 ] ページが開 き、イベント のリスト が表 示されます。
2. 変更 内 容 を表 示 するには、イベント 行 の前 にある青 い点にカーソルを合 わせます。
[イベント 時 の値 ] ラベルの色は、属 性に適 用された変 更 に応じて異 なります。
o

緑 — 追加o

赤 — 削除o

灰 色 — 変 更 なし

- 93 -

属性「ntsecuritydescriptor」
セキュリティ記述 子は、所有 者やアクセス許 可といった、AD オブジェクト に関するセキュリティ情報を格 納しているデータ構 造です。詳細 は、Microsoft のオンラインドキュメント をご覧 ください。
オブジェクト のセキュリティ記 述 子 の詳 細 を表 示 するには
1. Tenable Identity Exposure で、[イベント 情 報 ] をクリックして [イベント 情報 ] ページを開きます。
2. [イベント 情 報 ] テーブルのエント リをクリックして選 択します。
[イベント の詳 細 ] ペインが開 きます。
3. ntsecuritydescriptor 属 性エント リにカーソルを合わせます([イベント 時 の値 ] 列 または [現在の値 ] 列 )**。

4. [SDDL の説 明 を表 示 ] をクリックします。
[SDDLの説 明 ] ペインが開きます。

- 94 -

5. SDDL (1)、DACL (2)、記述 子 (3) の左側 にある矢印をクリックして、説明を展開 します。

6. 色付 きでハイライト されたアクセス制 御エント リ (ACE) (4) を参照 して、オブジェクト のアクセス権を表示します。カラーコードは以下 を表 しています。
o

赤 — オブジェクト へのアクセス権があってはならないユーザーに危 険な権 限 が割り当てられています。

oオレンジ — 特 権ユーザーに危 険な権限 が割り当てられています。ただし、特権ユーザーは通常 この種の権限 (ドメイン管理 者など) を持 っています 。

- 95 -o

緑 — 危 険な権限はありません。

7. SDDL の説 明 をコピーするには、[クリップボードにコピー] をクリックします。

イベント 情 報のユースケース
イベント 情 報 の動 作を理 解 するために、Active Directory (AD)インターフェースでの操 作がどのようにイベン
ト 情報 ページに反 映されるのかを示 す 2 つの例を考察します。
それぞれの例 で、管 理者側 からのデータ (AD インターフェース) と、エンドユーザー側からのデータ (Tenable
Identity Exposure) を比 較 します。アプリケーション、API、サービスのどれから AD の操作 を実 行 しても、イ
ベント 情報 での結果 は同じです。
注 意 : ここで紹 介 するユースケースは例であって、起 こり得 るすべての状況には対 応していません。

新 しい AD ユーザーアカウント を作 成 したときのイベント 情 報 の動 作

- 96 -

l

管理 者 の側では、新しいユーザーアカウント に関するさまざまな情 報を入 力します。

lエンドユーザーの側 では、Tenable Identity Exposure が [イベント 情 報 ] ページを更 新します。[タイプ] 列に、[新しいオブジェクト ] と表 示されています。

l[イベント の詳 細 ] ページにもこの変 更が反映 されます。属性 名の左 側 にある青い点 は、更 新 が発生したことを示 します。
属性 に関 する詳細 については、イベント の詳細の表示 をご覧 ください。

- 97 -AD ユーザーのパスワードを変 更 したときのイベント 情 報 の動 作

- 98 -

l

管理 者 の側では、ユーザーのパスワードをリセット するためのさまざまな情報 を入 力します。

lエンドユーザーの側 では、Tenable Identity Exposure が [イベント 情 報 ] ページを更 新します。[タイプ] 列に、[パスワードが変 更 されました] と表示 されます。

l

この変更 は [イベント の詳 細 ] ページにも反映 され、whenchanged 属性 の左側 に青 い点が表示 されます。

- 99 -

属性 の詳 細については、イベント の詳細を参 照 してください。

関連項 目
l

イベント 情 報 を手動 で検 索lウィザードを使 用してイベント 情 報 を検 索l

イベント 情 報 のクエリをカスタマイズするl

ブックマーククエリlクエリ履 歴

露出インジケーター
Tenable Identity Exposure は、AD インフラのセキュリティ成熟度を露 出インジケーターを通 じて測 定し、
監視 および分 析対象 のイベント のフローに対して深 刻度 レベルを割り当てます。Tenable Identity
Exposure は、セキュリティの悪化を検 出するとアラート を送信 します。
IoE を表 示 するには
1. Tenable Identity Exposure で、ナビゲーションペインの [露 出 インジケーター] をクリックします。
[露 出 インジケーター] ペインが開 きます。デフォルト では、Tenable Identity Exposure は逸 脱 を含
む IoE だけを表 示します。

- 100 -

2. (オプション) すべての IoE を表 示 するには、[すべてのインジケーターを表 示 ] ト グルをクリックして [はい] に切り替えます。

Tenable Identity Exposure の IoE には、ユーザーの調 査能 力を上げるために設けられたさまざまな機 能が付 いています。
l

検索 ・フィルタリング可能: フォレスト とドメインに基 づいてフィルターを適用することで、IoE を簡 単 に探索 できます。

l

エクスポート 機 能 : 逸 脱オブジェクト により、IoE を CSV 形式 でエクスポート できます。

lIoE インシデント に対するアクション: ホワイト リスト からサイバーエクスポージャーを削 除するか、再 有
効化 します。

IoE のデータには、次のものが含 まれます。
l

情報 セクション: このセクションでは、既 知の攻 撃ツール、影響を受けるドメイン、関 連ドキュメント など、各 露 出インジケーター (IoE) に関 するエグゼクティブサマリーが表 示されます。

l

脆弱 性 の詳細 : このセクションでは、Active Directory の設定 ミスに関する詳 細な情 報が表 示されます。

l

危険 なオブジェクト : このセクションは、より広範 なアタックサーフェスを引き起こす可能性 のある
Active Directory の設定 ミスをハイライト します。

l

推奨 事 項 : このセクションでは、アタックサーフェスを最小 限に抑えるための効果 的 な設 定 戦略 について説 明 します。

- 101 -

IoE を検 索 するには
1. [露 出 インジケーター] ページの上 部 にある検 索 ボックスに文字 列を入力 します。文 字列は、パス
ワード、ユーザー、ログオンなど、IoE に関連する任意の用語 を使用 できます。
2. Enter を押します。
IoE ページが、入力 した検 索 用 語に関連するインジケーターで更新 されます。
特 定 のフォレスト やドメインの IoE を表 示 するようフィルタリングするには
1. [n/n 個 のドメイン] をクリックします。
[フォレスト とドメイン] ペインが開きます。
2. フォレスト またはドメインを選 択 します。
3. [選 択 内 容 でフィルター] をクリックします。

深刻度 レベル深刻 度 レベルにより、検出 された脆 弱 性の深刻度を評 価し、修 正 アクションに優先 順 位を付 けることが可能 になります。
[露 出 インジケーター] ペインに IoE が次 のように表示 されます。
l

カラーコードを使用 した深刻 度 レベル。

l

垂直 方 向 — 深 刻度 の高 い順 (赤 が最も優 先順 位が高く、青 が最も低い)。

l

水平 方 向 — 複 雑度 の高 い順 。Tenable Identity Exposure は複 雑 度の指標 を動的 に計 算して、逸脱 した IoE の修 正の難易 度 を示 します。

深刻度

説明

重大 — 赤

特定の非 特 権 ユーザーによる Active Directory の攻 撃や侵 害を防止 する方 法を示します。

高 — オレンジ

認証情 報 の盗 取 やセキュリティ機 能のバイパスにつながる侵 入後 のテクニック、または危 険な状 態 へと連 鎖的につながる可 能性 のある手口を示 します。

中 —黄Active Directory インフラに対 する限定的なリスクを示 します。

- 102 -

低 —青

優れたセキュリティ対 策を示します。特 定のビジネス環境 では、必 ずしも AD のセキュリティに影 響 を与 えるとは限 らない影響度の低い逸脱 が許 容される場合 もあります。これらの逸脱 は、管理 者 が非アクティブなアカウント をアクティブ化するなどのミスをした場 合にのみ、AD に影響 を与 えます。

関連項 目
l

露出 インジケーターの詳細l

逸脱 オブジェクトl

逸脱 オブジェクト を検 索l

逸脱 オブジェクト の無視l

危険 の原 因となっている属 性

露出 インジケーターの詳 細特定 の露出 インジケーターの詳細 では、検出 された脆 弱性、関 連する逸 脱オブジェクト 、および修 正の推奨 事 項 に関 する技 術 情報 を確認 できます。

露出インジケーターの詳細 を表 示 するには
1. Tenable Identity Exposure で、ナビゲーションペインの [露 出 インジケーター] をクリックします。
[露 出 インジケーター] ペインが開 きます。デフォルト では、Tenable Identity Exposure は逸 脱 を含
む IoE だけを表 示します。
2. (オプション) すべての IoE を表 示 するには、[すべてのインジケーターを表 示 ] ト グルをクリックして [はい] に切り替えます。
3. ページにある任意 の [露 出 インジケーター] タイルをクリックします。
[インジケーターの詳 細 ] ペインが開 きます。

- 103 -

[インジケーターの詳 細 ] ペインの上部に、イベント 情報テーブルですでに提 供されている情報 の要
約が表 示 されます。
o

IoE の名 前oIoE の深 刻 度 レベル (重 大 、高 、中 、低)o

前 回 Tenable Identity Exposure が行 った分析結 果 に基 づいたコンプライアンスのス
テータス

oTenable Identity Exposure が最後に分析 を実行 した時 刻を示す最 新 の検 出

- 104 -

4. 次のいずれかのタブをクリックすると、IoE の詳 細 が表示されます。
タブ

説明

情報

IoE に関 する以 下のような内 部と外 部 のリソースが含 まれています。
l

エグゼクティブサマリー — 問 題 の概 要 が記載されており、適切な意 思 決定を行うのに役 立 ちます。

lドキュメント — 当該 IoE に関 する外部 リソースへのリンク。

l

攻撃 者の既知 のツール — ハッキングツールの名 前。

l影響 を受けたドメインのツリー構造 。

脆弱

AD で検 出 された脆 弱性の説明、および修 正 措置をしない場合に Active

性 の詳

Directory (AD) に及 ぶリスクが表示されます。

細逸 脱オ

逸 脱 オブジェクト は、AD の脆 弱性や潜在 的 に危 険な動 作を明らかにします。逸ブジェク

脱 オブジェクト にフィルターを適用 して、重 大な問題 を正確に特 定できます。

ト

IoE のステータスが非 準拠で逸 脱 オブジェクト が含 まれる場 合、修 正措置 を講じて
Tenable Identity Exposure によって検出 されたセキュリティ上 の欠陥 を是正することができます。詳細 は、逸脱 オブジェクト を参照 してください。

推奨

セキュリティ要 件へのコンプライアンスを取 り戻 し、AD のセキュリティを改善 するには事項

に関するヒント 。
lエグゼクティブサマリーには、Tenable Identity Exposure が提 案 する解決 策の概 要が示されます。

l

詳細 サブセクションには、アクションプランの実施 方法 に関するアドバイスが表示され、マネージャーが AD インフラに対 して必要な変更 を開 始するのに役
立ちます。

l

ドキュメント サブセクションには、推 奨されている解決策 や脅 威に関 する外 部
リソースへのリンクがあります。

関連項 目- 105 -

l

露出 インジケーターl

逸脱 オブジェクトl

逸脱 オブジェクト を検 索l

逸脱 オブジェクト の無視l

危険 の原 因となっている属 性

逸脱 オブジェクト
Tenable Identity Exposure の露 出 インジケーター (IoE) は、Active Directory (AD) の脆 弱 性 や潜在 的に危険 な動作 を明 らかにする逸脱オブジェクト にフラグを立 てることができます。これらの逸 脱オブジェクト に注意 を払 えば、重大 な問題を正確 に特定 して修正 することができます。以 下の操作が可能 です。
l

逸脱 オブジェクト を検 索 するl

一定 期 間 、逸 脱 オブジェクト を無 視するl

フォレスト とドメインを選 択して逸 脱オブジェクト を検索する

lIoE に影 響を与 えている、危険 の原因となっている属性 に関 する説明を取 得する

l

すべての逸脱オブジェクト が記載 されたレポート をダウンロードする

逸脱オブジェクト を表示 するには
1. Tenable Identity Exposure で、ナビゲーションペインの [露 出 インジケーター] をクリックします。
[露 出 インジケーター] のページが開 きます。デフォルト では、Tenable Identity Exposure は逸 脱 を含む IoE だけを表示 します。
2. ページにある任意 の [露 出 インジケーター] タイルをクリックします。

- 106 -

[インジケーターの詳 細 ] ペインが開 きます。

3. [逸 脱 オブジェクト ] タブをクリックします。
IoE に関 連付けられている逸 脱 オブジェクト のリスト が表 示されます。

逸脱 オブジェクト のテーブルには、以下の情 報が含まれています。
oタイプ — AD (LDAP または SMB プロト コル) で起きたセキュリティ関 連の変 更の発生源を示 します。

o

オブジェクト — AD オブジェクト に関連 付 けられたクラスまたはファイル拡張 子を示 します。

oパス — AD オブジェクト へのフルパスを示し、そのオブジェクト の AD 内 の一 意の場所を特定 できるようにします。

- 107 -

oドメイン — AD の変 更 が発 生 したドメインを示します。

o

理 由 — 逸脱オブジェクト に影 響を与 えている、危険 の原 因となった属性 の一 覧を示 します。

逸脱 オブジェクト のレポート をエクスポート するには
1. [逸 脱 オブジェクト ] ページの下 部にある [すべてエクスポート ] をクリックします。
[逸 脱 オブジェクト のエクスポート ] ペインが表示されます。
2. [エクスポート 形 式 ] ボックスでドロップダウン矢印 をクリックして、形式を選択します。
3. [すべてエクスポート ] をクリックします。
Tenable Identity Exposure は逸脱オブジェクト のレポート をマシンにダウンロードしま
す。

関連項目
l

露 出インジケーターl露 出インジケーターの詳 細l

逸 脱オブジェクト を検 索l

逸 脱オブジェクト の無 視l

危 険の原 因となっている属 性

逸脱 オブジェクト を検索
逸脱 オブジェクト を手 動で、またはウィザードを使 用して検索できます。
ウィザードでの検 索
検索 ウィザードで、クエリ式 を作成 できます。

- 108 -l

検索 ボックスで頻繁に使 用する式 をブックマークのリスト に追加 して、後で使 用することができます。

l

検索 ボックスに式 を入力 すると、Tenable Identity Exposure はこの式を [履 歴] ペインに保 存 し、再利 用 できるようにします。

ウィザードを使 用 して逸 脱オブジェクト を検 索するには
1. 逸脱 オブジェクト のリスト を表 示します。
2.

アイコンをクリックします。
[クエリ式 の編 集 ] ペインが開 きます。

3. パネルでクエリ式を定義 するには、AND または OR 演算 子 ボタン (1) をクリックして、最 初の条 件に適用 します。
4. 属性 をドロップダウンメニューから選 択し、値 を入力 します (2)。
5. 次のいずれかを行います。
o

属 性を追加 するには、[+ 新 しいルールの追 加 ] (3) をクリックします。

o

別 の条件 を追 加するには、[新 しい条 件 の追 加 ] の + AND または + OR 演算 子をクリックします。属性 をドロップダウンメニューから選 択し、値 を入力 します。

o

逸 脱オブジェクト だけを検索 するには、[逸 脱 のみ] のト グルをクリックして許 可します。+ AND- 109 -

または + OR 演算子 を選 択 して、条 件をクエリに追 加します。
o

条 件またはルールを削 除するには、アイコンをクリックします。

6. [検 証 ] をクリックして検 索を実 行するか、[リセット ] をクリックしてクエリ式を変更 します。
手 動 の検 索
特定 の文字 列 またはパターンに一致 する逸脱オブジェクト だけを表示するようフィルタリングするには、検索ボックスに式を入 力し、ブール演算 子 *、AND、OR を使用 して結果を絞り込みます。検 索の優 先 順
位を変 更 したい場合は、括 弧 を使用 して OR ステート メント をカプセル化できます。検 索では、Active
Directory 属 性 の特 定の値 が検索 されます。イベント 情報 を手動 で検 索 するには

逸脱オブジェクト を手動 で検索するには
1. 逸脱 オブジェクト のリスト を表 示 します。

2. 検索 ボックスに、クエリ式を入 力します。
3. 次のように検索 結 果をフィルタリングできます。
o[カレンダー] ボックスをクリックして、開 始日と終 了 日を選 択 します。

o[n/n 個 のドメイン] をクリックして、フォレスト とドメインを選 択 します。

- 110 -

4. [検 索 ] をクリックします。
Tenable Identity Exposure は、検 索条件 に一 致する結 果でリスト を更 新します。

文法と構 文手動 クエリ式は、次の文 法と構 文を使 用します。
l

文法 : EXPRESSION [OPERATOR EXPRESSION]*l

構文 : __KEY__ __SELECTOR__ __VALUE__
各部 の説 明o__KEY__: 検索 する AD オブジェクト 属性 を表します (CN、userAccountControl、membersなど)。

o__SELECTOR__: 演 算 子 (:、>、<、>=、<=) を表 します。

o__VALUE__: 検索 する値 を表 します。
特 定のコンテンツを検索 する場合 は、さらに多くのキーを使用できます。

oisDeviant: 逸脱 を引き起 こしたイベント を検索します。

AND と OR 演算 子を使用して、イベント 情報 のクエリ式を複数組み合 わせることができます。
例l

共通 の名 前属 性で文 字 列 alice を含 むすべてのオブジェクト を検索: cn:"alice"l

共通 の名 前属 性で文 字 列 alice を含 み、かつ特定の逸 脱を引 き起 こしたすべてのオブジェクト を
検索 : isDeviant: "true" AND cn: "alice"lDefault Domain Policy という名 前 の GPO を検索: objectClass:"groupPolicyContainer"
AND displayname:"Default Domain Policy"lS-1-5-21 を含む SID を持つすべての非 アクティブ化 されたアカウント を検 索:
userAccountControl:"DISABLE" AND objectSid:"S-1-5-21"- 111 -

lSysvol 内 のすべての script.ini ファイルを検索 : globalpath:"sysvol" ANDtypes:"SCRIPTSini"
注 意 : ここの types は列 ヘッダーではなくオブジェクト 属性のことです。

関連項 目
l

露出 インジケーターl

露出 インジケーターの詳細l

逸脱 オブジェクトl

逸脱 オブジェクト の無視l

危険 の原 因となっている属 性

逸脱 オブジェクト の無視
調査 やレポート 作成 の際に画 面 が乱 雑 になるのを防 ぐ目 的で、Tenable Identity Exposure が選 択 された特 定 の期 間 を無視するようにして、一 部の逸脱オブジェクト をフィルターで除外 することができます。1 つまたは複 数 の逸 脱オブジェクト を無 視することもできます。カスタムフィルターを直 ちに適 用するか、フィル
ターを有 効にする時 間 枠を指 定できます。
注 意 : オブジェクト を無視しても、Tenable Identity Exposure で解決 されるわけではありません。

逸脱オブジェクト を無視 するには
1. Tenable Identity Exposure で逸 脱 オブジェクト のリスト を表示します。
2. 無視 する逸脱オブジェクト の前にあるチェックボックスを選 択します。
3. オプションで、逸 脱 オブジェクト をフィルタリングして無視することもできます。
o[カレンダー] ボックスをクリックして、開 始日と終 了 日を選 択 します。

o[n/n 個 のドメイン] をクリックして、フォレスト とドメインを選 択 します。

ヒント : 選 択を速 やかに行うには、ページの下部 にある [すべてのページを選 択 ] または [現 在 のページを選 択 ] ボックスにチェックを入 れます。

- 112 -

4. ページ下部にあるドロップダウンリスト から [選 択 されたオブジェクト を無 視 ] を選 択します。
5. [OK] をクリックします。
[選 択 されたオブジェクト を無 視 ] ペインが表 示されます。
6. [無 視 する期 間 の終 了 日 ] ボックスをクリックしてカレンダーを表 示し、Tenable Identity Exposure が
逸脱 オブジェクト を無 視 する最 後の日付を選 択します。
7. [OK] をクリックします。
Tenable Identity Exposure は確 認メッセージを表 示し、残りの逸脱オブジェクト のリスト を更新 します。

無視した逸 脱オブジェクト を表 示するには
1. [無 視 されたもの]ト グルをクリックして [はい] に切 り替えます。
2. ページの下 部 にある [すべてのページを選 択 ]をクリックします。
3. ドロップダウンリスト から [選 択 されたオブジェクト の無 視 を停 止 ] を選 択します。
4. [OK] をクリックします。
確認 ペインが表 示 されます。
5. [OK] をクリックして、変 更 を確定 します。
Tenable Identity Exposure は無 視された逸 脱オブジェクト を表 示 します。

関連項 目
- 113 -

l

露出 インジケーターl

露出 インジケーターの詳細l

逸脱 オブジェクトl

逸脱 オブジェクト を検 索l

危険 の原 因となっている属 性

危険 の原 因 となっている属 性Tenable Identity Exposure は、逸 脱 オブジェクト をト リガーする原因となっている属 性 を露出 インジケー
ターに表 示 して、その理 由を示 し、ユーザーが逸脱を理解 して修正 できるようにします。

危険の原 因となっている属性 を表 示するには
1. 逸脱 オブジェクト のリスト を表 示します。

2. 逸脱 オブジェクト のリスト のエント リをクリックします。
Tenable Identity Exposure は、その逸脱 オブジェクト の原 因となっている属 性のリスト を表示しま- 114 -

す。

リスト には以下 の情報 が含 まれています。
l

理由 が複 数ある場合 に理 由 を区別 するための色 分 けされたタグ

l値o?: 属性 値の欠落 (空 )。異 常 な動作を示します。

o[この逸脱 の利用 可能 な説明はありません]: この逸 脱 はバージョン 2.6 の時点 で検出 されたものであり、現 在 Tenable Identity Exposure はこの属性 を管 理していません。

危険の原 因となっている属性 をコピーするにはl

属性 を選択し、アイコンをクリックします。

関連項 目
l

露出 インジケーターl

露出 インジケーターの詳細l

逸脱 オブジェクトl

逸脱 オブジェクト を検 索l

逸脱 オブジェクト の無視- 115 -

RSoP ベースの露 出 インジケーター
Tenable Identity Exposure は、一 連 の RSoP (ポリシーの結 果セット ) ベースの露 出インジケーター (IoE) を使用 して、さまざまな側 面のセキュリティとコンプライアンスを評価し保 証します。このセクションでは、特 定の RSoP IoE の現在 の動作について、およびその計算 に関 連するパフォーマンスの懸念 事項 に Tenable
Identity Exposure がどのように対処 しているかについて、インサイト を提 供 します。
次の RSoP ベースの IoE は、Tenable Identity Exposure のセキュリティフレームワークで役割 を果たします。
l

特権 ユーザーのログオン制限l

機密 性 の高い危険 な特権

lユーザーに対する弱いパスワードポリシーの適 用lランサムウェアに対 する不十 分な堅 牢 化

lNetlogon プロト コルの安全 でない設定

これらの IoE は、必 要に応 じて初 期 化される RSoP 計算 結 果 キャッシュに依存 し、既存 の値に依 存 せずにリクエスト に応 じて追加 される値 を計 算します。以前は、AdObjects への変更 がキャッシュ無 効 化 を引き起こし、IoE の RSoP 実行中 に頻 繁に再 計算が行われていました。
Tenable Identity Exposure では、RSoP 計 算に関連するパフォーマンスへの影 響 に次のように対 処 しています。
1. 最 新 ではない可 能 性 のあるデータを使 用 したライブ IoE 分 析 — RSoP に依存 する IoE の計 算 (入出力 イベント ) は、処理 に使用 されるデータが最新 のものでなくても、発生 時にリアルタイムで実 行されます。RSoP キャッシュを無 効 にする可能 性のあるバッファされたイベント は、特 定 の条 件 を満 た
すまで保 存され、予 測した計 算 が行われるようにします。
2. スケジュールされた RSoP 無 効 化 — 再計算 の条 件 を満たすと、システムは無 効 化プロセス中 にバッファされたイベント を考慮 して、RSoP キャッシュを無効 にします。
3. 最 新 のキャッシュを使 用 した IoE の再 実 行 — キャッシュが無効 化された後 、バッファされたイベント を取り込 んで、キャッシュにある最 新 バージョンの AdObject で IoE が再 実行されます。Tenable
Identity Exposure は、バッファされたイベント ごとに IoE を個 別に計 算 します。
こうした理 由 により、RSoP に依存 する IoE の計 算時間が最適 化されると、RSoP に関連する逸 脱 の計
算に時 間 がかかります。

Microsoft Entra ID 関 連 の露出 インジケーター- 116 -

Microsoft Entra ID 専 用 の露 出インジケーター
Tenable Identity Exposure には、Microsoft Entra ID の資産 に存在 する可能 性のある脆 弱性 を警 告 す
る専用 の露 出インジケーター (IoE) があります。

Microsoft Entra ID の IoE を表 示 するには
1. Tenable Identity Exposure で、左 側のナビゲーションバーの IoE アイコン

をクリックします。

IoE ペインが開きます。
2. [Microsoft Entra ID] タブをクリックします。
Tenable Identity Exposure は、検 出結果 をト リガーした Microsoft Entra ID に関 連 する IoE を表示します。

3. 調査 したい IoE のタイルをクリックします。
4. [インジケーター ID の詳細 ] ペインが開き、次の情 報 が表 示されます。
o

脆 弱 性 情 報 : どのように攻 撃 にさらされる可 能性 があるかo

検 出 結 果 : ID プロバイダーのタイプに関 する詳細とリスクの説明o

推 奨 事 項 : 脅 威 を修 正する手順

露出 インジケーターからの逸 脱を修正

- 117 -

Tenable Identity Exposure は、露 出 インジケーター (IoE) が、修 正が必要な逸脱 オブジェクト に遭 遇した
ときにアラート をト リガーします。
以下 は、3 つの特定 の IoE に対 する修 正 手順 の実行 方 法を示 す例です。
l

標準 ユーザーに設 定される AdminCount 属性l

危険 な Kerberos 委任lSDProp の一貫性 を確保する

IoE の詳 細 については、Tenable Identity Exposure ユーザーインターフェースで提 供 されるドキュメント を参照 してください。

標準 ユーザーに設定 される AdminCount 属性
ユーザーアカウント の adminCount 属 性は、管 理グループにおける過 去 のメンバーシップを示し、アカウン
ト がグループに含まれなくなった後でもリセット されません。その結 果 、古い管 理アカウント にもこの属 性 があり、Active Directory のアクセス許可 の継承 がブロックされます。本 来は管 理者を保 護することを目 的 としていますが、アクセス許 可 に関 する問題 が発生する可能性 があります。
この中 レベルの IoE は、この属 性 を持 つアクティブなユーザーアカウント とグループのみをレポート し、
adminCount 属 性が 1に設定された正当 なメンバーを持つ特 権グループはレポート しません。
標 準 ユーザーに設 定 される AdminCount 属 性 IoE からの逸脱 オブジェクト を修 正 するには、次の手 順を
実行 します。
1. Tenable Identity Exposure で、ナビゲーションペインの [露 出 インジケーター] をクリックして開 きます。
デフォルト では、Tenable Identity Exposure は逸脱オブジェクト を含 む IoE だけを表 示します。
2. 標 準 ユーザーに設 定 される AdminCount 属 性 IoE のタイルをクリックします。

- 118 -

[インジケーターの詳 細 ] ペインが開 きます。
3. 逸脱 オブジェクト にカーソルを合わせてクリックすると詳細 が表 示されるので、ドメイン名 とアカウント
を書 き留 めます。(この例 では、ドメイン = OLYMPUS.CORP、標 準アカウント は unpriv-usr)

4. リモート デスクト ップマネージャー (または類似 のツール) で、ドメイン名 を見つけて、[ユーザー] とTenable Identity Exposure フラグが付けられたアカウント に移動します。
必 要 なアクセス許 可 : この手順を実 行するには、ドメインの管 理者アカウント が必 要です。

- 119 -

5. アカウント 名 をクリックして [プロパティ] ダイアログボックスを開き、[属 性 エディター] タブを選 択します。
6. 属性 のリスト で、[adminCount] をクリックして [Integer Attribute Editor] (整数 属性 エディター) ダ
イアログボックスを開きます。

- 120 -

7. ダイアログボックスで、[クリア] および [OK] をクリックします。

8. Tenable Identity Exposure で、[インジケーターの詳 細] ペインに戻 り、ページを更 新します。
逸脱 オブジェクト がリスト に表 示 されなくなります。

危険 な Kerberos 委任
Kerberos プロト コルは Active Directory のセキュリティの中核 をなすもので、選 択したサーバーにユーザー認証 情 報 を再利 用 する許 可を与 えます。攻 撃者 がこの選 択したサーバーの 1 つを侵 害すると、その認証情 報 を盗 み、他のリソースで認 証を得 るために使 用することができます。
この重 大 レベルの IoE は、委 任の属性 を持つアカウント すべてを報告 します。ただし、無効 化 されたアカウ
ント は除 外 します。特 権ユーザーは委 任 属性 を持つべきではありません。これらのユーザーアカウント を保- 121 -

護するには、「保 護 ユーザー」グループに追 加するか、「アカウント は重要なので委 任 できない」をマークします。
アカウント を「保 護 されたグループ」に追 加 するには
1. Tenable Identity Exposure で、ナビゲーションペインの [露 出 インジケーター] をクリックして開 きます。
デフォルト では、Tenable Identity Exposure は逸脱オブジェクト を含 む IoE だけを表 示します。
2. 危 険 な Kerberos 委 任 IoE のタイルをクリックします。

[インジケーターの詳 細 ] ペインが開 きます。
3. 逸脱 オブジェクト にカーソルを合わせてクリックすると詳細 が表 示されるので、ドメイン名 とアカウント
を書 き留 めます。(この例 では、ドメイン = OLYMPUS.CORP、アカウント = adm-t0)。

- 122 -

4. リモート デスクト ップマネージャー (または類似 のツール) で、ドメイン名 を見つけて、ドメインと Tenable
Identity Exposure フラグが付 けられたアカウント に移動 します。
必 要 なアクセス許 可 : この手順を実 行するには、ドメインの管 理者アカウント が必 要です。

5. アカウント 名 をクリックして [プロパティ] ダイアログボックスを開き、[所 属 グループ] タブを選択 します。
6. メンバーリスト で、[追 加 ] をクリックします。

- 123 -

[グループの選 択 ] ダイアログボックスが表示 されます。
7. オブジェクト 名 に「保 護ユーザー」と入力し、[名 前 の確 認 ] をクリックします。

- 124 -

8. [OK] をクリックして、ダイアログボックスを閉じます。
9. [プロパティ] ダイアログボックスで、[適 用 ] をクリックします。
新しいグループがメンバーリスト に表 示されます。

- 125 -

10. [OK] をクリックして、ダイアログボックスを閉じます。
11. Tenable Identity Exposure で、[インジケーターの詳 細] ペインに戻 り、ページを更 新します。
逸脱 オブジェクト がリスト に表 示 されなくなります。
アカウント を「委 任 できない」に設 定 するには
1. リモート デスクト ップマネージャーで、ドメイン名 を見つけて、ドメインと Tenable Identity Exposure フ
ラグが付 けられたアカウント に移 動します。
必 要 なアクセス許 可 : この手順を実 行するには、ドメインの管 理者アカウント が必 要です。

2. アカウント 名 をクリックして [プロパティ] ダイアログボックスを開き、[アカウント ] タブを選 択します。
3. アカウント オプションのリスト から、[アカウント は重要なので委任 できない] を選択 し、[適 用 ] をクリックします。

- 126 -

4. [OK] をクリックして、ダイアログボックスを閉じます。
5. Tenable Identity Exposure で、[インジケーターの詳 細] ペインに戻 り、ページを更 新します。
逸脱 オブジェクト がリスト に表 示 されなくなります。

SDProp の一貫 性を確保 する
Active Directory ドメインを侵 害 する攻撃 者は通 常 、adminSDHolder オブジェクト の ACL を変 更 し、攻撃者 が ACL に追加 するアクセス許可 は特 権ユーザーにコピーされるため、バックドアが簡単に設置 されてしまいます。
この重 大 レベルの IoE は、adminSDHolder オブジェクト に設定 されているアクセス許 可が管 理 者アカウン
ト への特 権 アクセスのみを許可 していることをチェックします。

SDProp の一 貫 性 を確 保 する IoE から逸脱オブジェクト を修正 するには
1. Tenable Identity Exposure で、ナビゲーションペインの [露 出 インジケーター] をクリックして開 きます。
デフォルト では、Tenable Identity Exposure は逸脱オブジェクト を含 む IoE だけを表 示します。
2. SDProp の一 貫 性 を確 保 する IoE のタイルをクリックします。

- 127 -

[インジケーターの詳 細 ] ペインが開 きます。
3. 逸脱 オブジェクト にカーソルを合わせてクリックすると詳細 が表 示されます。Tenable Identity
Exposure がフラグを立てたドメイン名と関 連するアクセス許可を書 き留めます。(この例では、
OLYMPUS.CORP .\unpriv)。

- 128 -

4. リモート デスクト ップマネージャー (または類似 のツール) で、ドメイン名 を見つけて、[システム] >[AdminSDHolder] に移動 します。
必 要 なアクセス許 可 : この手順を実 行するには、ドメインの管 理者アカウント が必 要です。

5. [AdminSDHolder] を右クリックし、コンテキスト メニューから [プロパティ] を選 択 します。

- 129 -

6. [プロパティ] ダイアログ ボックスで、[セキュリティ] タブを選択し、[詳 細 ] をクリックします。
7. [セキュリティの詳 細 設 定 ] ウィンドウの [アクセス許 可 ] タブで、アクセス許 可エント リのリスト からアラート が発 生 したアクセス許可 を選択します。
8. [削 除 ] をクリックします。
9. [適 用 ]、[OK] の順にクリックして、設定 ウィンドウを閉じます。
10. [OK] をクリックして、[プロパティ] ウィンドウを閉じます。

- 130 -

11. Tenable Identity Exposure で、[インジケーターの詳 細] ペインに戻 り、ページを更 新します。
逸脱 オブジェクト がリスト に表 示 されなくなります。

攻撃インジケーター
必 要 なライセンス: 攻 撃インジケーター

Tenable Identity Exposure の 攻 撃 インジケーター (IoA) により、Active Directory (AD) に対 する攻撃 を検出することができます。
攻撃 インジケーターの統 合ビューには、タイムライン、リアルタイムで AD に影響を与えたト ップ 3 のインシデ
ント 、および攻撃の分布 が 1 つのペインにまとめて表 示されます。以下 を実行できます。
l

正確 な攻 撃タイムラインによってすべての脅 威を視 覚化l

AD への攻 撃の詳 細な情 報 を分 析l検出 されたインシデント から、直 接 MITRE ATT&CK の説明を確認

特定 の IoA の詳 細 については、を参 照 してください。
注 意 : 検 出 された攻 撃の数が多い場 合は、管理 者 がさまざまな攻撃インジケーターのオプションに推奨 値を適用して IoA を正しく調 整していることを確 認 してください。詳しくは、IoA を調整 するにはを参 照してください。

攻撃インジケーターを表 示するには- 131 -

1. Tenable Identity Exposure で、ナビゲーションペインの [攻 撃 インジケーター] をクリックします。
[攻 撃 インジケーター] ペインが開 きます。

2. デフォルト では、Tenable Identity Exposure はすべての AD フォレスト とドメインを表示 します。この表示 を調整するには、次 のいずれかを実 行 します。
o

表 示する期間を選 択 - 時 間 、日 (デフォルト )、月 、または年 をクリックします。

oタイムラインに沿 って移 動 - 左 または右の矢 印をクリックして、タイムラインを前 後に移動 します。

o特 定の時 間を選択 - 日 付 の選 択コント ロールをクリックして、時 間、日、月 、年 を選 択します。

o

現 在の日 付と時 刻 に戻る - 日付の選 択コント ロールの横 にあるします。

oドメインを選択 - [n/n 個 ドメイン] をクリックします。
a. [フォレスト とドメイン] ペインで、ドメインを選択します。
b. [選 択 内 容 でフィルター] をクリックします。
Tenable Identity Exposure がビューを更新 します。

- 132 -

アイコンをクリック

o

IoA を選 択 - [n/n 個 のインジケーター] をクリックします。
a. 攻撃インジケーターペインで、IoA を選択 します。
b. [選 択 内 容 でフィルター] をクリックします。
Tenable Identity Exposure がビューを更新 します。

oIoA タイルを並べ替 え — [並 び順 ] ボックスの矢印 をクリックして、ドメイン、重 大 度 、フォ
レスト の選 択肢がある選 択 ドロップダウンリスト を表 示します。

oドメインまたは攻撃 の検 索 — [検 索 ]ボックスに、ドメイン名 または攻 撃を入力します。

o

攻 撃されているドメインのみを表示 — [攻 撃 を受 けたドメインのみを表 示 ] ト グルをクリックして、[はい] に切 り替 えます。

o

攻 撃レポート をエクスポート - [エクスポート ] をクリックします。
[カードのエクスポート ] ペインが表示されます。
a. [エクスポート 形 式 ] ボックスで、ドロップダウン矢 印 をクリックして、PDF、CSV、
PPTX から形式 を選択 します。
b. [エクスポート ] をクリックします。
Tenable Identity Exposure はレポート をローカルマシンにダウンロードします。

深刻 度 レベルTenable Identity Exposure は、攻 撃 を検 出し、以 下の深刻 度レベルを割 り当 てます。
レベル

説明

重大 —

前提条 件 としてドメインの支配が必 要な、実 証済みの悪用 後の攻撃 を検 出しました。

赤高 —オ

攻撃者 がドメインの支 配を可 能にする重大 な攻撃 を検出しました。

レンジ
中 —黄

IoA は、危険な権限 昇格 や、機 密性の高いリソースへのアクセスの許可につながる可能性のある攻 撃 と関連 しています。

低 —青

偵察活 動 や影響 度 の低 いインシデント に関 連 する疑 わしい動 作について警告しています。

- 133 -

関連項 目l

攻撃 インジケーターの詳細l

攻撃 インジケーターインシデント

攻撃 インジケーターの詳 細Tenable Identity Exposure の攻 撃 インジゲーターペインには、Active Directory で発 生した攻 撃 に関 する
情報 が表 示 されます。

攻撃インジケーターを表 示するにはlTenable Identity Exposure で、ナビゲーションペインの [攻 撃 インジケーター] をクリックします。
[攻 撃 インジケーター] ペインが開 きます。

タイムラインの攻撃 情 報を表示 するにはl

タイムラインに沿 って並 んでいるイベント をクリックすると、以下が表示 されます。
oインシデント が検 出された日時

oト ップ 3 の攻撃 の深 刻度 レベルo

この日時に検 出 された攻撃 の総数

グラフの種 類 を変 更するには- 134 -

1.

アイコンをクリックして、ドメインタイルを編 集 します。
[カード情 報 の編 集 ] ペインが表 示されます。

2. グラフのタイプを選択します。
o

攻 撃 の分 布 : 攻撃 の深 刻度 の分布を表示します。

- 135 -

oイベント 数 : ト ップ 3 の攻 撃とその発生回 数を表 示 します。

3. [Save] をクリックします。
Tenable Identity Exposure がグラフを更新 します。

関連項 目
l

攻撃 インジケーターl

攻撃 インジケーターインシデント

攻撃 インジケーターインシデント
インシデント の攻撃インジケーター (IoA) リスト は、Active Directory (AD) に対 する特定 の攻 撃の詳細 情報を提 供 します。これにより、IoA の深 刻 度レベルに応 じて必要なアクションを実行 できます。
攻 撃 インシデント を表 示 するには

- 136 -

1. Tenable Identity Exposure で、ナビゲーションペインの [攻 撃 インジケーター] をクリックします。
[攻 撃 インジケーター] ペインが開 きます。
2. 任意 のドメインタイルをクリックします。
[インシデント のリスト ] ペインが、ドメインで発 生 したインシデント のリスト とともに表示 されます。

3. このリスト から、次のいずれかを実 行できます。
o

特 定のインシデント を検 索するための検索条件を定義します (1)。

o

AD に影響を与えている攻 撃 に関する詳 しい説明 にアクセスします (2)。

oインシデント をクローズするか再オープンします (3)。

o

すべてのインシデント が表 示されたレポート をダウンロードします (4)。

インシデント を検 索 するには
1. [検 索 ]ボックスで、ソースまたは宛先の名 前を入 力します。
2. 日付 の選 択コント ロールをクリックして、インシデント の開始 日と終了 日を選 択します。
3. [n/n 個 のインジケーター] をクリックして、関 連するインジケーターを選 択 します。
4. [閉 じられたインシデント ] ト グルをクリックして [はい] に切り替え、検 索を閉じられたインシデント に
限定 します。
5. [更 新 ] をクリックします。

- 137 -

Tenable Identity Exposure は、一 致するインシデント でリスト を更 新します。

インシデント を閉 じる方 法
1. インシデント のリスト から、閉 じるまたは再オープンするインシデント を選択 します。

2. ペインの下部で、ドロップダウンメニューをクリックし、[選 択 されたインシデント を閉 じる] を選 択します。
3. [OK] をクリックします。
クローズの確認 を求めるメッセージが表示されます。
4. [確 認 ] をクリックします。
Tenable Identity Exposure がインシデント を閉じて、今後 表示 しないことを確 認するメッセージが表示 されます。
インシデント を再 度 開 く方 法

- 138 -

1. [インシデント のリスト ] ペインで、[閉 じられたインシデント ]ト グルを [はい] に切 り替 えます。
Tenable Identity Exposure は、閉 じられたインシデント でリスト を更新 します。
2. 再度 開 くインシデント を選 択 します。

3. ペインの下部で、ドロップダウンメニューをクリックし、[選 択 されたインシデント を再 度 開 く] を選 択します。
4. [OK] をクリックします。
Tenable Identity Exposureがインシデント を再 度開 いたことを確認 するメッセージが表示されます。
ヒント : インシデント をまとめて閉めるまたは再度 開 くには、画 面 の下部で、[表 示 されたオブジェクト を選 択 ]をク
リックします。

インシデント の詳 細インシデント のリスト の各エント リには、次 の情 報 が表示されます。
l

日 付 - IoA をト リガーしているインシデント が発 生 した日 付。Tenable Identity Exposure は、タイム
ラインの一番上 に最新のインシデント を表示します。

l

ソース - 攻撃 元 とその IP アドレス。

l

攻 撃 手 法 - 攻 撃中 に何が起きたかについての説明。

- 139 -

ヒント : IoA の詳細情報を表 示するには、攻 撃手法 にカーソルを合 わせます。
l

宛 先 - 攻 撃 先とその IP アドレス。

l

攻 撃 名 - 攻撃 の技術 的な名前 。

lドメイン - 攻撃が影 響 を与えたドメイン。
ヒント : [インシデント のリスト ] でインタラクティブな要 素 (リンク、アクションボタンなど) をいくつかクリックすると、Tenable Identity Exposure に最 大 5 つのペインを表示することができます。すべてのペインを同 時に閉じるには、ページ内 の任 意の場 所 をクリックします。

攻撃の詳 細インシデント のリスト から、特定 の攻 撃 をドリルダウンし、必要なアクションを実行 して修 正できます。

攻撃の詳 細を表示 するには
1. インシデント のリスト から、詳 細 をドリルダウンするインシデント を選 択します。
2. [詳 細 ] をクリックします。

Tenable Identity Exposure は、その攻撃 に関 連 する詳 細を表 示 します。
説明
[説 明 ] タブには、以下 のセクションがあります。

- 140 -

l

インシデント の説 明 - 攻 撃に関する簡単な説明が表示されます。

l

MITRE ATT&CK 情 報 - Mitre Att&ck (Adversarial Tactics, Techniques, andCommon Knowledge) ナレッジベースから取 得された技術 的な情 報が表示 されます。
Mitre Att&ck とは、攻撃 者 による攻撃 を分類し、攻撃者がネット ワークを侵害 した後に行 った操 作 を解説するフレームワークのことです。サイバーセキュリティのコミュニティによる共通 認識を可 能 にする、セキュリティの脆弱 性に対 する標 準 識別子 も提 供されています。

l

追 加 のリソース - 攻 撃に関 するさらに詳 しい情報を掲載 したウェブサイト や記 事、ホワ
イト ペーパーへのリンクが記 載 されています。

YARA 検 出 ルール[YARA 検 出 ルール] タブは YARA ルールについて説 明 しています。Tenable Identity
Exposure はこれらのルールを使 用 して、ネット ワークレベルで AD 攻撃を検出し、Tenable
Identity Exposure の検出 チェーンを強化 します。
注 意 : YARA とは、主 にマルウェアの研究 や検出に使 用されるツールの名前 です。このツールは、テ
キスト またはバイナリのパターンに基 づいてマルウェアファミリーの記述 を作成する、ルールベースのア
プローチを提 供 します。説明 が実質的に YARA のルール名となります。このルールは、一連 の文字
列 とブール式 で構成 されています (出 典: wikipedia.org)。

関連項目
l

攻 撃インジケーターl

攻 撃インジケーターの詳 細ト ポロジート ポロジーページは、Active Directory をインタラクティブなグラフで表示します。ト ポロジーグラフには、フォ
レスト やドメイン、そしてそれらの間 に存 在 する信頼 関係が表 示 されます。

- 141 -

ト ポロジーページを開くにはlTenable Identity Exposure で、左 側のナビゲーションメニューの [ト ポロジー] をクリックします。
ト ポロジーペインが開き、AD がグラフィック表 示されます。

ドメインを検索 するにはl[ト ポロジー] ペインの [検 索 ] ボックスにドメイン名 を入力 します。
Tenable Identity Exposure がドメインをハイライト します。

グラフを拡 大 するにはl[ト ポロジー] ペインで、[ズーム] スライダーをクリックして、グラフのサイズを調 整します

2 つのドメイン間 のリンクを表 示するにはl[ト ポロジー] ペインで [内 部 関 係 の表 示 ] をクリックして、[はい] に切り替えます。

ドメインの詳 細を表示 するには

- 142 -

l[ト ポロジー] ペインで、ドメイン名のをクリックします。

[ドメインの詳 細 ] ペインが開き、検出された露 出インジケーター、およびドメインのコンプライアンスス
コアが表示されます。IoE のタイルをクリックすると、詳細 情報 を表 示できます。

関連項 目
l

信頼 関 係l

危険 な信 頼信頼 関 係ト ポロジーグラフのドメイン間 の曲 線矢 印 は、信頼 関係を表しています。

信頼関 係 を表 示するにはl

ト ポロジーグラフで、曲 線 矢 印 にカーソルを合 わせます。
Tenable Identity Exposure は 2 つのエンティティ間 の特 定の属 性を示 す信 頼関係 を表示 します。

信頼 関 係 の色 は、異なる脅 威レベルを表しています。
l

赤 は危 険 な信頼l

オレンジは通 常の信 頼l

青 は未 知 の信 頼

詳細 は、危 険 な信 頼 を参 照してください。

- 143 -

信頼 属 性 の情 報は、信 頼の方向を一 方 向 または双 方 向 (入力/出 力) で示し、次のいずれかの値を表
示します。
値

説明

非推移

フォレスト 内 の信 頼は、推 移的 な信 頼がデフォルト です。Tenable Identity Exposure は的

このフラグを使用して、推 移 的な信 頼 を非 推移 的な信 頼 に変換 します。それに対 して、
フォレスト 間 の信 頼は、非 推移 的な信頼 がデフォルト です。そのため、フォレスト 推移的のフラグが存 在します。Tenable Identity Exposure は、フォレスト 内 でドメイン間の信 頼が存 在 する場 合にこの値を表示 します。この信頼によって、フォレスト を超えて相 互に接続されたドメインにアクセス権が付与 されることはなく、認 証が委 任されることもありませ
ん。

フォレス

2 つのフォレスト 間に推 移 的 信頼が存 在することを示します。別のドメインに付 与された

ト推移

信頼 は、信 頼されたフォレスト に渡すことができます。

的フォレス

同じフォレスト 内にドメイン間の信頼が存 在 することを示 します。WITHIN_FOREST とト内

QUARANTINED_DOMAIN の両方が存 在する場合、信頼は QuarantinedWithinForest と表記 されます。

アップレ

Windows 2000 以降 のオペレーティングシステムで動作しているクライアント のみがこの信ベルの頼を利用 できることを示 します。

み外部と(FOREST_TRANSITIVE が適用される場 合にのみ) 外 部タイプの信頼 を示します。

して扱 うTenable Identity Exposure は、外 部信 頼に適用 されるセキュリティ識 別子 (SID) フィル
ターを調整して、相対 識 別子 (RID) が 1,000 以 上 である SID を認 証 してフォレスト 間を通過 させます。

検疫済

Tenable Identity Exposure が、その信頼で RID が 1,000 以上 である SID のフィルタリンみ

グを有 効にしたことを示 します。デフォルト では、Tenable Identity Exposure は外部 の信頼に対 してのみ有効 にしますが、親 /子 の信頼 またはフォレスト の信 頼にも適用 できます。

組織をTenable Identity Exposure が選択 的認 証を有効 にしており、ドメインやフォレスト の信

またがる

頼で使 用できることを示します。

認証- 144 -

選択的上の行 にある「組織 をまたがる認 証 」を参 照してください。

認証
TGT 委

信頼 されたドメインへの委任 が完全に無効化 されている場合 に表示 されます (発 行 され

任 なし

るサービスチケット に ok-as-delegate オプションは決して設 定 されません)。

で組 織
をまたが
る
RC4 暗

信頼 が Kerberos 交 換で RC4 暗号化 キーをサポート することを示します。このフラグが表号化示されるのは、trustType が TRUST_TYPE_MIT に適 用されている場合のみです。

AES

信頼 が Kerberos 交 換で AES 暗号化キーをサポート することを示します。

キー
PIM 信

FOREST_TRANSITIVE フラグと TREAT_AS_EXTERNAL フラグが適 用されていて、

頼

QUARANTINED_DOMAIN フラグがオンでない場合 、この PIM 信 頼のフラグは、信頼された
フォレスト が SID フィルタリングに関して特権 ID を管 理 している (特権 アイデンティティ管理) ことを示します (ローカルの SID はこの信頼を通 過できます)。PIM 信頼 は、要塞フォレ
スト を実 装するために機能 します。

属性な

外部 の信頼 に特 定の属 性がないことを示します。

し危険 な信 頼信頼 関 係 の色 は、異なる脅 威レベルを表しています。
l

赤 は危 険 な信頼l

オレンジは通 常の信 頼l

青 は未 知 の信 頼

危険な信 頼を調査 するには
1. ト ポロジーグラフで、曲 線 矢 印 をクリックします。
[信 頼 に関 連 する逸 脱 オブジェクト ] ペインが開きます。

- 145 -

ヒント : この危険な信 頼関 係ペインに表示されるイベント の詳細はすべて、危 険 な信 頼 関 係 の露
出 インジケーターに関連 付けられています。これは、[露 出 インジケーター]ナビゲーションメニューからもアクセスできます。

2. 逸脱 オブジェクト にカーソルを合わせてクリックし、詳細 を表示 します。

逸脱オブジェクト をエクスポート するには
1. ト ポロジーグラフで、曲 線 矢 印 をクリックします。
[信 頼 に関 連 する逸 脱 オブジェクト ] ペインが開きます。
2. [すべてエクスポート ] をクリックします。
[逸 脱 オブジェクト のエクスポート ] ペインが開きます。
3. [エクスポート 形 式 ] ボックスでドロップダウン矢印 をクリックして、形式を選択します。
4. [すべてエクスポート ] をクリックします。
Tenable Identity Exposure は、選 択された形 式でファイルをコンピューターにダウンロードします。
5. [X] をクリックして、ペインを閉 じます。

攻撃経 路

- 146 -

Tenable Identity Exposure は、グラフィック表示を通してビジネス資 産 の潜 在的な脆 弱性 を視覚 化 する
方法 を複 数 提供 しています。
l

攻 撃 経 路 : 攻 撃 者 がエント リポイント から資産 を侵害 する可能 性のある経 路 を示します。

l

影 響 範 囲 : 任 意 の資産 から Active Directory に入る可能 性のあるラテラルムーブメント を示 します。

l

露 出 資 産 : 資 産 をコント ロールする可能 性のあるすべての経 路 を示します。

攻撃 経 路 を理解 することで、攻 撃者 による脆弱 性の悪 用を阻 止するために必 要な軽 減 手順を特 定 できます。これには、システムへのパッチ適 用、設 定の堅牢化 、より強力 なアクセス制御 の実装 、ユーザーの意 識 向上 が含 まれます。
Tenable Identify Exposure の攻 撃 経路 を使用する利点l

プロアクティブなセキュリティ: 潜 在 的 な攻撃 手 法を予測 し、悪 用される前に対 応するのに役立 ちます。

l

優 先 順 位 付 け: 最も重大 な脆弱 性と攻撃経 路 にセキュリティの取り組みを集中させることができます。

l視 覚 化 : AD 内の複 雑なセキュリティ関係 を明 確かつ分かりやすく表 示します。

l

伝 達 : 潜 在的 な攻撃 シナリオの証 拠を視 覚的に示 すことで、セキュリティリスクのステークホルダーへの伝 達を円滑 化します。

攻 撃 経 路 を表 示 するにはAD 内 の任 意 の資 産 (ユーザーアカウント 、コンピューター、グループなど) を開始 点として指定 します。攻撃者 が最 終 的 に侵害 しようとしている資 産 (ドメインコント ローラー、機密データサーバーなど) を表 す、到
達点 を定 義 します。
1. Tenable Identity Exposure で、サイドバーメニューの [攻 撃 経 路 ] をクリックします。
[攻 撃 経 路 ] ペインが表示 されます。

- 147 -

2. バナーの [攻 撃 経 路 ] をクリックします。
3. [開 始 ポイント ] ボックスに、エント リポイント となる資産 を入力します。
4. [到 着 ポイント ] ボックスに、経 路 の最終ポイント となる資 産を入 力 します。
5.

アイコンをクリックします。
Tenable Identity Exposure が 2 つの資産間 の攻 撃経 路を表 示 します。

6. オプションで、アイコンをクリックして以 下を実行 できます。

- 148 -

o[ズーム] スライダーをクリックして、グラフの縮尺 を調整 します。

o

[すべてのノードツールチップを表 示 ] ト グルをクリックして、資産 に関する情報 を表 示します。

影 響 範 囲 を表 示 するには
Tenable Identity Exposure は、潜 在 的な攻撃 経路をグラフィカルに表 示し、資産 間のつながりをハイライ
ト します。各つながりは潜 在的 な脆弱 性 または設 定ミスを表し、攻 撃者が悪 用して AD 内 を水平 展 開する可 能性 があります。経路 の詳細 をよりよく理 解 するために、拡大 したり縮小 したりできます。
1. Tenable Identity Exposure で、サイドバーメニューの [攻 撃 経 路 ] をクリックします。
[攻 撃 経 路 ] ペインが表示 されます。
2. バナーの [影 響 範 囲 ] をクリックします。
3. [オブジェクト を検 索 ] ボックスに、資 産の名前を入 力します。
4.

アイコンをクリックします。
Tenable Identity Exposure がその資産から放射 状に広 がる横 方 向の接 続を表 示します。

- 149 -

5. 資産 と資 産をつなぐ矢 印アイコンをクリックして、資産相 互 の関 係を表示 します。

露 出 資 産 を表 示 するには攻撃 経 路 の各 ステップは、脆弱 性 の深刻 度を示すリスクスコアに関 連 付 けられています。これにより、どの経 路 が最 も重 大な脅威になるのか、早急 な対応が必 要なのか、優 先順位 を付 けることができます。
個々 の接続 ポイント をクリックすると、関連 する特定の脆 弱性 や設 定ミスに関するより詳しい情 報を確 認することもできます。
1. Tenable Identity Exposure で、サイドバーメニューの [攻 撃 経 路 ] をクリックします。
[攻 撃 経 路 ] ペインが表示 されます。
2. バナーの [露 出 資 産 ] をクリックします。
3. [オブジェクト を検 索 ] ボックスに、資 産の名前を入 力します。
4.

アイコンをクリックします。
Tenable Identity Exposure が資産 につながる経路 と資産同士 の関 係を表 示します。

- 150 -

5. 資産 と資 産をつなぐ矢 印アイコンをクリックして、資産相 互 の関 係を表示 します。

攻 撃 経 路 の表 示 を固 定 するには、次 のようにします。

関連項 目
l

攻撃 関 係l

ティア 0 資産の特定

l

攻撃 経 路 のあるアカウントl

攻撃 経 路 のノードタイプ

攻撃 関 係攻撃 関 係 は、ソースノードからターゲット ノードへの一 方向 のものです。関係 は推移的 であるため、攻 撃者はそれらを連鎖させて「攻 撃経 路 」を作 成することが可能 です。

- 151 -

Tenable Identity Exposure に次 の攻 撃関係があります。
lキー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理- 152 -l

DACL の書 き込 みl所有 者 の書き込み

キー認証 情 報の追 加

説明
ソースのセキュリティプリンシパルは、キー認証情報 または「シャドー認証 情報 」としても知られるキー信 頼
アカウント マッピングを悪用することで、ターゲット になりすます可能性 があります。
なりすましが可能 なのは、ソースがターゲット の msDS-KeyCredentialLink 属性 を編 集するアクセス許可を持 っているためです。
通常 、Windows Hello for Business (WHfB) がこの機 能を使 用しますが、使用 されていない場合でも攻撃者 はこれを悪 用することができます。

悪用
ソースのセキュリティプリンシパルを侵 害 した攻撃者は、Whisker や DSInternals などの特殊 なハッカー
ツールを使 用 して、ターゲット コンピューターの msDS-KeyCredentialLink 属性 を編集 しなければなりません。
攻撃 者 の目 標 は、このターゲット の属 性に、自分たちがプライベート キーを持 っている新しい証明書 を追加することです。その後、Kerberos PKINIT プロト コルを使用 し、持 っているプライベート キーを使 ってター
ゲット として認 証 し、TGT を取 得できます。このプロト コルは、攻撃者 がターゲット の NTLM ハッシュをフェッチすることも許 可 してしまいます。

修正方 法ネイティブで特 権 を持ついくつかのセキュリティプリンシパル (アカウント オペレーター、管 理者 、ドメイン管理者、エンタープライズ管 理者、エンタープライズキー管 理者、キー管 理 者、システムなど) には、デフォルト
でこのアクセス許 可があります。これらの正 当なセキュリティプリンシパルには、修 正は必要 ありません。
この属 性 を変 更する正当な理由 のないソースセキュリティプリンシパルの場合 は、上記 のアクセス許可 を削除 する必 要 があります。「すべてのプロパティの書 き込み」、「msDSAllowedToActOnBehalfOfOtherIdentity の書 き込 み」、「フルコント ロール」などのアクセス許可 を検 索 しま
す。

関連項 目
- 153 -

l

メンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

メンバーの追加

説明
ソースのセキュリティプリンシパルは、自 分 (検証された書き込み権限) または任 意のユーザー (プロパティの書き込 み権 限 ) をターゲット グループのメンバーに追加でき、そのグループに与 えられたアクセス権の恩 恵を受けることができます。
悪意 のあるセキュリティプリンシパルがこの操作を実行すると、「グループのメンバー」攻撃 関係が作 成されます。

悪用- 154 -

ソースのセキュリティプリンシパルを侵 害 した攻撃者は、Windows のネイティブコマンド (例: net
group/domain)、PowerShell (例 : Add-ADGroupMember)、管理 ツール (例: Active Directory ユーザーとコンピューター)、専用 のハッカーツール (例 : PowerSploit) を使用 して、ターゲット グループの「メンバー」属
性を編 集 するだけで悪用 することができます。

修正方 法
ソースセキュリティプリンシパルがターゲット グループにメンバーを追 加するアクセス許 可を必 要としない場 合は、そのアクセス許 可を削除 する必 要があります。

ターゲット グループのセキュリティ記述子 を変 更するには
1. 「Active Directory ユーザーとコンピューター」で、右クリックで [プロパティ] > [セキュリティ] の順 に選択します。
2. 「メンバーの書 き込み」、「すべてのプロパティの書き込 み」、「フルコント ロール」、「検証 されたすべての書 き込 み」、「メンバーとしての自身 の追加 /削 除 」などのアクセス許 可を削除 します。
注 意 : グループは、Active Directory ツリーの上位にあるオブジェクト からアクセス許可を継承 できます。

関連項 目
l

キー認 証情報 の追加

l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPO- 155 -

lグループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

操作 が許可 されている

説明
ソースのセキュリティプリンシパルは、ターゲット コンピューターで Kerberos リソースベースの制約 付 き委任 を実行 することが許 可 されています。これは、ターゲット コンピューターで実行 されている任 意のサービスに
Kerberos で認 証するときに、任 意 のユーザーになりすます可能 性があることを意 味します。
したがって、多 くの場 合 、ターゲット コンピューターが完 全に侵 害 される恐れがあります。
この攻 撃 は、リソースベースの制 約 付き委 任 (RBCD)、Kerberos リソースベースの制 約付き委任(KRBCD)、リソースベースの Kerberos 制 約付き委 任 (RBKCD)、および「他 の ID の代わりに操作が許 可 されている」などと呼ばれています。

悪用
ソースのセキュリティプリンシパルを侵 害 した攻撃者は、Rubeus などの専用のハッカーツールを使用して正当な Kerberos プロト コル拡張 (S4U2self と S4U2proxy) を悪用 し、Kerberos サービスチケット を偽造 し、ターゲット ユーザーになりすます可能 性 があります。攻撃者は、たいてい特 権ユーザーになりすまして特 権
アクセスを取 得します。
攻撃 者 がサービスチケット を偽造 すると、Kerberos と互換性のある任 意 のネイティブ管 理ツールや特殊なハッカーツールを使 用して、リモート で任 意 のコマンドを実行 できるようになります。
悪用 は、次 の制 約が満 たされている場 合に成 功します。
l

ソースおよびターゲット のセキュリティプリンシパルに ServicePrincipalName が設定されていること。
設定 されていない場 合 、Tenable Identity Exposure はこの攻 撃 関 係を作 成しません。

- 156 -

l

なりすましの標 的となるのは、「機 密であり委 任できない」(UserAccountControl の ADS_UF_NOT_
DELEGATED) とマークされておらず、「保 護されたユーザー」グループのメンバーでもないアカウント です。なぜなら、Active Directory が委 任攻撃 からこのようなアカウント を保 護しているからです。

修正方 法
ソースセキュリティプリンシパルにターゲット コンピューターで Kerberos リソースベースの制約付 き委任を実行するアクセス許 可 が必 要ない場合 は、そのアクセス許 可を削除 する必要 があります。「委 任 が許可 されている」委 任攻 撃 の関 係の場 合 とは逆に、ターゲット 側 で変 更を行う必 要があります。
「Active Directory ユーザーとコンピューター」などの既 存のグラフ管 理 ツールでは、RBCD を管理できません。代 わりに PowerShell を使用 して、msDS-AllowedToActOnBehalfOfOtherIdentity 属性の中身を変更 する必 要があります。
次のコマンドを使 用して、ターゲット での操 作が許 可されているソースセキュリティプリンシパルをリスト 表 示
します (「アクセス」セクション)。
Get-ADComputer target -Properties msDS-AllowedToActOnBehalfOfOtherIdentity | Select-Object ExpandProperty msDS-AllowedToActOnBehalfOfOtherIdentity | Format-List

リスト 内 のセキュリティプリンシパルのいずれも必 要でない場合 は、次のコマンドですべて消去 できます。
Set-ADComputer target -Clear "msDS-AllowedToActOnBehalfOfOtherIdentity"

1 つのセキュリティプリンシパルをリスト から削除するだけでよい場合 は、残念ながら Microsoft はダイレクト
コマンドを提 供しておらず、削除 する 1 つのセキュリティプリンシパルを除 いた同 じリスト で属 性を上書 きする必要 があります。たとえば、「sourceA」、「sourceB」、「sourceC」がすべて許可 されており、「sourceB」
のみを削除 したい場合は、次のコマンドを実行 します。
Set-ADComputer target -PrincipalsAllowedToDelegateToAccount (Get-ADUser sourceA),(Get-ADUser sourceC)

最後 に、一 般 的 な推 奨事 項として、機 密の特 権 アカウント がそのような攻 撃にさらされるのを制限 するために、Tenable Identity Exposure は「機 密であり委任できない」(ADS_UF_NOT_DELEGATED) としてマークするか、関 連 する運 用上の影 響を注 意深く検証したうえで「保 護されたユーザー」グループに追 加することを推 奨します。

関連項 目- 157 -

l

キー認 証情報 の追加

lメンバーの追加l

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

委任 が許可 されている

説明
ソースセキュリティプリンシパルは、ターゲット コンピューターでプロト コル遷移 を使用 して Kerberos 制約 付
き委任 (KCD) を実行 できます。これは、ターゲット コンピューターで実行 されている任意のサービスに
Kerberos で認 証するときに、任 意 のユーザーになりすます可能 性があることを意 味します。
したがって、多 くの場 合 、ターゲット コンピューターが完 全に侵 害 される恐れがあります。

悪用- 158 -

ソースのセキュリティプリンシパルを侵 害 した攻撃者は、Rubeus などの専用のハッカーツールを使用して正当な Kerberos プロト コル拡張 (S4U2self と S4U2proxy) を悪用 し、Kerberos サービスチケット を偽造 し、ターゲット ユーザーになりすます可能 性 があります。攻撃者は、たいてい特 権ユーザーになりすまして特 権
アクセスを取 得します。
攻撃 者 がサービスチケット を偽造 すると、Kerberos と互換性のある任 意 のネイティブ管 理ツールや特殊なハッカーツールを使 用して、リモート で任 意 のコマンドを実行 できるようになります。
悪用 は、次 の制 約が満 たされている場 合に成 功します。
l

ソースのセキュリティプリンシパルに対 してプロト コル遷移 が有 効になっていること(UserAccountControl の ADS_UF_TRUSTED_TO_AUTHENTICATE_FOR_DELEGATION/委任 GUI の「Use any authentication protocol」)。厳 密 に言えば、攻撃はプロト コル遷 移がなくても (委任 GUIの「Use Kerberos only」) 可 能 ですが、その場合 、攻 撃 者 はまずターゲット ユーザーからソースセキュ
リティプリンシパルへの Kerberos 認証を強制 する必要 があるため、攻 撃しにくくなります。したがって、このケースでは Tenable Identity Exposure は攻 撃 関 係を作 成しません。

l

ソースおよびターゲット のセキュリティプリンシパルに ServicePrincipalName が設定されていること。
設定 されていない場 合 、Tenable Identity Exposure はこの攻 撃 関 係を作 成しません。

l

なりすましの標 的となるのは、「機 密であり委 任できない」(UserAccountControl の ADS_UF_NOT_
DELEGATED) とマークされておらず、「保 護されたユーザー」グループのメンバーでもないアカウント です。なぜなら、Active Directory がこのようなアカウント を委任 攻撃 から保 護しているからです。

逆に、委 任 が許可 されているターゲット コンピューターは、サービスプリンシパル名 (SPN) で指 定 されているため、「cifs/host.example.net」の SMB、「http/host.example.net」の HTTP などの特定 のサービスを含 んでいます。ただし、現 実 には攻 撃者 は「名 前置 換 攻撃 」を使用 して、同 じターゲット アカウント で実行されている他 の SPN やサービスを標的 にすることができます。したがって、これは悪 用を制 限 するものとはみなされません。

修正方 法
ソースセキュリティプリンシパルに、ターゲット コンピューターで Kerberos 制 約付 き委任 (KCD) を実 行 するア
クセス許可 が必 要ない場 合は、そのアクセス許可を削除する必 要があります。「操 作が許 可されている」
委任 攻 撃 の関 係とは逆に、ソース側で変 更を行う必要 があります。

ソースセキュリティプリンシパルを削 除 するには

- 159 -

1. 「Active Directory ユーザーとコンピューター」の管理 GUI で、ソースオブジェクト の [プロパティ] > [委任 ] タブに移動 します。
2. ターゲット に対 応するサービスプリンシパル名を削 除します。
3. このソースからの委 任を一 切望 まない場合は、すべての SPN を削 除し、「委 任 に関 してこのコン
ピューターを信 頼しない」を選択 します。
あるいは、PowerShell を使 用 して、ソースの「msDS-AllowedToDelegateTo」属 性のコンテンツを変更 することもできます。
l

たとえば、Powershell で次のコマンドを実行して、すべての値を置 き換 えます。
Set-ADObject -Identity "CN=Source,OU=corp,DC=example,DC=net" -Replace @{ "msDSAllowedToDelegateTo" = @("cifs/desiredTarget.example.net") }l

このソースからの委 任を一 切望 まない場合は、次 のコマンドを実 行して属性 を消去 します。
Set-ADObject -Identity "CN=Source,OU=corp,DC=example,DC=net" -Clear "msDSAllowedToDelegateTo"

プロト コル遷 移 を無効 にすることで、この攻撃経路 を完全 に閉じることなくリスクを軽減 することも可 能です。そのためには、すべてのセキュリティプリンシパルは NTLM ではなく Kerberos のみを使 用してソースに接続 する必 要 があります。

プロト コル遷 移を無効 にするには
1. 「Active Directory ユーザーとコンピューター」の管理 GUI で、ソースオブジェクト の [プロパティ] > [委任 ] タブに移動 します。
2. [Use any authentication protocol] の代 わりに [Use Kerberos only] を選 択します。
または、PowerShell で次 のコマンドを実 行して、プロト コル遷移 を無効にすることもできます。
Set-ADAccountControl -Identity "CN=Source,OU=corp,DC=example,DC=net" -TrustedToAuthForDelegation$false

最後 に、一 般 的 な推 奨事 項として、機 密の特 権 アカウント がそのような攻 撃にさらされるのを制限 するために、Tenable Identity Exposure は「機 密であり委任できない」(ADS_UF_NOT_DELEGATED) としてマーク- 160 -

するか、関 連 する運 用上の影 響を注 意深く検証したうえで「保 護されたユーザー」グループに追 加することを推 奨します。

関連項 目l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

GPO に属している

説明
SYSVOL 共 有のソース GPO ファイルやフォルダーは、ターゲット GPC (GPO) に属しています。つまり、GPO が適用 する設 定 やプログラムまたはスクリプト はターゲット GPC によって定 義 されています。

悪用- 161 -

これは、攻 撃 者 が個別 に使用 できる攻 撃関係 ではありません。ただし、例えば、GPO に属する GPO ファ
イルや GPO フォルダーを制御 できる攻撃 者が、任 意 の設定 を強制したり、攻 撃経 路 の最 終ポイント にあるユーザーまたはコンピューターでスクリプト を起 動したりできる場合、完全な攻 撃 経路を示すことがありま
す。

修正方 法
この関 係 は、SYSVOL にある GPO ファイルとフォルダーが、対 応する GPC (GPO) オブジェクト とどのように関係しているかを示します。これは正 常であり、設 計によるものです。
したがって、修 正 の必要 はありません。

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されている

l

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み- 162 -

DCSync

説明
DCSync は、ドメインコント ローラーが変 更 を複製 するためだけに使用する正当 な Active Directory 機能
ですが、不 正 なセキュリティプリンシパルもこれを使 用できます。
ソースセキュリティプリンシパルは、DCSync 機能を使用 してターゲット ドメインから機密 性の高いシークレット (パスワードハッシュ、Kerberos キーなど) をリクエスト することができ、最終的 にドメインの完全 な侵 害につながりかねません。
シークレット をフェッチするには、「ディレクト リ変更 の複製 」(DS-Replication-Get-Changes) と「ディレクト リ変更 のすべてを複 製 」(DS-Replication-Get-Changes-All) の 2 つのセキュリティアクセス許可が必要 です。この関 係が発 生 するのは、直 接 またはネスト 化されたグループメンバーシップを使用して、これらのアクセス許可の両 方をソースに付 与した場合のみです。

悪用
ソースのセキュリティプリンシパルを侵 害 した攻撃者は、mimikatz や impacketなどの専用 のハッカーツール
を使用 してシークレット をフェッチできます。
lゴールデンチケット :「krbtgt」アカウント のパスワードハッシュを取 得した結果 、Kerberos TGT の偽 造が可能 になり、任意のコンピューター/サービス上 の任意 の人 になりすますことができます。なりしましにより、特 にドメイン内の任 意 のコンピューターに対する管理 者権限 が付与されます。

l

シルバーチケット : コンピューター/サービスアカウント のパスワードハッシュを取得 した結果 、Kerberos
サービスチケット の偽 造が可能 になり、特定 のコンピューター/サービス上の任意 の人になりすますことができます。

修正方 法
デフォルト で DCSync を利 用 できる正 当 なセキュリティプリンシパルは以 下 のとおりです。
l

管理 者

l

ドメイン管 理 者lエンタープライズ管理 者

l

システム

- 163 -

さらに、Microsoft Entra ID Connect 設 定 では、パスワードハッシュ同期サービスアカウント (MSOL _...) が
DCSync を利用 することを許可 しています。
また、特 定 のセキュリティツール、特にパスワード監査ソリューションのサービスアカウント が見 つかる場 合もあります。担 当 者と共 にそれらの正当 性 を検証 してください。
DCSync を実行 する正当 な理由 のないソースセキュリティプリンシパルの場 合 は、このアクセス許可 を削 除する必 要があります。

ターゲット ドメインのセキュリティ記述 子を変 更するには
1. 「Active Directory ユーザーとコンピューター」 で、ドメイン名 を右クリックして [プロパティ] > [セキュリティ] の順に選 択します。
2. 正当 性 のないセキュリティプリンシパルの「ディレクト リ変 更の複 製 」および「ディレクト リ変更のすべてを複 製 」のアクセス許 可を削除 します。
注 意 : DCSync 関係 は、ネスト されたグループメンバーシップで継 承されたアクセス許可 によって発生 する可 能 性があります。したがって、特定の状 況 では、グループ自 体を削除するか、一部 のメンバーのみを削除する必 要 が
あります。

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPO- 164 -

lグループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

操作 の許 可を付与 できる

説明
ソースセキュリティプリンシパルは、自 分または任意 のユーザーに、ターゲット コンピューターとの操 作 が許 可されている関 係 を与 えることができます。多くの場 合、Kerberos RBCD 委 任 攻撃 によりターゲット コン
ピューターが完全 に侵 害 される恐 れがあります。
悪用 が可 能 なのは、ソースがターゲット の「msDS-AllowedToActOnBehalfOfOtherIdentity」属 性 を編 集するアクセス許可 を持 っているためです。
悪意 のあるセキュリティプリンシパルがこの操作を実行すると、「操 作が許可されている」攻 撃 関係 が作成される場 合 があります。

悪用
ソースのセキュリティプリンシパルを侵 害 した攻撃者が、PowerShell (例 :「Set-ADComputer <target> PrincipalsAllowedToDelegateToAccount ...」)を使 用して、ターゲット コンピューターの msDSAllowedToActOnBehalfOfOtherIdentity 属 性を編 集する必 要 があります。

修正方 法ネイティブで特 権 を持ついくつかのセキュリティプリンシパル (アカウント オペレーター、管 理者 、ドメイン管理者、エンタープライズ管 理者、システムなど) には、デフォルト でこのアクセス許 可 が付 与されています。これらのセキュリティプリンシパルは正当なので、修正 は必 要ありません。
Kerberos RBCD の仕 様により、コンピューターの管 理 者は、そのコンピューターで委 任を実 行する権利 を、必要 とする任意 のユーザーに与 えることができるようになっています。これは、ドメイン管 理者レベルのアクセス許 可を必 要 とする Kerberos 委 任の他のモードとは異 なります。この結 果、下位 レベルの管理 者がこ- 165 -

れらのセキュリティ設 定を自 分で管理 できるようになります。この原則 は委任 とも呼ばれます。この場 合 、関係 は正当 なものです。
ただし、ソースセキュリティプリンシパルがターゲット コンピューターの正 当 な管理 者 でない場 合、関係 は正当ではないため、このアクセス許 可 を削除 する必要があります。

ターゲット コンピューターのセキュリティ記述 子 を変 更するには
1. 「Active Directory ユーザーとコンピューター」で、右クリックで [プロパティ] > [セキュリティ] の順 に選択します。
2. ソースセキュリティプリンシパルに与えられたアクセス許 可を削 除 します。「msDSAllowedToActOnBehalfOfOtherIdentity の書 き込 み」、「すべてのプロパティの書 き込み」、「アカウント 制 限 の書き込 み」、「フルコント ロール」などのアカウント 許可を検 索します。
注 意 : ソースセキュリティプリンシパルは、Active Directory ツリーの上位にあるオブジェクト からアクセス許 可 を継承できます。

関連項 目l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPOl

グループのメンバー- 166 -

l

所有l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

SID 履 歴あり

説明
ソースセキュリティプリンシパルの SIDHistory 属性 にターゲット セキュリティプリンシパルの SID がある場合、それはソースがターゲット と同じ権 限 を持 っていることを意 味 します。
SID 履 歴 は、ドメイン間でセキュリティプリンシパルを移行して、過去の SID 機能を参照 するすべての権 限を保持 するために使 用される正 当なメカニズムです。
ただし、これは攻撃 者が使用 する永続 的 なメカニズムともなります。これを使 うことによって、目立 たない
バックドアアカウント に、管 理 者 アカウント など任 意のターゲット と同じ権限 を与 えることが可能 になるからです。

悪用
ターゲット の SID は Active Directory 認証 メカニズムが生成 するト ークン (NTLM および Kerberos) に透 過
的に追 加 されるため、ソースのセキュリティプリンシパルを侵害 した攻撃 者は、ターゲット のセキュリティプリ
ンシパルとして直 接 認証 を受 けられます。

修正方 法
ソースとターゲット のセキュリティプリンシパルが承 認されたドメイン移 行 に関 連している場 合 、その関 係 は
正当 なものであり、アクションは一切 実 行されません。この関係 は、潜在的 な攻撃経 路を示 すものとして表示 されたままになります。
元のドメインが移行後 に削除 されたか Tenable Identity Exposure で設 定されていない場 合 、ターゲット
セキュリティプリンシパルは未 解決 としてマークされます。リスクはターゲット にありますが、そのターゲット が存在しないため、リスクはなく、修 正 は必 要ありません。

- 167 -

逆に、ネイティブの特 権ユーザーまたは特権グループに関 係する SID 履 歴 が存 在する場合 は、Active
Directory がその作 成 を阻 止 しているので、悪質なものである可能 性 が非常に高いです。それらの関 係がおそらく「DCShadow」攻撃などのハッカー技術 を使用して作成 されたことを意味 します。これらのケース
は、「SID 履 歴 」に関 連 する IoE にも表 示されます。
その場合 、Tenable Identity Exposure は Active Directory フォレスト 全 体のフォレンジック検 査を提 案 します。なぜなら、ソースの SID 履 歴が編集 できるということは、攻撃 者 がドメイン管 理者 または同等 の高い権 限 を取 得 していることを表しているからです。フォレンジック検査は、対応する修正ガイダンスを使うな
どして攻 撃 を分 析するのに役 立ち、削 除するべき潜在的なバックドアを特 定します。
最後 に、Microsoft は、すべてのサービス (SMB 共有 、Exchange など) のすべてのアクセス権 を変更 して
新しい SID を使 用し、この移行 の完 了 後 に不要 な SIDHistory 値を削除 することを推 奨 しています。すべての ACL を徹 底 的に特 定 して修 正 することは非常 に困難 ですが、これはハウスキーピングとしてベスト プ
ラクティスです。
ソースオブジェクト 自体 の SIDHistory 属 性を編 集する権 限を持 つユーザーは、SIDHistory 値 を削 除 できます。作 成 とは違 い、この操作 にはドメイン管理者 権 限は必要ありません。
Active Directory ユーザーとコンピューターなどのグラフツールでは失敗 するため、この操 作を行うにはPowerShell が必 要 です。例
Set-ADUser -Identity <user> -Remove @{sidhistory="S-1-..."}

注 意 : SIDHistory 値を削 除 することは簡単 ですが、この操作を元 に戻 すのは非 常に複雑です。廃 止になっているかもしれない他 のドメインの存在 を必 要とする SIDHistory 値を再作成 しなければならないからです。そのため、Microsoft はスナップショット やバックアップを準備 することも推奨 しています。

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSync- 168 -

l

操作 の許 可を付与できるl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

暗黙 的 な乗 っ取り

説明
ソースは Tier0 セキュリティプリンシパルです。Tier0 とは、ドメインで最 高 の権限 を持 つ Active Directory
オブジェクト のセット です。ドメイン管 理者 グループやドメインコント ローラーグループのメンバーがこれにあたります。すべての Tier0 資産 は、明 示 的な他の関 係 がない場合でも、ドメイン内 の他 のオブジェクト を暗黙的 に侵 害 する可 能 性 があります。
この関 係 により、Active Directory に組 み込まれた暗黙的 な権限 のモデル化が可 能になります。これらの権限 は設計 によるものであり、文 書化 されているため、攻 撃者 に知 られています。ただし、Tenable
Identity Exposure は標準 的 な手段 でこれらの権 限を収集することはできません。さらに、攻 撃者 がTier0 ノードを侵 害 するとすぐに、他 の明示的な関 係を介さずに他のオブジェクト を直接攻 撃できるため、
攻撃 経 路 グラフはシンプルになります。
つまり、ソース Tier0 資 産 はすべて、グラフ内 の任意 のターゲット ノードに対して「暗 黙 的な乗 っ取 り」関 係があると見 なされます。

悪用
実際 の悪用 方 法は、標 的にされるソース Tier0 資産のタイプによって異 なりますが、これらの手 法 は十分に文 書 化 され、攻 撃 者 が効率 的 に習 得 できるようになっています。

- 169 -

修正方 法
この関 係 は設 計によるものであり、修 正できません。Tier0 資 産に到 達した攻撃 者を阻 止して、さらなる攻撃 を行 えないようにすることはほぼ不可 能です。
攻撃 経 路 の上 流の関 係を重点 的 に修 正 するようにします。

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

GPO を継 承l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

GPO を継 承説明- 170 -

LDAP ツリーでは、組織 単位 (OU) やドメインなど (サイト は除く)、ソースのリンク可 能 なコンテナには、ター
ゲット OU、ユーザー、デバイス、ドメインコント ローラー (DC)、読み取 り専用 ドメインコント ローラー (RODC)
が含 まれています。これは、リンク可能 なコンテナの子オブジェクト が、リンクされている GPO を継承 するためです(「リンクされている GPO」関 係を参 照)。
Tenable Identity Exposure は、OU による継承のブロックを必 ず考慮に含めます。

悪用
攻撃 者 が攻 撃 経路 の GPO 上 流 を侵 害することができる限 り、攻撃 者はこの関係を悪用 するために何もする必 要はありません。GPO 関 係の継承 に示 されているように、関 係 は、設計 上、リンク可 能なコンテナとその下のオブジェクト に適用されます。

修正方 法
ほとんどの場 合、GPO が親 コンテナからリンク可能 な子コンテナに適用 されるのは正 常かつ正当 なことです。ただし、このリンクがその他 の攻 撃 経路を露 出 してしまいます。
したがって、リスクを軽 減するために可 能なら GPO を組織 単 位 階層の最下 位レベルにリンクしてください。
さらに GPO が他 の攻 撃 関係にさらされないように、攻 撃者 による不正 な変 更から保 護する必 要 があります。
最後 に、OU は「継 承 のブロック」オプションを使用して、より高いレベルからの GPO 継 承を無 効 にできます。ただし、このオプションではすべての GPO (最高のドメインレベルで定義 された潜在 的なセキュリティ強化 GPO も含 む) がブロックされるため、最後の手段としてのみ使用してください。ブロックすると、適 用 されている GPO の正 当性 を判 断することもより困 難になります。

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSync- 171 -

l

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取り

l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

リンクされている GPO

説明
ソース GPO は、ドメインや組織 単位 (OU) など、ターゲット のリンク可能 なコンテナにリンクされています。これは、ソース GPO が設 定を割 り当てて、ターゲット に含 まれるデバイスとユーザーに対してプログラムを実行できることを意 味 します。ソース GPO は、「GPO を継承 」関係を通じて、その下 のコンテナ内 のオブジェク
ト にも適 用 されます。
結果 として、GPO は GPO が適用 されているデバイスとユーザーを侵 害 することが可能 です。

悪用
攻撃 者 は、最 初に別 の攻撃関 係 を通 してソース GPO を侵害 する必要があります。
そこから、いくつかの手法 を使 用して、ターゲット とその下に含 まれるデバイスやユーザーに対して悪質なアクションを実 行します。次にいくつかの例を示します。
l

正当 な「すぐに実行されるようにスケジュールされたタスク」を悪 用 し、デバイスで任 意のスクリプト を
実行 する

l

すべてのデバイスで管理権 限を持 つ新 しいローカルユーザーを追加する- 172 -

l

MSI プログラムをインスト ールするl

ファイヤーウォールまたはウイルス対策を無 効 化するl

その他 の権利 を付 与するl-

攻撃 者 は、「グループポリシー管 理 」などの管理ツールや PowerSploit などの専用ハッカーツールを使用
して GPO コンテンツを手 動で編 集 し、GPO を変 更する可 能 性があります。

修正方 法
ほとんどの場 合、GPO をリンク可能 なコンテナにリンクすることは正常 で正当 なことです。ただし、このリンクによりアタックサーフェスが拡 大し、その下 のコンテナ内のアタックサーフェスも拡大 します。
したがって、リスクを軽 減するために可 能なら GPO を組織 単 位 階層の最下 位レベルにリンクしてください。
さらに GPO が他 の攻 撃 関係にさらされないように、攻 撃者 による不正 な変 更から保 護する必 要 がありま
す。

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承lグループのメンバー- 173 -

l

所有l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

グループのメンバー

説明
ソースセキュリティプリンシパルはターゲット グループのメンバーです。したがって、ファイル共 有 へのアクセス、
ビジネスアプリケーションでのロールの引き受けなど、グループが保持するすべてのアクセス権の恩 恵を受 けます。

悪用
攻撃 者 は、この攻撃 関 係を悪 用するために何もする必要 はありません。ローカルまたはリモート のセキュリ
ティト ークンでターゲット グループを取 得したり、Kerberos チケット を取 得 したりすることは、ソースセキュリ
ティプリンシパルとして認証 するだけで実 行できます。

修正方 法
ソースセキュリティプリンシパルがターゲット グループの不正 なメンバーである場合 は、削 除する必要 があります。
「Active Directoryユーザーとコンピューター」などの標準の Active Directory 管理 ツールや、RemoveADGroupMember などの PowerShell を使 用 できます。

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されている- 174 -l

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPO

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

所有

説明
通常 ソースセキュリティプリンシパルは、ターゲット オブジェクト を作 成しているため、ターゲット オブジェクト の宣言 された所 有者になります。所 有 者には「コント ロールの読 み取り」および「DACL の書き込み」の黙示的な権 利があるため、所有 者自 身 または他のユーザーのために追加 の権利 を取得 し、最 終的 にター
ゲット オブジェクト を侵 害することができます。

悪用
ソースのセキュリティプリンシパルを侵 害 した攻撃者は、Windows のネイティブコマンド (dsacls)、
PowerShell (Set-ACL)、管 理ツール (「Active Directory ユーザーとコンピューター」)、専用 ハッカーツール(PowerSploit) を使 用して、ターゲット オブジェクト のセキュリティ記 述子 を編集するだけで悪 用できます。
下位 の特権 ユーザーがオブジェクト を作 成 して所有し (標準 のヘルプデスクの技 術 者 など)、その後 オブ
ジェクト が管 理者などのより高 位 の特 権に昇格 されると、権 限昇 格のリスクがあります。元の所有 者 がそのまま存 続 し、新しい特 権 オブジェクト を侵害してその特 権 を悪用 する可能 性があります。

- 175 -

修正方 法
ソースセキュリティプリンシパルがターゲット オブジェクト の正当 な所有 者でない場合 は、変更する必 要があります。

ターゲット オブジェクト の所有 者を変 更 するには
1. 「Active Directory ユーザーとコンピューター」で、右クリックで [プロパティ] > [セキュリティ] > [詳 細 ]を選 択 します。
2. 上部 の [所 有 者 ] 行で、[変 更 ] をクリックします。
ほとんどの機 密性 の高 い Active Directory オブジェクト に対してデフォルト で使用 される安全 なターゲット
オブジェクト の所有 者は次 のとおりです。
lドメインパーティションのオブジェクト :「管 理者 」または「ドメイン管理 者 」

l

設定 パーティションのオブジェクト :「エンタープライズ管理者 」

lスキーマパーティションのオブジェクト :「スキーマ管理 者 」

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPO- 176 -

lグループのメンバーl

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 みl所有 者 の書き込み

パスワードのリセット

説明
ソースセキュリティプリンシパルは、ターゲット のパスワードをリセット できるため、新しい属性 のパスワードを使用 してターゲット として認証され、ターゲット の特 権を利 用できます。
パスワードのリセット はパスワードの変 更と同じではありません。変 更は現 在のパスワードを知 っている誰 もが行 うことができます。通常 、パスワードの変更はスワードの有効 期限 が切れたときに発 生 します。

悪用
ソースのセキュリティプリンシパルを侵 害 した攻撃者は、Windows のネイティブコマンド (例: net
group/domain)、PowerShell (例 : Set-ADAccountPassword -Reset)、管 理ツール (例: Active Directory
ユーザーとコンピューター)、専用 ハッカーツール (例: PowerSploit) を使用して、ターゲット のパスワードをリ
セット することができます。
その後、攻 撃者 は新 しく選択 したパスワードを使用 して正 当な認証 方 法で、Active Directory または標的のリソースに認 証されるだけで、ターゲット に完全になりすませます。
ただし、攻 撃 者 は通 常、以 前のパスワードを知らないので、攻 撃後 に元 のパスワードに戻すことができません。したがって、攻 撃はターゲット の背後 にいる正当なユーザーが経験する結 果になることが多く、サービスアカウント の場 合 は特にサービス拒否 を引 き起 こす可能性 さえあります。

修正方 法
IT 管 理 者 およびヘルプデスクスタッフは、パスワードをリセット することが正当に許可 されています。ただし、適切 な委任 を実 装して、許可 された範 囲 内 でのみこのアクションを実行 できるようにする必要 があります。

- 177 -また、ティアモデルに従 い、通常 のユーザー向 けのヘルプデスクなど、下位レベルのスタッフが、ドメイン管理者 などの上 位 レベルのアカウント のパスワードをリセット できないようにする必 要があります。権限昇 格の機会 となることを防 ぐためです。

ターゲット のセキュリティ記述子 を変 更し、不正 なアクセス許可を削除 するには
1. 「Active Directory ユーザーとコンピューター」で、右クリックして [プロパティ] > [セキュリティ] の順に選択します。
2. ソースセキュリティプリンシパルの「パスワードのリセット 」のアクセス許 可を削 除します。
注 意 : このアクセス許可 を「パスワードの変更 」と混同しないでください。

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPOl

グループのメンバー

l

所有

l

RODC 管 理- 178 -l

DACL の書 き込 みl所有 者 の書き込み

RODC 管理説明
ターゲット の読み取り専 用ドメインコント ローラー (RODC) の「ManagedBy」属性 に、ソースセキュリティプリン
シパルが指 定 されています。これは、ソースがターゲット の RODC に対して管 理者権 限 を持 っていることを意味 します。
注 意 : 他 の Active Directory オブジェクト タイプは、情 報 提供 のためだけに同 じ「ManagedBy」属性 を使 用 していますが、宣 言されたマネージャーにいかなる管 理権限 も付与 しません。したがって、この関係 は RODC タイプのターゲット ノードの場 合にのみ存 在します。

RODC は、より一 般的 な書き込 み可 能 のドメインコント ローラーと比 べて機 密性 は低 いですが、RODC から
認証 情 報 を盗み、他 のシステムにさらにピボット できるため、攻撃 者にとって依然 として重 要な標 的 になります。これは、RODC がシークレット を持 つオブジェクト をいくつ同 期できるかなど、RODC の設定 の強化 レベルにより異 なります。

悪用
悪用 の方法 は、「AdminTo」関係 の場合 と同じです。
ソースのセキュリティプリンシパルを侵 害 した攻撃者は、そのアクセス認 証を使 用してリモート で接続 し、管理者 権 限 でターゲット の RODC に対 しコマンドを実行 することができます。管理共 有のある Server
Message Block (SMB)、Remote Desktop Protocol (RDP)、Windows Management Instrumentation(WMI)、Remote Procedure Call (RPC)、Windows Remote Management (WinRM) など、利 用 可能 なネイ
ティブプロト コルを悪用 する可能 性があります。
攻撃 者 は、ネイティブのリモート 管理 ツール (PsExec、サービス、スケジュールされたタスク、InvokeCommand)、または特殊 なハッカーツール (wmiexec、smbexec、Invoke-DCOM、SharpRDP) を使 用する
場合 があります。
攻撃 の最終 目 標は、ターゲット の RODC を侵害すること、または mimikatz などの認 証情 報ダンプツール
を使用 して、より多くの認証情 報とシークレット を取 得し、他のマシンの侵害に悪用 することです。

修正方 法- 179 -

ソースセキュリティプリンシパルがターゲット の読み取 り専 用ドメインコント ローラー (RODC) の正当な管 理 者
でない場 合 は、適 切な管理 者 に置き換 える必要 があります。
ドメイン管理 者は通常 RODC を管 理しないため、専用の「managed by」設 定があります。これは、高 い
特権 を持 つドメイン管理 者が、信 頼レベルが低い RODC に認 証を実 行 して、自 分の認証 情報を露呈 しないようにするためです。
したがって、Active Directory RODC ルールに従 って、RODC に対して適切 な「中間 レベル」の管 理者 を選択する必要 があります (RODC が配 置されている企業 のローカル支 社 の IT 管理 者など)。
「ManagedBy」属 性を変 更するには
1. 「Active Directory ユーザーとコンピューター」 で、[RODC] > [プロパティ] > [ManagedBy] タブを選択します。
2. [変 更 ] をクリックします。
PowerShell で次 のコマンドを実行 することもできます。
Set-ADComputer <rodc> -ManagedBy (Get-ADUser <rodc_admin>)

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承- 180 -

l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

DACL の書 き込 みl所有 者 の書き込み

DACL の書 き込 み

説明
ソースセキュリティプリンシパルは、任 意アクセス制御リスト (DACL) のターゲット オブジェクト のアクセス許 可を変更 する権 限を持 っています。このため、ソースは追加のアクセス許 可 を自分 自身のために取 得した
り、他の誰 かに与えたりして、最 終的 にターゲット オブジェクト を侵 害することができます。

悪用
ソースのセキュリティプリンシパルを侵 害 した攻撃者は、Windows のネイティブコマンド (dsacls)、
PowerShell (Set-ACL)、管 理ツール (「Active Directory ユーザーとコンピューター」)、専用 ハッカーツール(PowerSploit) を使 用して、ターゲット オブジェクト のセキュリティ記 述子 を編集するだけで悪 用できます。

修正方 法
ソースセキュリティプリンシパルがターゲット オブジェクト のアクセス許可 を変更する正当 なアクセス許可 を持 っていない場 合は、このアクセス許 可を削除する必要があります。

ターゲット オブジェクト のセキュリティ記述子 を変 更 するには
1. 「Active Directory ユーザーとコンピューター」 で、オブジェクト を右 クリックし、[プロパティ] > [セキュリティ] > [詳 細 ] を選 択します。
2. ソースセキュリティプリンシパルの「アクセス許可の変更 」のアクセス許 可を削除 します。
注 意 : オブジェクト は、Active Directory ツリーの上 位にあるオブジェクト からこのアクセス許可を継 承できます。

関連項 目- 181 -

l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l所有 者 の書き込み

所有 者 の書き込み

説明
ソースセキュリティプリンシパルは、自 身を所有者として割 り当てることを含め、ターゲット オブジェクト の所
有者 を変 更 するアクセス許 可を持 っています。所 有者には「コント ロールの読 み取り」および「DACLの書 き込み」の黙 示 的な権 利があるため、所 有者 自身または他のユーザーのために追加 の権 利を取得 し、最終的 にターゲット オブジェクト を侵害 することができます。
詳細 は、所 有 関係 を参照 してください。

悪用- 182 -

ソースのセキュリティプリンシパルを侵 害 した攻撃者は、Windows のネイティブコマンド (例:dsacls/takeownership)、PowerShell (例 : Set-ACL)、管理ツール (例 : Active Directory ユーザーとコン
ピューター)、専用 ハッカーツール (例 : PowerSploit) を使 用して、自分をターゲット の所 有者に割 り当 てる
ことができます。
その後、同 様の方法を使用 して、ターゲット オブジェクト のセキュリティ記 述子 を編 集できます。

修正方 法
ソースセキュリティプリンシパルがターゲット オブジェクト の所有 者 を変 更 する正当 なアクセス許 可 を持 っていない場 合 は、このアクセス許 可を削 除する必 要があります。

ターゲット オブジェクト のセキュリティ記述子 を変 更 するには
1. 「Active Directory ユーザーとコンピューター」 で、オブジェクト を右 クリックし、[プロパティ] > [セキュリティ] > [詳 細 ] を選 択します。
2. ソースセキュリティプリンシパルの「所 有者の変更 」のアクセス許 可を削除 します。
注 意 : オブジェクト は、Active Directory ツリーの上 位にあるオブジェクト からこのアクセス許可を継 承できます。

関連項 目
l

キー認 証情報 の追加

lメンバーの追加l

操作 が許 可されているl

委任 が許 可されているl

GPO に属 しているl

DCSyncl

操作 の許 可を付与できるl

SID 履 歴 ありl

暗黙 的 な乗 っ取りl

GPO を継 承- 183 -

l

リンクされている GPOl

グループのメンバー

l

所有

l

パスワードのリセット

l

RODC 管 理l

DACL の書 き込 み

ティア 0 資産 の特 定
ティア 0 資産 には、Active Directory のフォレスト とドメインを直 接または間接 的に管理 できるアカウント 、
グループ、その他 の資 産 が含 まれます。
Tenable Identity Exposure は、ティア 0 資産とその資産につながる潜 在的 な攻撃 経路があるアカウントを一覧 表 示 します。

ティア 0 資 産 をリスト するには
1. Tenable Identity Exposure で、左 側のナビゲーションバーの攻撃経 路アイコンす。
[攻 撃 経 路 ] ペインが開きます。
2. 「私 が権 限 を持 つ資 産 はどれですか」というタイルをクリックします。

Tenable Identity Exposure は AD のティア 0 資産 のリスト を表示 します。

- 184 -

をクリックしま各行 には、資 産 名 、そのドメイン、および次 の情 報 が表示されます。
o

攻 撃 経 路 のあるアカウント : ティア 0 資 産に至 る攻 撃経路を持つ資 産の数

o

露 出 : ドメイン内 のアカウント の合 計数 に対 する、ティア 0 資 産 に至 る攻 撃経路 のあるアカウ
ント 数の比 率

特定のドメインの資 産をフィルターするには
1. n/n ボタンをクリックします。
[フォレスト とドメイン] ペインが開きます。次のいずれかを実行 できます。
o[検 索 ] ボックスにフォレスト またはドメインの名 前を入力 します。

o

[すべて展 開 ] ボックスを選択 し、必 要なフォレスト またはドメインを選 択します。

2. [選 択 内 容 でフィルター] をクリックします。
Tenable Identity Exposure が資産 のリスト を更 新します。

ティア 0 資 産 に至 る攻撃経 路 のあるアカウント をリスト するにはl

ティア 0 資産名の行末 にあるアイコンをクリックします。

Tenable Identity Exposure は、そのティア 0 資産 につながる攻撃経 路のあるアカウント のリスト を表示します。

ティア 0 資 産 の露 出資 産を確 認 するには- 185 -

l

ティア 0 資産名の行末 にあるアイコンをクリックします。

Tenable Identity Exposure は、ティア 0 資産 の露 出資産ページを開 きます。詳 細 は、攻 撃関 係 を参照 してください。

攻撃 経 路 のあるアカウント
Tenable Identity Exposure は、ティア 0 資産に至 る攻 撃経路 を持つアカウント を表示 します。ここから潜在的 なセキュリティの脅 威の全 体 像 を把握することができます。なぜなら、ユーザーおよびコンピューターのアカウント はさまざまな攻 撃関 係を通 じて特権を持つようになる場合があるからです。
詳細 は、ティア 0 資産の特 定 を参 照 してください。

攻撃経 路 のある資 産を表 示するには
1. Tenable Identity Exposure で、左 側のナビゲーションバーの攻撃経 路アイコンをクリックします。
[攻 撃 経 路 ] ペインが開きます。
2. 私 が特 権 を持 つ資 産 をコント ロールできるのは誰 ですかというタイルをクリックします。

Tenable Identity Exposure は、ティア 0 資産 に至 る攻 撃経路を持つすべてのユーザーとコンピュー- 186 -

ターのアカウント を表示 します。

特 定 の資 産 を検 索 するには
1. [検 索 ] ボックスに資産 の名 前を入 力 します。
2. [資 産 ] ボックスの矢印 > をクリックして、ティア 0 資産 のドロップダウンリスト を表示 して、その中 から 1
つ選 択 します。
Tenable Identity Exposure は一 致する結果 でリスト を更新 します。
特 定 のドメインの資 産 をフィルターするには
1. n/n ボタンをクリックします。
[フォレスト とドメイン] ペインが開きます。次のいずれかを実行 できます。
o[検 索 ] ボックスにフォレスト またはドメインの名 前を入力 します。

o

[すべて展 開 ] ボックスを選択 し、必 要なフォレスト またはドメインを選 択します。

2. [選 択 内 容 でフィルター] をクリックします。
Tenable Identity Exposure が資産 のリスト を更 新します。
攻 撃 経 路 を探 索 するには

- 187 -

l

資産 名 の行末 にあるアイコンをクリックします。

Tenable Identity Exposure が攻撃 経路ページを開 きます。その資産からすべてのティア 0 資産 までの経 路が示されています。詳 細は、攻撃 経路 と攻 撃関係を参照してください。

攻撃 経 路 のノードタイプ
Tenable Identity Exposure の攻 撃 経路 機能は、Active Directory 環境内で攻撃 者 が利用可 能 な攻撃経 路 をビジュアル化 したグラフを表 示 します。このグラフは、攻撃 関係 を表すエッジと、Active Directory(LDAP/SYSVOL) オブジェクト を表 すノードで構成 されています。
次のリスト は、攻撃経 路 グラフで表示 される可能性 のあるすべてのノードタイプを示しています。
ノードタイ
プ
ユーザー

場所
LDAP

アイコン

説明
user クラスを含むが computer は含 まない
objectClass 属性 を持つ LDAP オブジェクト 。

グループ

LDAP

class グループを含む objectClass 属性 を持つ
LDAP オブジェクト 。

デバイス

LDAP

computer クラスを含 むが msDSGroupManagedServiceAccount は含 まない
objectClass 属性 を持つ LDAP オブジェクト 。
その primaryGroupID 属性が 516 (DC) または 521(RODC) と等しくない。
注 意 : Tenable 製 品を区別 するために、このカテゴリは「コンピューター」ではなく、より一般的 な「デバイス」と呼 ばれ- 188 -

ています。

組織 単位

LDAP

(OU)

クラス organizationalUnit を含 む objectClass 属性 を持つ LDAP オブジェクト 。container クラスのオブジェクト と、任意の Active Directory (AD) オブジェクト がコンテナとして機 能することがある (つまり、他のオブジェク
ト を含めることができる) という事 実を混 同しないようにしてください。

Domain (ドLDAP

属 性を持 つ LDAP オブジェクト 。

メイン)
ドメインコ

クラス domainDNS と特 定の属性 を含 む objectClass

LDAP

objectClass 属性 にクラス computer を含み、そのント ロー

primaryGroupID が 516 と等しい LDAP オブジェクト (しラー (DC)

たがって、RODC ではない)。

読み取 り

LDAP

objectClass 属性 にクラス computer を含み、その専用 ドメイprimaryGroupID が 521 と等 しい LDAP オブジェクト (しンコント

たがって、ノーマル DC ではない)。

ローラー(RODC)
グループポ

LDAPgroupPolicyContainer を含む objectClass 属 性を持 つ LDAP オブジェクト 。

リシー
(GPC)
GPO ファイ

SYSVOL特 定の GPO の SYSVOL 共有で見つかったファイル (例 :"\example.net\sysvol\example.net\Policies\ル{A8370D7F-8AC0-452E-A875-2A6A52E9D392}\{Machine,User}\Preferences\ScheduledTasks\
ScheduledTasks.xml"。)
GPO フォル
ダー

SYSVOL特 定の GPO の SYSVOL 共有で見つかったフォルダー。
GPO ごとに 1 つ存在します (例 :"\example.net\sysvol\example.net\Policies\{A8370D7F-8AC0-452E-A8752A6A52E9D392}\Machine\Scripts\Startup"。)- 189 -

グループ管

LDAP

msDS-GroupManagedServiceAccount を含 む
objectClass 属性 を持つ LDAP オブジェクト 。

理サービス
アカウント
(gMSA)
エンタープ

LDAP

certificationAuthority を含 む objectClass 属性 を持つ LDAP オブジェクト 。

ライズ
NtAuth ス
トア
PKI 証 明LDAP

pKICertificateTemplate を含 む objectClass 属性 を持つ LDAP オブジェクト 。

書テンプ
レート
未解 決の

LDAP

関 係を構 築する際 のある時点 で objectSid またはセキュリ

DistinguishedName 属性 が使 用 されるが、それに対ティプリン応 する LDAP セキュリティプリンシパルオブジェクト が不明

シパル

である LDAP オブジェクト (「未 解決 の SID」の典型 的な
ケース)。
また、それらに関 連付 けられている特 定のセキュリティプ
リンシパルの種 類 (ユーザー、コンピューター、グループなど) に関する情 報もなく、SID/DN のみが判 明している。

特殊 ID

LDAP

Windows と Active Directory は、内 部的 に既知となっている ID を使用 します。これらの ID はグループと似 たよ
うに働きをしますが、AD はそれらをグループとして宣言 しません。詳 細は、特 殊 ID グループを参 照してください。

その他

現 在、上記 のカテゴリに分類されないすべての
AD/SYSVOL オブジェクト 。

アクティビティログ
Tenable Identity Exposure のアクティビティログにより、特 定の IP アドレス、ユーザー、アクションに関連 する、Tenable Identity Exposure プラット フォームで発 生したすべてのアクティビティの痕 跡を確 認 することができます。

- 190 -

注 意 : 技 術 的な制限 により、テナント 管 理 などの特定 のビューに関 するアクティビティログ (追 加、編集、削 除 を含む) は現在 表示されません。

アクティビティログを表 示 するには

1. Tenable Identity Exposure で、左 側のナビゲーションメニューの [アカウント ]アイコンをクリックします。
[ユーザーアカウント 管 理 ]ペインが表 示されます。
2. [アクティビティログ] タブを選 択 します。
[アクティビティログ] ペインが開きます。

特 定 の時 間 フレームのアクティビティログを表 示 するには
1. [アクティビティログ] ペインの上部 で、日付の選択コント ロールをクリックします。
2. 表示 する期間の開始 日 と終 了 日を選択します。
3. (オプション) スクロールバーを使 用 して時刻 を選 択します (デフォルト : 現 在時 刻 )。

- 191 -

4. [OK] をクリックします。
Tenable Identity Exposure は、その期間 のアクティビティログを表 示します。
アクティビティログをフィルタリングするには
1. [アクティビティログ] ペインの上部 で、ボタンをクリックします。

[フィルター] ペインが表 示されます。
2. 次のボックスで > をクリックします。
oIP アドレス

o

ユーザー

o

アクション

3. [検 証 ] をクリックします。
Tenable Identity Exposure は、定 義されたフィルターのアクティビティログを表示 します。
フィルターをクリアするにはl[フィルター] ペインの下 部 で、[フィルターを消 去 ] をクリックします。
Tenable Identity Exposure は、フィルタリングされていないアクティビティログを表 示します。

アクティビティログをエクスポート するにはl

[アクティビティログ] ペインの上部 で、アイコンをクリックします。

Tenable Identity Exposure は、アクティビティログを CSV 形 式でコンピューターにダウンロードします。

- 192 -

Tenable Identity Exposure の設 定 と管 理
このセクションで概説 するオプションと機 能は、Tenable Identity Exposure のインスト ールやデプロイメント
をカスタマイズ、最適化 、維 持する必 要のある管 理者や上級 ユーザーを対 象としています。
Active Directory の管理 、攻撃 インジケーターのデプロイメント の設定 、認証 設定 、ユーザーアカウント 、
セキュリティプロファイル、ロール、フォレスト 、ドメイン、アラート などのト ピックに関する専門 的な手順 が記載されています。このセクションでは、ヘルスチェックの実行、レポート センターの使 用、Microsoft Entra ID(旧 Azure AD) との統合 、ライセンス、ト ラブルシューティングについても扱います。
特定 のタスクに関 連 する情 報 を検 索するには、画 面 左側のメニューペインで関連 するト ピックをクリックします。
アクセス許 可 : これらのタスクには、管 理者 アクセス権限が必要 です。

Active Directory の設定
Tenable Identity Exposure は、特 定 の機 能を動作させるために、監 視 対象の Active Directory でいくつかの設 定 が必要です。
l

AD オブジェクト またはコンテナへのアクセスl

特権 分 析 のためのアクセスl

攻撃 インジケーターのデプロイメント

AD オブジェクト またはコンテナへのアクセス
注 意 : このセクションは、露出 インジケーターモジュールの Tenable Identity Exposure ライセンスにのみ適用 されます。

Tenable Identity Exposure は、セキュリティ監 視を達成するために管 理 者権限 を必 要としません。
このアプローチは、ドメインに保存されているすべての Active Directory オブジェクト (ユーザーアカウント 、組織 単 位 、グループなど) を読 み取 るために Tenable Identity Exposure が使用 するユーザーアカウント の
機能 に依 存 しています。
ほとんどのオブジェクト はデフォルト で、Tenable Identity Exposure サービスアカウント が使 用 するグループ
ドメインユーザーに対 する読 み取 りアクセス権 を持 っています。ただし、一 部のコンテナは、Tenable- 193 -

Identity Exposure ユーザーアカウント に対する読み取 りアクセスを許 可 するために、手動 で設 定 する必要があります。
Tenable Identity Exposure が監視 する各 ドメインで読み取りアクセス権 を持たせるために、手動設定 が必要 な Active Directory オブジェクト とコンテナの詳細を次 の表 に示 します。
コンテナの場 所

説明

CN=Deleted Objects,DC=<DOMAIN>,DC=<TLD>

削除されたオブジェクト をホスト する
コンテナ

CN=Password Settings(オプション) パスワード設 定オブジェク

Container,CN=System,

ト をホスト するコンテナ

DC=<DOMAIN>,DC=<TLD>

AD オブジェクト とコンテナへのアクセスを許 可するには
lドメインコント ローラーの PowerShell コンソールで、次 のコマンドを実行 して、Active Directory オブ
ジェクト またはコンテナへのアクセスを許可します。

注 意 : Tenable Identity Exposure が監視 する各ドメインでこれらのコマンドを実行する必 要があります。

#Set Service Account $serviceAccount = "<SERVICE_ACCOUNT>" #Don't Edit after here $domain =Get-ADDomain @($domain.DeletedObjectsContainer, "CN=Password Settings
Container,$($domain.SystemsContainer)") | ForEach-Object { & dsacls $_ /takeownership & dsacls$_ /g "$($serviceAccount):LCRP" /I:T }<__SERVICE_ACCOUNT__> は、Tenable Identity Exposure が使用 するサービスアカウント を指 しています。
PowerShell を使 用 できない場 合は、各 コンテナに対してこれらのコマンドを実 行することもできます。
dsacls "<__CONTAINER__>" /takeownershipdsacls "<__CONTAINER__>" /g <__SERVICE_ACCOUNT__>:LCRP /I:T

各部 の説明- 194 -

o<__CONTAINER__> は、アクセスを必要 とするコンテナを表します。

o<__SERVICE_ACCOUNT__> は、Tenable Identity Exposure が使用 するサービスアカウント を表 します。

特権 分 析 のためのアクセスオプションの特 権分析 機能 には、管理 者権限 が必要 です。Tenable Identity Exposure が使 用するサー
ビスアカウント にアクセス許可を割 り当てる必要 があります。
詳細 は、特 権 分析 を参 照 してください。
注 意 : 特 権 分析を有効にする各 ドメインでアクセス許可を割 り当 てる必要があります。

コマンドラインを使 用 してアクセス許 可 を割 り当 てるには
要 件 : アクセス許 可を割り当てるには、ドメイン管理 者の権限 または同等の権 限を持つアカウント が必 要 です。
lドメインコント ローラーのコマンドラインインターフェースで次 のコマンドを実 行して、両方 のアクセス許可を追 加できます。
dsacls "<__DOMAIN_ROOT__>" /g "<__SERVICE_ACCOUNT__>:CA;Replicating Directory Changes" "<__SERVICE_ACCOUNT__>:CA;Replicating Directory Changes All"

各部 の説 明o<__DOMAIN_ROOT__> は、ドメインのルート の識 別名 を表 します。例:「DC=<DOMAIN>,DC=<TLD>」o<__SERVICE_ACCOUNT__> は、Tenable Identity Exposure が使用 するサービスアカウ
ント を表 します。例 : 「DOMAIN\tenablead」

グラフィカルユーザーインターフェースを使 用 してアクセス許 可 を割 り当 てるには
1. Windows の [スタート ] メニューから、[Active Directory ユーザーとコンピューター] を開 きます。
2. [表 示 ] メニューから [拡 張 機 能 ] を選択 します。

- 195 -

3. ドメインルート を右 クリックし、[プロパティ] を選 択します。

- 196 -

ドメインルート のプロパティペインが開 きます。
4. [セキュリティ] タブをクリックし、[追 加 ] をクリックします。

- 197 -

5. Tenable Identity Exposure サービスアカウント を見 つけます。
注 意 : 複数 のドメイン環 境 があるフォレスト では、サービスアカウント が別 の Active Directory ドメインにある可 能性があります。

- 198 -

6. リスト を下 にスクロールし、デフォルト で設 定 されているすべてのアクセス許 可を選択解 除 します。
7. [許 可 ] 列で、[ディレクト リ変更の複製 ] と [すべてのディレクト リ変更の複製 ] の両方のアクセス許可を選 択します。

- 199 -

8. [OK] をクリックします。

重要事 項
Tenable Identity Exposure に必要なサービスアカウント はフォレスト ごとに 1 つだけです。そのため、ドメインでアクセス許可 を割り当てる際 に、別 のドメインのサービスアカウント を検 索 する必要 がある場 合があります。
追加のアクセス許可はドメインルート レベルで割り当 てる必要があります。Active Directory は、組織 単位 または
特定のユーザーに割り当 てられるアクセス許可 (たとえば、特権 分析を組 織 単位 (OU) またはユーザーに制 限 するアクセス許 可) をサポート していないため、何の影響も及ぼしません。

- 200 -

これらのアクセス許可 により、Tenable Identity Exposure サービスアカウント に、Active Directory ドメインに対してより強い権 限 が付 与 されます。その後、これを特 権 アカウント (Tier 0) と見 なし、ドメイン管 理者アカウント と同 様に保 護する必要があります。全 手順 については、サービスアカウント の保護 を参照してください。

攻撃インジケーターのデプロイメント
注 意 : この情報 は、攻撃インジケーターモジュールの恩恵を受けるライセンスにのみ適 用されます。

Tenable Identity Exposure の 攻 撃 インジケーター (IoA) により、Active Directory (AD) に対 する攻撃 を検出することができます。各 IoA には、インスト ールスクリプト によって自動 的に有 効 にされる特定 の監 査 ポ
リシーが必 要 です。Tenable Identity Exposure の IoA とその実装の完全なリスト については、Tenable ダ
ウンロードポータルの Tenable Identity Exposure の攻撃 インジケーターリファレンスガイドを参照 してください。
攻 撃 インジケーターと Active Directory
Tenable Identity Exposure は、エージェント をデプロイすることなく環 境 内の設 定変 更を最 小限にして、Active Directory インフラを監 視する非 侵 入型ソリューションとして機能 します。
Tenable Identity Exposure は、管 理 アクセス許可 のない通 常のユーザーアカウント を使 用して標準 APIに接 続 し、そのセキュリティ監視 機 能 を使 用します。
Tenable Identity Exposure は、Active Directory レプリケーションメカニズムを利 用して関連 情報 を取得
しています。これにより、各ドメインの PDC と Tenable Identity Exposure のディレクト リリスナーの間 で必要になる帯 域 幅 コスト は限 定的 なものになります。
Tenable Identity Exposure は、攻 撃 インジケーターを使用してセキュリティインシデント を効率 的に検出するために、Event Tracing for Windows (ETW) の情報と各ドメインコント ローラーで利用 可能なレプリケーションメカニズムを使 用します。この一 連の情 報 を収集 するには、攻撃 インジケーターのインスト ール
で説 明 されているように、Tenable Identity Exposure のスクリプト を使 用して専 用のグループポリシーオブ
ジェクト (GPO) をデプロイします。
この GPO は、システムボリューム (SYSVOL) に書き込むすべてのドメインコント ローラーで Windows
EvtSubscribe API を使 用 してイベント ログリスナーをアクティブにし、AD のレプリケーションエンジンとTenable Identity Exposure の SYSVOL イベント をリッスンする機能 を利用します。GPO は各ドメインコント
ローラーの SYSVOL にファイルを作 成 し、そのコンテンツを定 期 的にフラッシュします。

- 201 -

セキュリティ監視 を開始 するために、Tenable Identity Exposure は Microsoft の標 準 ディレクト リ API とやり取りする必 要があります。

ドメインコント ローラー
Tenable Identity Exposure が必要 とするのは、Network Flow Matrix (ネット ワークフローマト リクス) で説明されているネット ワークプロト コルを使 用するプライマリドメインコント ローラーエミュレーター (PDCe) との通信のみです。
複数 のドメインまたはフォレスト が監 視対 象 となている場 合、Tenable Identity Exposure は各ドメインのPDCe に到 達する必 要があります。最高 のパフォーマンスを得 るために、Tenable は監視 する PDCe に近い物 理 ネット ワークで Tenable Identity Exposure をホスト することを推 奨 します。

ユーザーアカウント
Tenable Identity Exposure は、非 管 理者 ユーザーアカウント を使用 して監視対 象 のインフラに認 証し、
レプリケーションフローにアクセスします。
単純 な Tenable Identity Exposure ユーザーは、収 集されたすべてのデータにアクセスできます。Tenable
Identity Exposure は、認証情 報、パスワードハッシュ、Kerberos キーなどのシークレット 属 性にはアクセスしません。
Tenable は、次 のようなサービスアカウント を作 成し、それを「ドメインユーザー」グループのメンバーにすることを推 奨しています。

- 202 -

l

サービスアカウント はメインの監 視対 象ドメインにある。

lサービス アカウント は、任 意 の組 織単 位 (OU)にある。できれば、ほかのセキュリティサービスアカウン
ト もそこで作 成する。

l

サービスアカウント は、標準 のユーザーグループメンバーである (例 : ドメインユーザー AD デフォルト グ
ループのメンバー)。

始 める前 にl

技術 的 な変更と潜在 的 な影 響 の説明に従 って、IoA のインスト ールに関 する制限と潜在 的 な影
響を確 認します。

l

DC に Active Directory とグループポリシーの PowerShell モジュールがインスト ールされ、利用 可能であることを確 認 します。

l

DC が 分散ファイルシステムツール機 能 RSAT-DFS-Mgmt-Con を有効にしていることを確 認 します。
有効 にすると、DC のレプリケーション中 は GPO を作成 できないため、デプロイメント スクリプト がレプリケーションステータスをチェックできるようになります。

lTenable Identity Exposure では、プラット フォームの中断を制 限 するために、オフピーク時 に IoA を
インスト ール/アップグレードすることを推 奨しています。

lアクセス許 可を確 認する — IoA をインスト ールするには、次 のアクセス許可 のあるユーザーロールが必要 です。
oo[データエンティティ] で、以 下 に対する「読み取 り」アクセス権n

すべての攻撃 インジケーターn

すべてのドメイン[インターフェースエンティティ] で、以 下 に対 するアクセス権n

管理 > システム > 設 定

n管理 > システム > 設 定 > アプリケーションサービス > 攻 撃インジケーターn管理 > システム > 設 定 > アプリケーションサービス > 攻 撃インジケーター > インスト ール
ファイルのダウンロード

ロールベースのアクセス許可 についての詳細は、ロールのアクセス許可 の設 定を参 照してください。

- 203 -

関連項 目l

攻撃 インジケーターのインスト ールl

攻撃 インジケーターインスト ールスクリプトl

技術 的 な変更と潜在 的 な影 響lMicrosoft Sysmon のインスト ール。これは、関連するシステムデータを取得 するために Tenable
Identity Exposure の一部 の攻 撃 インジケーターが必要とする Windows システムツールです。

l

攻撃 インジケーターのト ラブルシューティング

攻撃 インジケーターのインスト ール
必 要 なユーザーロール: Tenable Identity Exposure の攻 撃インジケーター設 定 を変 更するアクセス許 可 を持 つ組織のユーザー詳細は、ロールのアクセス許 可 の設定 を参 照してください。

Tenable Identity Exposure の攻 撃 インジケーター (IoA) モジュールでは、新 しいグループポリシーオブジェク
ト (GPO) を作成 し、組 織 単 位 (OU) にリンクできる管理者 アカウント で PowerShell インスト ールスクリプトを実行 する必 要があります。Tenable Identity Exposure の監視対象である Active Directory ドメインに参加 していて、ネット ワーク経由 でドメインコント ローラーに到 達できる任意のマシンから、このスクリプト を実行 できます。
このインスト ールスクリプト は、各 AD ドメインに 1 回実行 するだけで済みます。これは、作成 された GPO
が、イベント リスナーを既存および新 規 のすべてのドメインコント ローラー (DC) に自動 的にデプロイするからです。
さらに、「自 動 更 新 」オプションを有 効にすると、IoA 設 定を変 更 した場合 でも、インスト ールスクリプト を再実行 する必 要 がなくなります。
IoA のドメインを設 定 するには
1. Tenable Identity Exposure で、左 側のメニューバーの [システム]をクリックして、[設 定 ] タブをクリックします。
[設 定 ] ペインが表示されます。
2. [攻 撃 インジケーター] をクリックします。

- 204 -

IoA 設 定 ペインが表 示 されます。

3. [(1)ドメイン設 定 ] で、[手 順 を見 る] をクリックします。
手順 ウィンドウが開 きます。

4. [今 後 は自 動 更 新 しますか?] で以 下を行 います。

- 205 -

o

デフォルト オプションの [有 効 ] を使用すると、今 後 Tenable Identity Exposure で IoA 設 定が変 更されるたびに、Tenable Identity Exposure が IoA 設定 を自動 的に更 新するようになります。これにより、継 続的 なセキュリティ分 析 を確実 に行 うことができます。

o

このオプションをオフにすると、今後の自動更 新を取 得するためにオンにするように求めるメッセージが表示されます。[手 順 を見 る] をクリックし、[有 効 ] に切り替えます。

5. [ダウンロード] をクリックして、各 ドメインに対して実 行するスクリプト (Register-TenableIOA.ps1)
をダウンロードします。
6. [ダウンロード] をクリックして、ドメインの設 定ファイル (TadIoaConfig-AllDomains.json) をダウンロードします。
7.

をクリックして Powershell コマンドをコピーし、ドメインを設定します。

8. 手順 ウィンドウの外側をクリックして閉じます。
9. 管理 者 権 限で PowerShell ターミナルを開き、コマンドを実行 して IoA のドメインコント ローラーを設定します。
注 意 : IoA のインスト ールとドメインのクエリに使 用するサービスアカウント には、Tenable Identity Exposure(旧 Tenable.ad) GPO フォルダーへの書き込 みのアクセス許可が必 要です。このアクセス許可はインスト ー
ルスクリプト によって自 動的に追加 されます。このアクセス許可 を削除 すると、Tenable Identity Exposureにエラーメッセージが表 示され、自 動更新 が機 能 しなくなります。詳 細は、攻撃 インジケーターインスト ール
スクリプト を参 照 してください。

IoA をセット アップするには- 206 -

1. IoA 設 定 ペインの [攻 撃 インジケーターのセット アップ]で、設 定 に含 める IoA を選択 します。

ヒント : Zerologon の悪 用 の攻 撃 インジケーター (IoA) の日付は 2020 年 以降です。すべてのドメインコント
ローラー (DC) が過 去 3 年以 内に更 新プログラムを受 け取 っている場 合は、この脆 弱性 から保護 されています。この脆弱 性 に対して DC を保護 するために必要なパッチを判 断するには、Microsoft の Netlogon の権 限の昇 格 の脆 弱 性 にある情 報 を参照してください。DC のセキュリティを確認 したら、この IoA を安 全 に無効 化して、不 要なアラート を回 避 できます。

2. [Save] をクリックします。
o[今 後 は自 動 更 新 しますか?] を有効 にしてある場 合、Tenable Identity Exposure は新 しい
設 定を保存 し、自 動的 に更 新 します。この更新が有効 になるまで数 分かかります。

o[今 後 は自 動 更 新 しますか?] を有効 にしていなかった場 合は、手 順ウィンドウが表 示 され、IoA のドメインを設 定するにはに案内されます。

IoA のインスト ールをチェックするには
1. グループポリシー管理 で、新 しい Tenable Identity Exposure GPO が存在し、この GPO がドメインコ
ント ローラー OU にリンクしていることを確認 します。

- 207 -

2. パス C:\Windows\SYSVOL\sysvol\alsid.corp\Policies\{GUID}\Machine\IOA に移 動
し、IoA をテスト する前 に、すべてのドメインコント ローラーに .gz ファイルが存在 することを確認 します。

- 208 -

Tenable Identity Exposure サービスアカウント の「書 き込 み」アクセス許 可 をチェックするには
1. ファイルマネージャーで、\\<DNS-NAME>\sysvol\<DNS-NAME>\Policies\{<GPOID>}\Machine\ に移 動します。
2. 「IOA」フォルダーを右クリックし、[プロパティ] を選択 します。
3. [セキュリティ] タブを選 択 し、[詳 細 ] をクリックします。
4. [有 効 なアクセス] タブをクリックします。
5. [ユーザーを選 択 ] をクリックします。
6. <TENABLE-SERVICE-ACCOUNT-NAME> と入 力し [OK] をクリックします。
7. [有 効 なアクセスを表 示 ] をクリックします。
8. 「書 き込 み」アクセス許可 が有効 になっていることを確認します。
または、Powershell を使用 することもできます。

- 209 -

l

次のコマンドを実 行してください。
Install-Module -Name NTFSSecurity -RequiredVersion 4.2.3

Get-NTFSEffectiveAccess -Path \\<DNS-NAME>\sysvol\<DNS-NAME>\Policies\{<GPO-ID>}\IOA\ Account <TENABLE-SERVICE-ACCOUNT-NAME>

IoA を調 整 するには攻撃 の誤検 出 を回避 しかつ正 当な攻 撃が検出 されないことを回避 するには、IoA を Active Directory のサイズに適 合させ、既 知のツールをホワイト リスト に登録 するなどして、環境 に応じて IoA を調 整 する必要があります。
1. 選択 するオプションおよび推 奨 値については、Tenable Identity Exposure の攻撃 インジケーターリ
ファレンスガイドを参照してください。
2. インジケーターのカスタマイズ で説明 されているように、セキュリティプロファイルの各 IoA にオプションと値を適 用します。
ト ラブルシューティング
デプロイメント 中に次 のエラーメッセージが表示される場合があります。
メッセージ

修正方法

「ターゲット フォルダー <targetFolder> が存 在し

スクリプト をアンインスト ールし、[手 順を表 示

ないため、Tenable Identity Exposure は設 定ファする] をクリックして、スクリプト を再インスト ール

イルに書き込 めません。IoA モジュールのデプロイメする手順 を確認します。

ント が失 敗した可能 性 があります。」「Tenable Identity Exposure は <targetFile>lにある設 定 ファイルに書き込 んで更新 することができませんでした。ファイルをロックしている別 のプロセスまたはアクセス許 可の変更 が原因 である可能性があります。」

IoA モジュール以外 のプロセスが設 定 ファ
イルを使 用していないことを確認 します。

lサービスアカウント にファイルの内容を変更するアクセス許可 があることを確 認 します。

- 210 -

l

サービスアカウント にアクセス許可 を付与したくない場 合は、「自 動 更 新 」ト グルを無効にし、[手 順を表 示する] をクリック
して、IoA 設定 を変 更するたびに手 動で更新するにはを確 認 します。

「ターゲット フォルダー <targetFolder> に自 動更

現在インスト ールされているスクリプト が、WMI

新を実 行 できないバージョンの Tenable Identityを使用している古いバージョンです。現在のExposure が含 まれています。」

バージョンをアンインスト ールし、新 しいインス
ト ールスクリプト をダウンロードして、このスクリプ
ト を実 行します。

「設 定 ファイルのデプロイメント 中 に予 期 しないエスクリプト をアンインスト ールし、[手 順を表 示

ラーが発 生 しました。」

する] をクリックして、スクリプト を再インスト ール
する手順 を確認します。解 決しない場 合は、
カスタマーサポート 担当 者に連 絡してください。

詳細 については、次 を参照 してください。
l

攻撃 インジケーターインスト ールスクリプトl

技術 的 な変更と潜在 的 な影 響lアンチウイルス検 出l

監査 ポリシーの詳 細設 定の優 先順 位

攻撃 インジケーターインスト ールスクリプト
攻撃 インジケーター (IoA) インスト ールファイルをダウンロードして実行 すると、IoA スクリプト により、デフォル
ト で Tenable.ad という名前の新 しいグループポリシーオブジェクト (GPO) が Active Directory (AD) データ
ベースに作 成 されます。システムは、その Tenable Identity Exposure GPO を、すべてのドメインコント ロー
ラー (DC) を含 んでいるドメインコント ローラーの組織単 位 (OU) にのみリンクします。この GPO の仕 組 みを使用 して、新 しいポリシーはすべての DC 間で自動的 に複 製されます。

- 211 -

インスト ールスクリプト (Tenable Identity Exposure v. 3.29 以 降 )GPO に含 まれている PowerShell スクリプト を、すべての DC がローカルで次 のように実行 して、対象データを収集 します。
l

このスクリプト は、Windows EvtSubscribe API を使用して、各ドメインコント ローラーでイベント ログリ
スナーを設 定 します。スクリプト は、一 致する各 イベント ログに対してリクエスト と EvtSubscribe によってト リガーされるコールバックを送 信して、TenableADEventsListenerConfiguration.json
設定 ファイルで指定されているように、必要なイベント ログチャネルごとにサブスクリプションを作成 します。

lイベント リスナーはイベント ログを受 信してバッファリングしてから、定期 的 に Sysvol と呼ばれるネット
ワーク共 有に保存 されるファイルにフラッシュします。各 DC は、収集 されたイベント を単 一の Sysvol
ファイルにフラッシュしてファイル内に保存し、それを他 のドメインコント ローラーに複製します。

- 212 -

l

このスクリプト は、DC の再 起動 時 にイベント サブスクライバーを再 登録 して、このメカニズムが永 続的であることを保 証する WMI コンシューマーも作成します。WMI は、DC が再 起動 するたびにコンシューマーに通 知し、コンシューマーがイベント リスナーを再 登録できるようにします。

l

この時点 で分散 ファイルシステム (DFS) レプリケーションが発 生し、ドメインコント ローラー間でファイルを自 動 的に同 期します。DFS の受 信 レプリケーショント ラフィックをリッスンしている Tenable Identity
Exposure のプラット フォームは、このデータを使用してイベント を収 集し、セキュリティ分析を実行 してから、IoA アラート を生 成します。

ローカルデータの取得
Windows イベント ログには、オペレーティングシステムとアプリケーションで発生 したすべてのイベント が記 録されます。イベント ログは、Windows に統 合されたコンポーネント のフレームワークに依 存しています。
Tenable Identity Exposure IoA イベント ログリスナーは、EvtSubscribe API を使 用して、有用 なイベント ロ
グのデータセグメント のみを、イベント ログから抽出 する挿 入文字 列の形式で収 集します。Tenable
Identity Exposure は、これらの挿入 文 字列 を Sysvol フォルダーに保存 されたファイルに書き込 み、DFS
エンジンでそれを複製 します。これにより、Tenable Identity Exposure はセキュリティ分 析を実 行して攻 撃を検出 するのに適 正な量 のセキュリティ関連 データをイベント ログから収 集します。

- 213 -

IoA スクリプト のサマリー
次の表 は、Tenable Identity Exposure スクリプト のデプロイメント の概 要を示 しています。
関連す
手
順

説明

るコン
ポーネン

技 術 的 なアクショント
1

TenableGPO 管

Tenable.ad (デフォルト 名) GPO が作 成され、ドメインコント ローラー

Identity理

OU にリンクされます。

Exposure のIoA デプロイメン
ト を登- 214 -

録 する
2

DC への

DC ロー

各 DC で適用 する新しい GPO が検 出 されます (AD のレプリケーショ

Tenableカルシス

ンとグループポリシーの更新 間隔 に応 じて異 なる)。

Identity

テム

Exposure のIoA デプ
ロイメン
ト を始
める
3

高度な

DC ロー

システムは、レジスト リキー HKEY_LOCAL_

ログ記

カルシス

MACHINE\System\CurrentControlSet\Control\Lsa\SCENoA

録 ポリ

テム

pplyLegacyAuditPolicy を設定 することにより、高 度なログ記 録

シーのポリシーを有効にします。

状態を
制御す
る
4

ローカル

DC ロー

検出 する IoA に応じて、Tenable Identity Exposure は特定の監 査

ログ記

カルシス

ポリシーを動的に生 成 して有効にします。このポリシーによって既 存

録 ポリ

テム

のログ記 録ポリシーが無 効 になることはなく、必要 に応じて強 化 のみ

シーをを行います。競 合が検 出されると、GPO インスト ールスクリプト が停更新す

止し、[Tenable Identity Exposure は監 査ポリシー「...」が必要です

るが、現 在の AD 設定では使用 できません] というメッセージが表示 さ
れます。

5

イベント

DC ロー

システムは、GPO に含まれるスクリプト を登 録して実行 します。このス

リスナー

カルシス

クリプト は、PowerShell プロセスを実行し、EvtSubscribe API を使 用

と WMI

テム

してイベント ログをサブスクライブし、永 続化するために

プロ

ActiveScriptEventConsumer のインスタンスを作 成します。

デュー

Tenable Identity Exposure は、これらのオブジェクト を使 用 して、イベサーをント ログを受信して内 容 を保 存 します。

登録する

- 215 -

6

7

イベント

DC ロー

Tenable Identity Exposure は、関 連 するイベント ログメッセージを取

ログメッ

カルシス

得し、一定期間 バッファリングした後 、Tenable Identity Exposure

セージを

テム

GPO に関連付 けられた Sysvol フォルダー (...{GPO_

収集す

GUID}\Machine\IOA<DC_name>) に格納 されているファイル (DC ごるとに 1 つ) に保存します。

宣言さActiveDFS を使用して、AD はドメイン全 体 、特 に宣 言された DC でファイル

れた DC

Directoを複製 します。Tenable Identity Exposure プラット フォームは各ファイ

SYSVOLry

ルの通知を受 け取 り、その内容 を読み取 ります。

これらのActive

各 DC は、定期 的 にバッファリングされたイベント を自動的 かつ継 続

ファイル

Directo的に同 じファイルに書 き込みます。

を上書

ry

フォル
ダーに
ファイル
を複製
する
8

きする
インスト ールスクリプト (Tenable Identity Exposure v. 3.19.11 以 前 )GPO に含 まれている PowerShell スクリプト を、すべての DC がローカルで次 のように実行 して、対象データを収集 します。
lスクリプト は、マシンのメモリでイベント ウォッチャーおよび Windows Management Instrumentation(WMI) プロデューサー/コンシューマーを設 定します。WMI は Windows コンポーネント の一種で、ローカルやリモート のコンピューターシステムのステータス情 報を知 らせます。

lイベント ウォッチャーはイベント ログを受信してバッファリングしてから、定期 的に Sysvol と呼 ばれる
ネット ワーク共 有に保 存 されているファイルにフラッシュします。各 DC は、収 集 されたイベント を単 一の Sysvol ファイルにフラッシュしてファイル内 に保存し、それを他 のドメインコント ローラーに複製 します。

l

WMI コンシューマーは、DC の再 起動 時 にイベント ウォッチャーを再 登録 することにより、この仕組 みを永 続 化します。プロデューサーは DC が再起動するたびにウェイクアップし、コンシューマーに通知 します。その結果、コンシューマーはイベント ウォッチャーを再 登録 します。

- 216 -

l

この時点 で分散 ファイルシステム (DFS) のレプリケーションが発生 し、ドメインコント ローラー間でファイルを自 動 的に同 期します。DFS の受信 レプリケーショント ラフィックをリッスンしている Tenable
Identity Exposure のプラット フォームは、このデータを使用 してイベント を収 集し、セキュリティ分 析 を実行 してから、IoA アラート を生成 します。

ローカルデータの取得
Windows イベント ログには、オペレーティングシステムとアプリケーションで発生 したすべてのイベント が記 録されます。Event Tracing for Windows (ETW) と呼 ばれるイベント ログは、Windows に統合されたコンポー
ネント のフレームワークに依存 しています。ETW はカーネル内 にあり、DC のローカルに保存 されて AD プロ
ト コルによって複製されないデータを生 成します。
Tenable Identity Exposure は、WMI エンジンを使用 して、有用な ETW データセグメント のみを、イベント
ログから抽 出する挿入 文字列 の形 式で収集します。Tenable Identity Exposure は、これらの挿入 文 字
列を Sysvol フォルダーに保 存されたファイルに書き込み、DFS エンジンでそれを複 製します。これにより、
Tenable Identity Exposure はセキュリティ分析を実行 して攻撃 を検出 するのに適正な量 のセキュリティ関
連データを ETW から収 集します。

- 217 -

IoA スクリプト のサマリー
次の表 は、Tenable Identity Exposure スクリプト のデプロイメント の概 要を示 しています。
関連す
手
順

説明

るコン
ポーネン

技 術 的 なアクショント
1

TenableGPO 管

Tenable.ad (デフォルト 名) GPO が作 成され、ドメインコント ローラー

Identity理

OU にリンクされます。

DC への

DC ロー

各 DC で適用 する新しい GPO が検 出 されます (AD のレプリケーショ

Tenableカルシス

ンとグループポリシーの更新 間隔 に応 じて異 なる)。

Identity

テム

Exposure のIoA デプ
ロイメン
ト を登
録 する
2

Exposure のIoA デプ
ロイメン
ト を始
める
3

イベント

DC ロー

システムは、即時タスクを登録 して、実行 します。このタスクによって

ウォッ

カルシス

PowerShell プロセスが実行され、ManagementEventWatcher と

チャーと

テム

ActiveScriptEventConsumer のクラスのインスタンスが作成 され

WMI プ

ます。Tenable Identity Exposure は、これらのオブジェクト を使 用 し

ロデューて、ETW メッセージを受信して保存 します。

サー/コ
ンシュー
マーを

- 218 -

登録す
る
4

高度な

DC ロー

システムは、レジスト リキー HKEY_LOCAL_

ログ記

カルシス

MACHINE\System\CurrentControlSet\Control\Lsa\SCENoA

録 ポリ

テム

pplyLegacyAuditPolicy を設定 することにより、高 度なログ記 録

シーのポリシーを有効にします。

状態を
制御す
る
5

ローカル

DC ロー

検出 する IoA に応じて、Tenable Identity Exposure は高度なログ

ログ記

カルシス

記録 ポリシーを動 的に生成して有効 にします。このポリシーによって

録 ポリ

テム

既存 のログ記録 ポリシーが無 効になることはなく、必要 に応 じて強シーを

化のみを行います。競合が検出 されると、GPO インスト ールスクリプト

更新すが停 止 し、[Tenable Identity Exposure は監査 ポリシー「...」が必 要

るですが、現在の AD 設定では使用 できません] というメッセージが表示されます。

6

ETW

DC ロー

Tenable Identity Exposure は、関 連 する ETW メッセージを取 得し、

メッセー

カルシス

一定 期 間 バッファリングした後、Tenable Identity Exposure GPO に

ジを収

テム

関連 付 けられた Sysvol フォルダー (...{GPO_
GUID}\Machine\IOA<DC_name>) に格納 されたファイル (DC ごとに 1

集 するつ) に保 存します。
7

ファイル

ActiveDFS を使用して、AD はドメイン全 体 でファイルを複 製します。

をDirectoTenable Identity Exposure プラット フォームもファイルを受信します。

Tenablery

Identity
Exposure プラッ
ト フォー
ムに複
製 する
8

これらの

Active

各 DC は、定期 的 にバッファリングされたイベント を自動的 かつ継 続- 219 -

ファイル

Directoを上書

ry

的に同 じファイルに書 き込みます。

きする

関連項 目
l

Indicators of Attack and the Active Directoryl

攻撃 インジケーターのインスト ールl

技術 的 な変更と潜在 的 な影 響

技術 的 な変更と潜在的 な影響
攻撃 インジケーター (IoA) モジュールのインスト ールスクリプト は、監 視対象 の DC に透過 的に以 下 の変 更を適用 する GPO を作成 します。
lデフォルト で「Tenable.ad」という名 前の新 しい GPO が追加 され、デフォルト でドメインコント ローラーの組 織単 位 (OU) にリンクされる

lMicrosoft Advanced ログ記 録 ポリシーをアクティブにするためのレジスト リキーを変 更するl

ドメインコント ローラーに IoA が必 要 とする ETW 情報 を強制 的に生 成させる、新しいイベント ログポ
リシーをアクティブ化する
注 意 : ETW エンジンが Tenable Identity Exposure が必要 とする挿入 文 字 列を生成できるようにするために、イベント ログポリシーは必須です。このポリシーによって既 存のログ記録ポリシーが無効になることはな
く、追 加のみを行います。競合がある場 合、デプロイメント スクリプト はエラーメッセージを表示 して停止 します。

l

GPO フォルダーに保存 されている IoA 設定の「自 動更 新 」を可能 にする Tenable Identity
Exposure サービスアカウント への書 き込 みのアクセス許 可の追 加制限と潜 在 的な影響
攻 撃 インジケーター (IoA) モジュールは、次の制限 を課す可能 性 があります。

- 220 -l

IoA モジュールは ETW データに依存 し、Microsoft が定 義 する制限内 で動 作します。

lインスト ールされた GPO は、ドメイン全体 にレプリケート される必 要があります。また、インスト ールプ
ロセスを完了するには、GPO の更 新 間隔 が経過する必要 もあります。このレプリケーション期 間中、Tenable Identity Exposure は攻撃インジケーターエンジンでのチェックをすぐに開始しないことにより、誤 検 出 や検 出漏れを最 小 限にしていますが、全 く発 生しないというわけではありません。

lTenable は SYSVOL ファイル共有 を使用して、ドメインコント ローラーからの ETW 情報 を取 得 しま
す。SYSVOL がドメイン内のすべてのドメインコント ローラーに複 製 されるため、Active Directory アク
ティビティのピークが高いときに、レプリケーションアクティビティが大 幅に増 加します。

lドメインコント ローラーと Tenable Identity Exposure の間でファイルを複製 すると、ネット ワーク帯 域
幅も消 費されます。Tenable Identity Exposure は、収集 したファイルを自動 的 に削除 することでこれらの影響 を制御 し、各 ファイルのサイズも制 限 しています (デフォルト で最大 500 MB)。

l

分散 ファイルシステム (DFS) レプリケーションの遅延または破損 に関する問題 。詳 細は、DFS レプリ
ケーションの問 題 の緩和 を参 照してください。

関連項 目
l

Indicators of Attack and the Active Directoryl

攻撃 インジケーターのインスト ールl

攻撃 インジケーターインスト ールスクリプトl

攻撃 インジケーターのト ラブルシューティング

攻撃 シナリオ (v. 3.36 以 前 )
注 意 : 攻 撃 インジケーターのこの設 定 更新 機 能は、Tenable Identity Exposure バージョン 3.36 以降には適 用 されなくなりました。
必 要 なユーザーロール: 攻撃インジケーター設 定を変更 するアクセス許可 を持 つ組 織のユーザー

Tenable Identity Exposure が特定 のドメインで監 視する攻撃のタイプを選択 して、攻 撃シナリオとして定義します。
始 める前 に攻撃 シナリオを変 更するには、以下 のアクセス許 可を持つユーザーロールが必要 です。

- 221 -

ll

[データエンティティ] で、以下 に対 する「読み取 り」アクセス権o

すべての攻撃インジケーターo

すべてのドメイン[インターフェースエンティティ] で、以 下 に対 するアクセス権o管 理 > システム > 設 定o管 理 > システム > 設 定 > アプリケーションサービス > 攻 撃 インジケーターo管 理 > システム > 設 定 > アプリケーションサービス > 攻 撃 インジケーター > インスト ールファイ
ルのダウンロードロールベースのアクセス許 可 についての詳 細は、ロールのアクセス許可の設 定を参 照してください。
攻 撃 シナリオを定 義 するには
1. Tenable Identity Exposure で、[システム] > [設 定 ] > [攻 撃 インジケーター] をクリックします。
[攻 撃 シナリオの定 義 ] ペインが開きます。

2. [攻 撃 名 ] で、監視する攻 撃 を選択します。
3. 選択 した攻 撃 を監 視 するドメインを選択します。

- 222 -

4. オプションで、次 のいずれかを実 行 できます。
o[すべて選 択 ] をクリックして、すべてのドメインですべての攻 撃を監視 します。

o

特 定のドメインをフィルタリングして特定の攻撃を監視するには、[n/n 個 のドメイン] または[n/n 個 のインジケーター] をクリックします。

5. [Save] をクリックします。
設定 の保 存後 に Tenable Identity Exposure により各攻撃のアクティビティステータスが消去されることを通 知する確認メッセージが表示されます。
6. [確 認 ] をクリックします。
Tenable Identity Exposure が攻撃 インジケーター設定を更新したことを確 認するメッセージが表 示されます。
7. [インスト ールファイルのダウンロード] をクリックします。
8. 新しい攻 撃設 定を有効 にするには、次 のようにインスト ールファイルを実行 します。
a. ダウンロードしたインスト ールファイルをコピーし、監視対 象ドメインの DC に貼 り付 けます。
b. 管 理者 権 限で PowerShell ターミナルを開きます。
c. Tenable Identity Exposure で、ウィンドウの下 部 にある攻 撃 インジケーターセクションのコマンドをコピーします。

d. PowerShell ウィンドウにそのコマンドを貼り付けて、スクリプト を実行 します。

ワークロードクォータ
警 告 : ワークロードクォータ機能は、Tenable Identity Exposure バージョン 3.36 以降 には適 用 されなくなりました。

- 223 -

必 要 なユーザーロール: ワークロードクォータを編集するアクセス許 可 を持つ組 織のユーザー

Tenable Identity Exposure の各 攻 撃インジケーター (IoA) には、攻撃 のデータを分 析するために必 要 なリ
ソースを考 慮 したワークロードクォータが割 り当てられています。
Tenable Identity Exposure は、同 時 に実 行 される攻撃 インジケーター (IoA) の数を制限するためにワーク
ロードクォータを計算します。同 時実 行 は、ドメインコント ローラーのイベント 生 成 の帯 域 幅と CPU 使 用
率に影 響 を与えます。
ワークロードクォータの制 限を変 更した後 、次 の操 作を行います。
l

増加 した場 合 : 増加 後の統計 を監 視し、十 分な余 裕 があることを確認 します。

l

削減 した場 合 : このクォータを超 過しないように一 部の IoA を非 アクティブにします。この場合 、攻 撃に対 するセキュリティカバレッジは狭 くなります。

ワークロードクォータ制 限 を変 更 するには
1. Tenable Identity Exposure で、[システム] > [設 定 ] > [攻 撃 インジケーター] をクリックします。
[IoA 設 定 ] ペインが開きます。
2. 設定 に必 要な IoA を選 択します。
3. [攻 撃 インジケーター] の [クォータの上 限 ] ボックスに、ワークロードクォータ制限 の値を入力 します。

- 224 -

4. 入力 した値 の横 にあるチェックマークをクリックします。
変更 が Tenable Identity Exposure に及ぼす影響を通知するメッセージが表示 されます。
注 意 : クォータの上 限に現在 の攻撃 設 定で必要とされる値 よりも小さい値を入力した場合は、アクティブな攻 撃インジケーターの数を調整 するか、または制 限を引き上げる必要があります。

5. [確 認 ] をクリックします。
Tenable Identity Exposure がクォータの最 大 制限を更 新したことを確 認するメッセージが表 示されます。
6. [Save] をクリックします。
設定 の保 存後 に Tenable Identity Exposure により各攻撃のアクティビティステータスが消去されることを通 知する確認メッセージが表示されます。
7. [確 認 ] をクリックします。
Tenable Identity Exposure が攻撃 インジケーター設定を更新したことを確 認するメッセージが表 示されます。
8. [インスト ールファイルのダウンロード] をクリックします。

- 225 -

9. 新しい攻 撃設 定を有効 にするには、次 のようにインスト ールファイルを実行 します。
a. ダウンロードしたインスト ールファイルをコピーし、監視対 象ドメインの DC に貼 り付 けます。
b. 管 理者 権 限で PowerShell ターミナルを開きます。
c. Tenable Identity Exposure で、ウィンドウの下 部 にある攻 撃 インジケーターセクションのコマンドをコピーします。

d. PowerShell ウィンドウにそのコマンドを貼り付けて、スクリプト を実行 します。

Microsoft Sysmon のインスト ール
一部 の Tenable Identity Exposure の攻 撃 インジケーター (IoA) では、Microsoft System Monitor(Sysmon) サービスをアクティブにする必要 があります。
Sysmon は、システムアクティビティを監 視し、Windows イベント ログに記 録 することで、Event Tracing forWindows (ETW) インフラでよりセキュリティ指向の情 報を提供します。
なぜなら、他 の Windows サービスやドライバーをインスト ールすると、AD インフラをホスティングしているドメ
インコント ローラーのパフォーマンスに影 響 が出る場合があるからです。Tenable が自動 的 に Microsoft
Sysmon を導入 することはありません。手 動で、または専用 の GPO を使用 してインスト ールする必要 があります。
次の IoA は、Microsoft Sysmon が必 要です。
名前理由

OS 認 証 情報 のダンプ: LSASS メモリ

プロセスインジェクションの検出

注 意 : Sysmon をインスト ールする場合、必要なイベント をすべて収 集するには、PDC だけでなく、すべてのドメイ
ンコント ローラーにインスト ールする必 要 があります。

- 226 -

注 意 : Tenable Identity Exposure を完 全にデプロイする前 に、Sysmon インスト ールの互 換性 をテスト してください。
ヒント : 潜 在的 な脆 弱性に対処するパッチを利 用するために、インスト ール後も Sysmon を定 期的 に更新 するよ
うにしてください。Tenable Identity Exposure と互換性のある最も古いバージョンは Sysmon 12.0 です。

Sysmon をインスト ールするには
1. Sysmon を Microsoft のウェブサイト からダウンロードします。
2. コマンドラインインターフェースで、次 のコマンドを実行して Microsoft Sysmon をローカルマシンにインスト ールします。
.\Sysmon64.exe -accepteula -i C:\TenableSysmonConfigFile.xml

注 意 : 設定 の説明 については、Sysmon 設 定ファイルのコメント を参 照してください。

3. 次のコマンドを実 行して、Sysmon がインスト ールされていることを WMI フィルターに示すレジスト リ
キーを追 加します。
reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\eventlog\Microsoft-WindowsSysmon/Operational"

Sysmon をアンインスト ールするには
1. PowerShell ターミナルを開きます。
2. Sysmon64.exe が含 まれているフォルダーを参照します。
3. 次のコマンドを入 力します。
PS C:\> .\Sysmon64.exe -u

レジスト リキーを削 除 するには

- 227 -

l

コマンドラインインターフェースで、Sysmon を実 行 しているすべてのマシンに次のコマンドを入 力 します。
reg delete "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\eventlog\Microsoft-WindowsSysmon/Operational"

Sysmon 設 定 ファイル注意:
- Sysmon 設 定ファイルを使用 する前に、XML ファイルとしてコピーして保存してください。エラーが発生した場 合は、ここから設定 ファイルを直接 ダウンロードすることもできます。
- 実 行 する前 に、ファイルのプロパティでファイルのブロックを解 除します。

<Sysmon schemaversion="4.40"><EventFiltering><!--SYSMON EVENT ID 1 : PROCESS CREATION [ProcessCreate]--><RuleGroup name="" groupRelation="or"><ProcessCreate onmatch="exclude"><!--NOTE: Using "exclude" with no rules means everything in this section will be logged--></ProcessCreate></RuleGroup><!--SYSMON EVENT ID 2 : FILE CREATION TIME RETROACTIVELY CHANGED IN THE FILESYSTEM[FileCreateTime]--><RuleGroup name="" groupRelation="or"><FileCreateTime onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></FileCreateTime></RuleGroup><!--SYSMON EVENT ID 3 : NETWORK CONNECTION INITIATED [NetworkConnect]--><RuleGroup name="" groupRelation="or"><NetworkConnect onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></NetworkConnect></RuleGroup><!--SYSMON EVENT ID 4 : RESERVED FOR SYSMON SERVICE STATUS MESSAGES--><!--Cannot be filtered.--><!--SYSMON EVENT ID 5 : PROCESS ENDED [ProcessTerminate]--><RuleGroup name="" groupRelation="or"><ProcessTerminate onmatch="exclude"><!--NOTE: Using "exclude" with no rules means everything in this section will be logged--></ProcessTerminate></RuleGroup><!--SYSMON EVENT ID 6 : DRIVER LOADED INTO KERNEL [DriverLoad]--><RuleGroup name="" groupRelation="or">- 228 -

<DriverLoad onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></DriverLoad></RuleGroup><!--SYSMON EVENT ID 7 : DLL (IMAGE) LOADED BY PROCESS [ImageLoad]--><RuleGroup name="" groupRelation="or"><ImageLoad onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></ImageLoad></RuleGroup><!--SYSMON EVENT ID 8 : REMOTE THREAD CREATED [CreateRemoteThread]--><RuleGroup name="" groupRelation="or"><CreateRemoteThread onmatch="include"><TargetImage name="lsass" condition="is">C:\Windows\system32\lsass.exe</TargetImage></CreateRemoteThread></RuleGroup><!--SYSMON EVENT ID 9 : RAW DISK ACCESS [RawAccessRead]--><RuleGroup name="" groupRelation="or"><RawAccessRead onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></RawAccessRead></RuleGroup><!--SYSMON EVENT ID 10 : INTER-PROCESS ACCESS [ProcessAccess]--><RuleGroup name="" groupRelation="or"><ProcessAccess onmatch="include"><!-- Detect Access to LSASS--><Rule groupRelation="and"><TargetImage name="technique_id=T1003,technique_name=Credential Dumping"condition="is">C:\Windows\system32\lsass.exe</TargetImage><GrantedAccess>0x1FFFFF</GrantedAccess></Rule><Rule groupRelation="and"><TargetImage name="technique_id=T1003,technique_name=Credential Dumping"condition="is">C:\Windows\system32\lsass.exe</TargetImage><GrantedAccess>0x1F1FFF</GrantedAccess></Rule><Rule groupRelation="and"><TargetImage name="technique_id=T1003,technique_name=Credential Dumping"condition="is">C:\Windows\system32\lsass.exe</TargetImage><GrantedAccess>0x1010</GrantedAccess></Rule><Rule groupRelation="and"><TargetImage name="technique_id=T1003,technique_name=Credential Dumping"condition="is">C:\Windows\system32\lsass.exe</TargetImage><GrantedAccess>0x143A</GrantedAccess></Rule><!-- Detect process hollowing to LSASS--><Rule groupRelation="and"><TargetImage name="technique_id=T1003,technique_name=Credential Dumping"condition="is">C:\Windows\system32\lsass.exe</TargetImage><GrantedAccess>0x0800</GrantedAccess></Rule><Rule groupRelation="and"><TargetImage name="technique_id=T1003,technique_name=Credential Dumping"- 229 -

condition="is">C:\Windows\system32\lsass.exe</TargetImage><GrantedAccess>0x800</GrantedAccess></Rule><!-- Detect process process injection to LSASS--><Rule groupRelation="and"><TargetImage name="technique_id=T1055,technique_name=Process Injection"
condition="is">C:\Windows\system32\lsass.exe</TargetImage><GrantedAccess>0x0820</GrantedAccess></Rule><Rule groupRelation="and"><TargetImage name="technique_id=T1055,technique_name=Process Injection"
condition="is">C:\Windows\system32\lsass.exe</TargetImage><GrantedAccess>0x820</GrantedAccess></Rule></ProcessAccess></RuleGroup><!--SYSMON EVENT ID 11 : FILE CREATED [FileCreate]--><RuleGroup name="" groupRelation="or"><FileCreate onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></FileCreate></RuleGroup><!--SYSMON EVENT ID 12 & 13 & 14 : REGISTRY MODIFICATION [RegistryEvent]--><RuleGroup name="" groupRelation="or"><RegistryEvent onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></RegistryEvent></RuleGroup><!--SYSMON EVENT ID 15 : ALTERNATE DATA STREAM CREATED [FileCreateStreamHash]--><RuleGroup name="" groupRelation="or"><FileCreateStreamHash onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></FileCreateStreamHash></RuleGroup><!--SYSMON EVENT ID 16 : SYSMON CONFIGURATION CHANGE--><!--Cannot be filtered.--><!--SYSMON EVENT ID 17 & 18 : PIPE CREATED / PIPE CONNECTED [PipeEvent]--><RuleGroup name="" groupRelation="or"><PipeEvent onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></PipeEvent></RuleGroup><!--SYSMON EVENT ID 19 & 20 & 21 : WMI EVENT MONITORING [WmiEvent]--><RuleGroup name="" groupRelation="or"><WmiEvent onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></WmiEvent></RuleGroup><!--SYSMON EVENT ID 22 : DNS QUERY [DnsQuery]--><RuleGroup name="" groupRelation="or">- 230 -

<DnsQuery onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></DnsQuery></RuleGroup><!--SYSMON EVENT ID 23 : FILE DELETED [FileDelete]--><RuleGroup name="" groupRelation="or"><FileDelete onmatch="include"><!--NOTE: Using "include" with no rules means nothing in this section will be logged--></FileDelete></RuleGroup></EventFiltering></Sysmon>

攻撃 インジケーターのアンインスト ール
必 要 なロール: ローカルマシンの管 理者

攻撃 インジケーター (IoA) モジュールをアンインスト ールするには、Tenable Identity Exposure クリーニングと呼ばれる新 しいグループポリシーオブジェクト (GPO) を作 成するコマンドを実 行します。
アンインスト ールプロセスはこの新しい GPO を使 用して、デフォルト で、以 前インスト ールされた GPO とそのSYSVOL ファイル、レジスト リ設 定 、詳 細 なロギングポリシー、WMI フィルターを消去 します。
注 意 : 初 期 GPO の名 前を変更 した場 合は、変更 した名前をアンインスト ーラーに渡して、アンインスト ールする
GPO を認識 させる必 要があります。新しい GPO 名を渡すには、パラメーター -GpoDisplayName を使 用 します。

IoA モジュールをアンインスト ールするには
1. コマンドラインインターフェースで、次 のコマンドを実行して IoA モジュールをアンインスト ールします。
Register-TenableIOA.ps1 -Uninstall

2. この新しい GPO をドメイン全体 に複製します。スクリプト は、レプリケーションが完了 するまでに 4 時間の遅延 を強 制します。
3. 次のコマンドを実 行して、クリーニング GPO を削除します。
Remove-GPO -Guid <GUID> -Domain "<DOMAIN>"- 231 -

4. オプション: 次のコマンドを実行 して、この GPO が存在 しないことを確 認します。
(Get-ADDomainController -Filter *).Name | Foreach-Object {Get-GPO -Name "Tenable.ad cleaning"}| Select Displayname| measure

SYSVOL からの期 限切れの GPO フォルダーの手 動 削除
場合 によっては、IoA GPO を再 インスト ールすると、Microsoft の機能 によって古いフォルダーが SYSVOL
ディレクト リに残 ることがあります。ディレクト リリスナーでこれらの期 限切れのフォルダーが IoA フォルダーとして認 識 されると、検出 が失 敗 する可 能 性 があります。
次の手 順を実 行して期 限 切れの IoA GPO フォルダーを確 実に削除 し、再 インスト ール中の検出 の問題を回避 します。
期 限 切 れの IoA GPO フォルダーを削 除 するには
1. 最新 の IoA GPO GUID を特定 します。最後 にインスト ールされた IoA GPO の GUID (グローバル一 意
識別 子 ) を特定 します。
2. ログ (C:\Tenable\Tenable.ad\DirectoryListener\logs ディレクト リにある tenable_
Ceti.log) を確 認して、IoA フォルダーとして認識されるフォルダーを特 定します。
3. 最新 の IoA GPO GUID と一 致 しない期限 切れの IoA フォルダーを SYSVOL ディレクト リから手動 で削除 します。
4. tenable_Ceti サービスを再 起 動 します。
5. ディレクト リリスナーが最 新 の GUID のある正 しい IoA フォルダーを認識 するまで、手 順 2 ～ 4 を繰り返します。

攻撃 インジケーターのト ラブルシューティング- 232 -

l

監査 ポリシーの詳 細設 定の優 先順 位

lアンチウイルス検 出lTenable Identity Exposure ログファイルlイベント ログリスナーの検 証l

DFS レプリケーションの問 題 の緩 和

アンチウイルス検出
Tenable と Microsoft は、ドメインコント ローラー (または中央管 理 コンソールを備えたその他 のツール) に、
アンチウイルス、エンドポイント 保護 プラット フォーム (EPP)、エンドポイント 検 知 ・対 応 (EDR) ソフト ウェアを
インスト ールすることを推 奨していません。インスト ールした場合 は、ドメインコント ローラーの攻 撃 インジ
ケーター (IoA) イベント の収 集に必要 なアイテムを、アンチウイルス/EPP/EDR が検出 し、ブロックまたは削除してしまうこともあります。
Tenable Identity Exposure の攻 撃 インジケーターのデプロイメント スクリプト には、悪質 なコードが含 まれておらず、難 読 化もされていません。ただし、PowerShell と WMI の使 用 および実装のエージェント レスの性質 を考 慮 すると、時 折の検出 は異 常ではありません。
次のような問 題が発 生 した場合
lインスト ール中のエラーメッセージl

検出 における誤 検 出または検出 漏れ

インスト ールスクリプト のアンチウイルス検 出 のト ラブルシューティングを行 うには
1. アンチウイルス/EPP/EDR セキュリティログをレビューして、Tenable Identity Exposure コンポーネントの検 出、ブロック、削 除がないかをチェックします。アンチウイルス/EPP/EDRは、以 下のコンポーネン
ト に影 響 を与 える可 能 性 があります。
lドメインコント ローラーに適 用 された Tenable Identity Exposure GPO の
ScheduledTasks.xml ファイルlPowerShell.exe を起 動 する、ドメインコント ローラーの Tenable Identity Exposure スケジュー
ルタスク- 233 -

l

ドメインコント ローラーで起 動 される Tenable Identity Exposure RegisterTenableADEventsListener.exe プロセス

2. 影響 を受けるコンポーネント のセキュリティ例 外 をツールで追加 します。
l

特 に、Symantec Endpoint Protection は IoA インスト ールプロセス中にCL.Downloader!gen27 の検 出を引 き起 こすことが知られています。この特 定の既 知 のリスクを例外 ポリシーに追加 できます。

l

タスクスケジューラを設定 したら、PowerShell を実行 して RegisterTenableADEventsListener.exe プロセスを開始します。アンチウイルス/EPP/EDR ソフト
ウェアがこの PowerShell スクリプト を妨 げ、攻 撃インジケーターの適 切な実 行を妨 げる可 能性 があります。このプロセスを詳細に追 跡し、すべての監視対 象ドメインコント ローラーで一度だけ実行 されるようにしてください。

アンチウイルス/EPP/EDR のファイルパス除外 の例
Register-TenableADEventsListener.exe process"\\"domain"\sysvol\"domain"\Policies\{"GUID_Tenable.ad}\Machine\IOA\RegisterTenableADEventsListener.exe"

ScheduledTasks.xml file
C:\Users\<User Name>\AppData\Local\Temp\4\Tenable.ad\{GUID}\DomainSysvol\GPO\Machine\Preferences\ScheduledTasks\ScheduledTasks.xml
C:\Windows\[SYSVOL]\POLICIES\{[GUID]}\Machine\Preferences\ScheduledTasks\ScheduledTasks.xml\\[DOMAIN.FQDN]\[SYSVOL]\POLICIES\{[GUID]}\Machine\Preferences\ScheduledTasks\ScheduledTasks.xml

監査 ポリシーの詳細 設 定の優先 順位
必要 なイベント ログを有効 にするために Tenable Identity Exposure が作成 したグループポリシーオブジェ
クト (GPO) は、強制 モードを有効 にした組 織単位 (OU) ドメインコント ローラーにリンクされています。
これにより、GPO の優 先度は高くなりますが、より高いレベル (ドメインやサイト など) で設定 された強制GPO がそれより優 先されます。
監査 ポリシーの詳 細設 定 の設 定を定 義する優先度 の高 い GPO が Tenable Identity Exposure のニーズと競合 する場合 、その GPO が優 先され、Tenable Identity Exposure が攻 撃検出 に必要とするイベント
は逸 失 してしまいます。

- 234 -Windows は GPO によって定 義された監 査ポリシーの詳 細設 定 をマージするため、異なる GPO では異 なる設定 が定 義 されている場合があります。
ただし、各 設 定 レベルでは、優 先 度 の高い GPO 定 義の値 のみが使 用 されます。たとえば、Tenable
Identity Exposure には、認証情 報の検証の監査 の設定 の成功 値と失 敗値が必要 です。ただし、より高い優 先度 の GPO が認 証 情報 の検 証 の監査の成功のみを定 義する場 合、Windows は成 功イベントのみを収集 し、Tenable Identity Exposure が必要とする失敗 イベント は逸失 してしまいます。
GPO の優 先 度 をチェックするには、以 下 の手 順 を実 行 します。
1. コマンドラインインターフェースで、ドメインコント ローラーに関 する次のコマンドを実行 します。
このコマンドは、すべての GPO と優 先度を考 慮した後、有効 な監 査ポリシーの詳 細設 定 を出力 します。
auditpol.exe /get /category:*

2. 出力 を Tenable Identity Exposure の詳細な監 査ポリシー要件 と比較します。Tenable Identity
Exposure が必 要 とする設 定 ごとに、有効 なポリシーもその設 定をカバーしていることを確認 してください。
lTenable Identity Exposure が「成 功 」または「失 敗 」を必 要 とし、設 定が「成 功および失 敗 」
である場合 など、有 効なポリシーの範囲 がより広い場合 は問 題ありません。

l

有 効なポリシーが不十 分 な場合 、より高 い優先 度を持 つ GPO が競合 する設 定 を定 義 することになります。

GPO の優 先 順 位 を修 正 するには
1. 「強 制 」モードでより高いレベル (ドメインまたはサイト ) にリンクされており、監 査 ポリシーの詳 細設 定を定 義 している GPO を探します。
2. コマンドラインインターフェースで、ドメインコント ローラーに対 して次のコマンドを実行し、優先 する
GPO をピンポイント で特 定します。
gpresult /scope:computer /h gpo.html- 235 -

3. Tenable Identity Exposure の最 小 要件 を満たすように、GPO の対応 する監査ポリシーの詳 細設
定の設定 を変 更します。例lTenable Identity Exposure が「成 功 」を必 要とし、より高い優 先 度の GPO が「失 敗 」を定義する場合 、設 定を「成 功 および失敗 」に変更します。

lTenable Identity Exposure が「成 功および失敗 」を必 要 とし、より高い優先 度 の GPO が「成功 」を定 義 する場 合、設 定を「成 功および失敗 」に変更します。

4. 設定 を変更した後 、更新 済 みの GPO が適 用 されるのを待つか、gpupdate コマンドで強 制的 に適用することができます。
5. 「GPO の優先度 をチェックするには、以下の手順を実行します。」の手順を繰り返して、新しい有効なポリシーをチェックします。

イベント ログリスナーの検証
攻撃 インジケーターのインスト ールスクリプト は、マシンのメモリのイベント ウォッチャーと Windows
Management Instrumentation (WMI) プロデューサー/コンシューマーを設定します。WMI は Windows コン
ポーネント の一 種で、ローカルやリモート のコンピューターシステムのステータス情 報を知 らせます。

正しい WMI 登 録があるかをチェックするにはlPowerShell で次のコマンドを実 行 します。
Get-WmiObject -Class '__FilterToConsumerBinding' -Namespace 'root\subscription' -Filter "Filter= ""__EventFilter.name='AlsidForAD-Launcher'"""l

少なくとも 1 つのコンシューマーが存在する場 合、次のようなタイプの出力が得 られます。
> Get-WmiObject -Class '__FilterToConsumerBinding' -Namespace 'root\subscription' -Filter"Filter = ""__EventFilter.name='AlsidForAD-Launcher'"""__GENUS: 2__CLASS: __FilterToConsumerBinding__SUPERCLASS: __IndicationRelated__DYNASTY: __SystemClass__RELPATH: __FilterToConsumerBinding.Consumer="ActiveScriptEventConsumer.Name=\"AlsidForAD-Launcher\"",Filter="__EventFilter.Name=\"AlsidForAD-Launcher\""__PROPERTY_COUNT: 7__DERIVATION: {__IndicationRelated, __SystemClass}__SERVER: DC-999- 236 -

__NAMESPACE: ROOT\subscription__PATH: \\DC-999\ROOT\subscription:__FilterToConsumerBinding.Consumer="ActiveScriptEventConsumer.Name=\"AlsidForAD-Launcher\"",Filter="__EventFilter.Name=\"AlsidForADLauncher\""
Consumer: ActiveScriptEventConsumer.Name="AlsidForAD-Launcher"CreatorSID: {1, 1, 0, 0...}
DeliverSynchronously: FalseDeliveryQoS:
Filter
: __EventFilter.Name="AlsidForAD-Launcher"
MaintainSecurityContext : False
SlowDownProviders: False
PSComputerName: DC-999o

登 録されている WMI コンシューマーがない場 合、コマンドは何も返しません。

o

これは、WMI の DC でプロセスを実行 するための前 提条件です。

イベント ログリスナーを取 得 するには (バージョン 3.29 以 上 の場 合 )lPowerShell で次のコマンドを実 行 します。
gcim win32_process | Where-Object { $_.CommandLine -match "RegisterTenableADEventsListener.exe"}l

有効 な結 果の例
PS C:\IOAInstall> gcim win32_process | Where-Object { $_.CommandLine -match "RegisterTenableADEventsListener.exe"}
ProcessId Name
5748

HandleCount WorkingSetSize VirtualSize

Register-TenableADEventsListener.exe 1524096000

4384534528

WMI プロセスを取 得 するには (バージョン 3.19 以 前 の場 合 )lPowerShell で次のコマンドを実 行 します。
gcim win32_process | Where-Object { $_.CommandLine -match "TenableADWMIListener"}l

有効 な結 果の例

- 237 -

> gcim win32_process | Where-Object { $_.CommandLine -match "TenableADWMIListener"}
ProcessId Name
HandleCount WorkingSetSize VirtualSize--------- -------------- -------------- ----------952
powershell.exe 502
26513408
2199678185472

Tenable Identity Exposure ログファイル
GPO および WMI コンシューマーを検 証 した後も、まだ攻 撃インジケーターアラート が表示 されない場 合
は、Tenable Identity Exposure の内部 ログを確 認できます。
Ceti ログl

CETI ログで次 のエラーメッセージがないかチェックします。
[2022-02-22 22:23:27:570 UTC WARNING] Some domain controllers are not generating IOA
events: 'CORP-DC'. {SourceContext="DirectoryEventToCetiAdObjectMessageMapper",
DirectoryId=2, Dns="corp.bank.com", Host="10.10.20.10", Source=SYSVOL, Version="3.11.5"}l

このメッセージがある場合 は、GPO 設 定 と WMI コンシューマーが、上 記のエラーメッセージにリスト されているドメインコント ローラー (DC) で実 行 されていることを確認 してください。

監査設定
l「Tenable Identity Exposure には監 査ポリシーが必要です...」に類似したエラーが表示された場
合、既 存の GPO をチェックして、必 要な監査 ポリシーを「監 査 しない」に設 定 していないことを確認してください。

l「RSOP ...」というエラーが表 示 される場合- 238 -

l

監査 ポリシーをチェックし、Sysvol フォルダーのト ランスクリプト ファイルを参照して、インスト ール中に問題 が発 生したかどうかを確 認 します。

Cygni ログ
Cygni は攻 撃をログに記録し、Tenable Identity Exposure がアラート を生 成するために呼び出した特 定の .gz ファイルを一覧 表示 します。
I-DCSync
2022-03-15 11:39:31[2022-03-15 15:39:30:759 UTC INFORMATION] Anomaly 'ControlAccess' has been raised for Indicator 'IDCSync' and Event '110052' {SourceContext="AttackEngine", CodeName="I-DCSync", ProfileId=4,
AdObjectId="5:\\\\alsid.corp\\sysvol\\alsid.corp\\Policies\\{08D6D98F-7455-464B-BBEC23DE4BDF856C}\\Machine\\IOA\\dc-vm-10.0.17763-16_.gz", Event.Id=0, Version="3.16.0"}

I-GoldenTicket- 239 -

2022-03-15 11:40:31[2022-03-15 15:40:31:490 UTC INFORMATION] Anomaly 'Logon' has been raised for Indicator 'IGoldenTicket' and Event '110061' {SourceContext="AttackEngine", CodeName="I-GoldenTicket",
ProfileId=3, AdObjectId="5:\\\\alsid.corp\\sysvol\\alsid.corp\\Policies\\{08D6D98F-7455-464B-BBEC23DE4BDF856C}\\Machine\\IOA\\dc-vm-10.0.17763-16_.gz", Event.Id=0, Version="3.16.0"}

I-ProcessInjectionLsass
022-03-15 12:47:09[2022-03-15 16:47:09:811 UTC INFORMATION] Anomaly 'ProcessAccess' has been raised for Indicator 'IProcessInjectionLsass' and Event '115948' {SourceContext="AttackEngine", CodeName="IProcessInjectionLsass", ProfileId=1, AdObjectId="5:\\\\alsid.corp\\sysvol\\alsid.corp\\Policies\\{08D6D98F-7455-464B-BBEC-23DE4BDF856C}\\Machine\\IOA\\dc-vm-10.0.17763-16_.gz", Event.Id=0,
Version="3.16.0"}

I-DCShadow
2022-03-15 11:30:30[2022-03-15 15:30:30:657 UTC INFORMATION] Anomaly 'ControlAccess' has been raised for Indicator 'IDCShadow' and Event '109948' {SourceContext="AttackEngine", CodeName="I-DCShadow", ProfileId=4,
AdObjectId="5:\\\\alsid.corp\\sysvol\\alsid.corp\\Policies\\{08D6D98F-7455-464B-BBEC23DE4BDF856C}\\Machine\\IOA\\dc-vm-10.0.17763-16_.gz", Event.Id=0, Version="3.16.0"}

I-BruteForce
2022-03-15 08:02:11[2022-03-15 12:02:11:231 UTC INFORMATION] Anomaly 'An account failed to log on' has been raised for
Indicator 'I-BruteForce' and Event '109082' {SourceContext="AttackEngine", CodeName="I-BruteForce",
ProfileId=6, AdObjectId="3:\\\\alsid.corp\\sysvol\\alsid.corp\\Policies\\{765297AD-3BAF-4820-B7F5AD90DEEE941E}\\Machine\\IOA\\dc-vm-10.0.17763-8_.gz", Event.Id=0, Version="3.16.0"}

I-PasswordSpraying
2022-03-15 12:39:43[2022-03-15 16:39:43:793 UTC INFORMATION] Anomaly 'An account failed to log on.' has been raised for
Indicator 'I-PasswordSpraying' and Event '115067' {SourceContext="AttackEngine", CodeName="IPasswordSpraying", ProfileId=4, AdObjectId="5:\\\\alsid.corp\\sysvol\\alsid.corp\\Policies\\{08D6D98F-7455-464B-BBEC-23DE4BDF856C}\\Machine\\IOA\\dc-vm-10.0.17763-16_.gz", Event.Id=0,
Version="3.16.0"}

I-PetitPotam- 240 -

2022-03-15 12:43:02[2022-03-15 16:43:02:737 UTC INFORMATION] Anomaly 'PetitPotamEFSError' has been raised for Indicator'I-PetitPotam' and Event '115844' {SourceContext="AttackEngine", CodeName="I-PetitPotam",ProfileId=4, AdObjectId="5:\\\\alsid.corp\\sysvol\\alsid.corp\\Policies\\{08D6D98F-7455-464B-BBEC23DE4BDF856C}\\Machine\\IOA\\dc-vm-10.0.17763-16_.gz", Event.Id=0, Version="3.16.0"}

I-ReconAdminsEnum
022-03-15 12:55:31[2022-03-15 16:55:31:638 UTC INFORMATION] Anomaly 'LocalAdmin enumeration (BloodHound/SharpHound).
Version 2016+' has been raised for Indicator 'I-ReconAdminsEnum' and Event '116085'{SourceContext="AttackEngine", CodeName="I-ReconAdminsEnum", ProfileId=4,
AdObjectId="5:\\\\alsid.corp\\sysvol\\alsid.corp\\Policies\\{08D6D98F-7455-464B-BBEC23DE4BDF856C}\\Machine\\IOA\\dc-vm-10.0.17763-16_.gz", Event.Id=0, Version="3.16.0"}

I-Kerberoasting022-03-15 12:51:30[2022-03-15 16:51:30:236 UTC INFORMATION] Anomaly 'Kerberos TGS requested on honey account' has beenraised for Indicator 'I-Kerberoasting' and Event '116013' {SourceContext="AttackEngine", CodeName="IKerberoasting", ProfileId=3, AdObjectId="5:\\\\alsid.corp\\sysvol\\alsid.corp\\Policies\\{08D6D98F7455-464B-BBEC-23DE4BDF856C}\\Machine\\IOA\\dc-vm-10.0.17763-16_.gz", Event.Id=0, Version="3.16.0"}

I-NtdsExtraction2022-03-15 12:03:51[2022-03-15 16:03:50:949 UTC INFORMATION] Anomaly 'Shadow copy created on 2012 and above' has beenraised for Indicator 'I-NtdsExtraction' and Event '111168' {SourceContext="AttackEngine",
CodeName="I-NtdsExtraction", ProfileId=4,
AdObjectId="5:\\\\alsid.corp\\sysvol\\alsid.corp\\Policies\\{08D6D98F-7455-464B-BBEC23DE4BDF856C}\\Machine\\IOA\\dc-vm-10.0.17763-16_.gz", Event.Id=0, Version="3.16.0"}

Cephei ログ
次のログエント リは、Cephei が攻撃 を書き込んでいることを検証 しています。重 要な値 は、攻撃 のタイプを指定 する attackTypeID です。これを使 用 して、Cygni エント リとの関連 付けを行うことができます。
I-DCSync attackTypeID:1
2022-03-15 11:39:52
2022-03-15T15:39:52.037023041Z stdout F [2022-03-15 15:39:52:035 UTC INFORMATION] [Equuleus] POST

- 241 -

http://equuleus:3004/attacks/write responded 204 in 32.16 ms : Request Body={"timestamp":"1647358722449","directoryId":5,"profileId":4,"attackTypeId":1,"count":1}{SourceContext="Equuleus", Version="3.16.0"}

I-GoldenTicket attackTypeID:2
2022-03-15 11:40:52
2022-03-15T15:40:52.084931986Z stdout F [2022-03-15 15:40:52:084 UTC INFORMATION] [Equuleus] POST
http://equuleus:3004/attacks/write responded 204 in 24.6607 ms : Request Body={"timestamp":"1647358773608","directoryId":5,"profileId":4,"attackTypeId":2,"count":1}{SourceContext="Equuleus", Version="3.16.0"}

I-ProcessInjectionLsass attackTypeID:3
2022-03-15 12:47:52
2022-03-15T16:47:52.29927328Z stdout F [2022-03-15 16:47:52:298 UTC INFORMATION] [Equuleus] POST
http://equuleus:3004/attacks/write responded 204 in 35.7532 ms : Request Body={"timestamp":"1647362812784","directoryId":5,"profileId":1,"attackTypeId":3,"count":2}{SourceContext="Equuleus", Version="3.16.0"}

I-DCShadow attackTypeID:42022-03-15 11:30:52
2022-03-15T15:30:51.949399295Z stdout F [2022-03-15 15:30:51:944 UTC INFORMATION] [Equuleus] POST
http://equuleus:3004/attacks/write responded 204 in 24.2605 ms : Request Body={"timestamp":"1647358182800","directoryId":5,"profileId":3,"attackTypeId":4,"count":1}{SourceContext="Equuleus", Version="3.16.0"}

I-BruteForce attackTypeID:5
2022-03-15 08:02:54
2022-03-15T12:02:54.698814039Z stdout F [2022-03-15 12:02:54:698 UTC INFORMATION] [Equuleus] POST
http://equuleus:3004/attacks/write responded 204 in 30.7623 ms : Request Body={"timestamp":"1647345728023","directoryId":3,"profileId":6,"attackTypeId":5,"count":1}{SourceContext="Equuleus", Version="3.16.0"}

I-PasswordSpraying attackTypeID:6- 242 -

2022-03-15 12:39:52
2022-03-15T16:39:52.187309945Z stdout F [2022-03-15 16:39:52:186 UTC INFORMATION] [Equuleus] POST
http://equuleus:3004/attacks/write responded 204 in 21.9422 ms : Request Body={"timestamp":"1647362356837","directoryId":5,"profileId":4,"attackTypeId":6,"count":1}{SourceContext="Equuleus", Version="3.16.0"}

I-PetitPotam attackTypeID:7022-03-15 12:43:52
2022-03-15T16:43:52.226125918Z stdout F [2022-03-15 16:43:52:223 UTC INFORMATION] [Equuleus] POST
http://equuleus:3004/attacks/write responded 204 in 15.8402 ms : Request Body={"timestamp":"1647362570534","directoryId":5,"profileId":1,"attackTypeId":7,"count":1}{SourceContext="Equuleus", Version="3.16.0"}

I-ReconAdminsEnum attackTypeID:82022-03-15 12:55:52
2022-03-15T16:55:52.399889635Z stdout F [2022-03-15 16:55:52:399 UTC INFORMATION] [Equuleus] POST
http://equuleus:3004/attacks/write responded 204 in 40.6632 ms : Request Body={"timestamp":"1647363305295","directoryId":5,"profileId":4,"attackTypeId":8,"count":1}{SourceContext="Equuleus", Version="3.16.0"}

I-Kerberoasting attackTypeID:10
2022-03-15 12:51:52
2022-03-15T16:51:52.352432644Z stdout F [2022-03-15 16:51:52:351 UTC INFORMATION] [Equuleus] POST
http://equuleus:3004/attacks/write responded 204 in 21.0547 ms : Request Body={"timestamp":"1647363026345","directoryId":5,"profileId":4,"attackTypeId":10,"count":1}{SourceContext="Equuleus", Version="3.16.0"}

I-NtdsExtraction attackTypeID:11
022-03-15 12:03:52
2022-03-15T16:03:52.137547488Z stdout F [2022-03-15 16:03:52:137 UTC INFORMATION] [Equuleus] POST
http://equuleus:3004/attacks/write responded 204 in 13.0304 ms : Request Body={"timestamp":"1647360224606","directoryId":5,"profileId":4,"attackTypeId":11,"count":1}{SourceContext="Equuleus", Version="3.16.0"}

Electra ログ
次のエント リが表 示されます。

- 243 -

[2022-03-15T14:04:39.151Z] INFO: server/4016 on WIN-UQRSCEN0CI3: Message received from
MQ: attack-alert (namespace=electra)[2022-03-15T14:04:39.151Z] INFO: server/4016 on WIN-UQRSCEN0CI3: Message received from MQ: attackalert (namespace=electra)[2022-03-15T14:04:39.168Z] INFO: server/4016 on WIN-UQRSCEN0CI3: Sending ws message to listeners.
alertIoA (namespace=electra)

Eridanis ログ
次のエント リが表 示されます。
022-03-15T14:04:39.150Z] INFO: server/4988 on WIN-UQRSCEN0CI3: KAPTEYN get /attack-alerts/2010 200
122 - 7ms (namespace=hapi)[2022-03-15T14:04:39.165Z] INFO: server/4988 on WIN-UQRSCEN0CI3: notifyAttackAndAttackAlertCreation
success { attackId: 2011 } (namespace=eridanis)[2022-03-15T14:04:39.170Z] INFO: server/4988 on WIN-UQRSCEN0CI3: KAPTEYN get /attack-alerts/2011 200
122 - 6ms (namespace=hapi)

DFS レプリケーションの問題 の緩和
攻撃 インジケーターのデプロイメント スクリプト の追加パラメーター -EventLogsFileWriteFrequency X
を使用 すると、分 散 ファイルシステム (DFS) レプリケーションの遅延 または破 損に関する潜在 的 な問 題 に対処 できます。
このパラメーターはオプションであり、Tenable では、DFS レプリケーションの問 題が発 生している場 合や
IoA スクリプト のデプロイ以 降に問 題に気 づいた場 合にのみ使 用することを推 奨しています。通 常 の状 況
では、パラメーターはデフォルト 値 のままであるため、スクリプト を実 行する際にコマンドラインにパラメーターを含める必要 はありません。

パラメーターを変 更 するタイミング
パラメーター -EventLogsFileWriteFrequency X の [X] 値は、Tenable Identity Exposureリスナーが
非 PDCe ドメインコント ローラー (DC) のイベント ログファイルを生 成する頻 度です。Tenable Identity
Exposure リスナーが使用 するデフォルト の推奨値は 15 秒です。ただし、カスタマイズされた値 は PDCe DCに適 用 されません。攻 撃検 出機 能 が完全 に動作 するように、デフォルト の 15 秒 間隔のままになります。
Tenable では、インフラが DFS レプリケーションの問題 に直面 している場合 やその問 題の影響を受 けやす
い場 合 にのみ、このパラメーターを使 用して値をデフォルト の 15 秒 から最 大 300 秒 (5 分) に増やすことを推奨 しています。

推奨事 項- 244 -

イベント ログファイルの書き込み頻 度 を引き上げると、ファイルが生成 される頻度 が減り、攻撃 検 出 の遅延が増大 することに注意 してください (例 : ファイルが非 PDCe DC でデフォルト の 15 秒 ではなく 30 秒 ごとに生成 される場合 )。また、遅 延 が大 きくなると、生成されたイベント ログファイルのサイズが 技 術的 な変 更と潜在 的 な影 響 で定義 されている設定 された制 限内 で大きくなります。そのため、このパラメーターは緩和戦 略 としてのみ使 用し、DFS レプリケーションの問 題を適切 に調査することの代 替方 法としては使 用 しないでください。

パラメーターを適 用 するには
1. 手順 で説 明されているように、IoA 用のドメインを設定 します。詳細は、攻 撃インジケーターのインス
ト ール を参 照してください。

2. 管理 者 権 限で PowerShell ターミナルを開きます。
3. スクリプト を実行 して、IoA のドメインコント ローラーを設定し、-EventLogsFileWriteFrequency
X パラメーターを追加します。この [X] は、イベント ログファイルに対して設 定される頻度 です。

認証
Tenable Identity Exposure ユーザーを認 証する方法は、次 のようにいくつかあります。

- 245 -

lTenable Identity Exposure アカウント を使用 した認 証

lLDAP を使 用した認 証

lSAML を使用 した認 証

Tenable One を使 用 した認 証
必 要 なライセンス: Tenable One
注 意 : Tenable One ライセンスがある場 合、すべての認証設 定 は Tenable Vulnerability Management で管 理 します。詳 細 については、Tenable Vulnerability Management ユーザーガイド のアクセス制御 を参 照してください。

Tenable One を使用 した認 証 を設定 するには
1. Tenable Identity Exposure で、[システム] > [設 定 ] をクリックします。
設定 ペインが表 示 されます。
2. [認 証 ] セクションにある [Tenable One] をクリックします。
3. [デフォルト のプロファイル] ドロップダウンボックスで、ユーザーのプロファイルを選択します。
4. [デフォルト のロール] ボックスで、ユーザーのロールを選 択 します。
ヒント : これまで Tenable Identity Exposure に接続 したことがないものの Tenable One で認 証を受 けているユーザーは、Tenable Identity Exposure にログインすると自 動的にアカウント を入 手します。デフォルト では、デフォルト のプロファイルとロールがユーザーに適用されます。例 外 : Tenable Vulnerability
Management で「管 理者 」のロールを持つユーザーは、Tenable Identity Exposure の「グローバル管理 者 」のロールも付 与されます。

5. [Save] をクリックします。

Tenable Identity Exposure アカウント を使 用した認 証
最もシンプルな認 証 方法は、ユーザー名 とパスワードを必 要 とする Tenable Identity Exposure アカウント
を使用 するものです。
この認 証 方 法 にはロックアウト ポリシー、つまり認 証機構 に対する総当 たり攻 撃を緩和 するよう設 計 されたセキュリティ制 御が提 供されます。ユーザーアカウント へのログイン失敗 が何 度も繰 り返 されると、アカウ
ント はロックされます。アカウント がロックされると、ユーザーは Tenable Identity Exposure API にアクセスすることができません。

- 246 -

Tenable Identity Exposure アカウント を使 用した認 証を設定 するには
1. Tenable Identity Exposure で、[システム] > [設 定 ] をクリックします。
設定 ペインが表 示 されます。
2. [認 証 ] セクションにある [Tenable Identity Exposure] をクリックします。
3. [デフォルト のプロファイル] ドロップダウンボックスで、ユーザーのプロファイルを選択します。
4. [デフォルト のロール] ボックスで、ユーザーのロールを選 択 します。

- 247 -

5. ロックアウト ポリシー設 定を行 います。
設定

説明

有効

l

デフォル
ト値
[有 効 ] — ログインの試 行に一定の回数失敗 すると、Tenable

有効

Identity Exposure はアカウント をブロックします。
l[無 効 ] — ログインの試 行に何回失敗 しても、Tenable Identity
Exposure はアカウント をロックしません。

ロックア

アカウント でのログインの試行 が Tenable Identity Exposure によってロッ

ウト 期

クされる期間 です。この期 間が経過 した後、Tenable Identity

間Exposure はアカウント のロックを自動的 に解除 し、ユーザーは再 びログ

300 秒

インの試 行が可 能になります。
ロックアウト 期 間 を設 定するには、次を実 行します。
1. スライダーをクリックして、ロックアウト 期間を設 定します。
2. 設定 した期 間後 にアカウント のロックを自動 的に解除したくない
場合 は、[無 期 限 ] を選 択 します。
注 意 : 「グローバル管理者 」グループ内のすべてのアカウント がロックされた
場合、Tenable Identity Exposure は 10 秒後にデフォルト の管理 アカウントをロック解 除 します。

ロックア

Tenable Identity Exposure がアカウント をロックするまでに許容 するログ

ウト ま

イン試行 失 敗の回 数 です。

3

での試
行回
数
猶予

Tenable Identity Exposure が失敗 したログイン試行 をカウント する期期間間です。この期 間内 にログイン試行 に一定 の回 数 失敗すると、Tenable Identity Exposure はアカウント をロックします。
猶予 期間 を設定 するには、次 を実行 します。

- 248 -

900 秒

1. スライダーをクリックして、期間 を設 定します。
2. Tenable Identity Exposure がアカウント をロックするまでに失敗 したログインの試 行回数 をカウント する期 間 を設定 したくない場 合は、[無 期限 ] を選択します。
6. [Save] をクリックします。
ロックアウト ポリシーを無 効 にするには
1. Tenable Identity Exposure で、[システム] > [設 定 ] をクリックします。
設定 ペインが表 示 されます。
2. [有 効 ] ト グルをクリックして、ロックアウト ポリシーをオフにします。
注 意 : ロックアウト ポリシーを無効にした場合 、ロックされていたユーザーアカウント が再接 続 できるようになります。

ロックされているアカウント の一 覧 を表 示 するにはlTenable Identity Exposure で、[アカウント ] > [ユーザーアカウント 管 理 ] に移 動します。
ユーザーの一覧 で、Tenable Identity Exposure はロックされたアカウント に赤い南京 錠のアイコン付
けて表 示 します。アカウント がロックされたユーザーには Tenable Identity Exposure から「認 証 の試行に失 敗 した回 数 が多 すぎるため、アカウント がブロックされています。管理 者に連 絡してください。」のメッセージが表示されます。

アカウント のロックを解 除 するにはアカウント のロックを解 除するには、ユーザーを編集 するアクセス許 可が必 要 です。

1. Tenable Identity Exposure で、[アカウント ] > [ユーザーアカウント 管 理 ] をクリックします。
[ユーザーアカウント 管 理]ペインが表 示されます。
2. ユーザーの一覧 で、ロックされたアカウント を見つけます。
3. 鉛筆 アイコンをクリックして、ロックされたユーザーアカウント を編 集 します。

- 249 -

ユーザーの情報 ペインが表示 されます。
4. [ロックアウト の削 除 ] ボタンをクリックします。
ロックアウト ポリシーを設 定 するアクセス許 可 をユーザーロールに付 与 するには
1. Tenable Identity Exposure で、[アカウント ] > [ロール管 理 ] をクリックします。
[ロール管 理 ] ペインが表 示 されます。
2. ロール名の横にある鉛筆 アイコンをクリックして、ロールを編集します。
[ロールの編 集 ] ペインが表 示されます。
3. [システム設 定 エンティティ] タブをクリックします。
4. [アクセス許 可 管 理 ] セクションで、[アカウント ロックアウト ポリシー] チェックボックスをオンにします。
5. ト グルをクリックして、[不 許 可 ] または [許 可 ]にします。
Tenable Identity Exposure がユーザーのアクセス許可を更 新したことを確 認するメッセージが表 示されます。
注 意 : 読み取 りのアクセス許可 しかないユーザーの場合、Tenable Identity Exposure はこのペインのロック
アウト ポリシー設定を無 効にします。

LDAP を使用した認 証
Tenable Identity Exposure のユーザーは、Lightweight Directory Access Protocol (LDAP) を使 用 して認証 できます。
LDAP 認 証 を有 効 にするには、以下 が必 要です。
lActive Directory にアクセスするためのユーザーとパスワードが事 前設定 されたサービスアカウントl

事前 設 定 された Active Directory グループ

LDAP 認 証 を設 定 した後、LDAP オプションがログインページのタブに表示されます。
LDAP 認 証 を設 定 するには

- 250 -

1. Tenable Identity Exposure で、[システム] > [設 定 ] をクリックします。
設定 ペインが表 示 されます。
2. [認 証 ] セクションで [LDAP] をクリックします。
3. [LDAP 認 証 の有 効 化 ] ト グルをクリックして有 効にします。
LDAP 情 報フォームが表示 されます。
4. 以下 の情 報を入力します。
o[LDAP サーバーのアドレス] ボックスに、ldap:// で始まりドメイン名とポート 番号で終
わる、LDAP サーバーの IP アドレスを入 力します。
注 意 : LDAPS サーバーを使用 する場合は、ldaps:// で始 まりドメイン名とポート 番号 で終わるアドレスを入力 してください。この手 順 を使用して、LDAPS の設定 を完 了してください。

o[LDAP サーバーをクエリするために使 用 されるサービスアカウント ] ボックスに、LDAP
サーバーへのアクセスに使用 する識別 名 (DN)、SamAccountName、
UserPrincipalName のいずれかを入力します。

o[サービスアカウント のパスワード] ボックスに、このサービスアカウント のパスワードを入力します。

o[LDAP 検 索 ベース]ボックスに、DC= または OU= で始まる LDAP ディレクト リを入力 します。Tenable Identity Exposure はこのディレクト リを使 用して、接続を試みるユーザーを
検 索します。これは、ルート ディレクト リまたは特定 の組織 単位 にすることができます。

o[LDAP 検 索 フィルター] ボックスに、Tenable Identity Exposure がユーザーにフィルターを掛 けるのに使用する属性 を入力 します。Active Directory の認証 の標準属 性は
sAMAccountname={{login}} です。login の値は、ユーザーが認 証時 に入力 する値 です。

5. [SASL バインディングの有 効 化 ] で、次 のいずれかを実 行 します。
oサービスアカウント に SamAccountName を使 用 している場 合は、[SASL バインディングの有効 化 ] ト グルをクリックして有 効にします。

- 251 -

o

サービスアカウント に識 別 名 か UserPrincipalName を使 用 している場 合は、[SASL バイン
ディングの有 効 化 ] を無 効のままにしておきます。

6. [デフォルト のプロファイルとロール] セクションで、[LDAP グループの追 加 ] をクリックして、認 証 を許 可するグループを指定 します。
LDAP グループ情 報フォームが表示 されます。
o[LDAP グループ名 ] ボックスに、グループの識 別名 を入 力します (例: CN=TAD_User、
OU=Groups、DC=Tenable、DC=ad)。

o[デフォルト のプロファイル] ドロップダウンボックスで、許 可 するグループのプロファイルを選択 します。

o[デフォルト のロール] ボックスで、許可するグループのロールを選択 します。

7. 必要 に応 じて、[+] をクリックし、新 しい許可 グループを追 加します。
8. [Save] をクリックします。

LDAPS のカスタムの信頼できる認 証局 (CA) の証 明書 を追 加するには
1. Tenable Identity Exposure で、[システム] をクリックします。
2. [設 定 ] タブをクリックして、設 定 ペインを表示 します。
3. [アプリケーションサービス] セクションで、[信 頼 できる認 証 局 ] をクリックします。
4. [追 加 の CA 証 明 書 ] ボックスに、会 社の信頼できるCA証明 書 を PEM エンコードして貼 り付けて、Tenable Identity Exposure が使用 できるようにします。
5. [Save] をクリックします。
LDAP 認 証 の問 題
設定 を完 了 して保 存 すると、ログインページに LDAP オプションが表示 されます。LDAP アカウント を使用
してログインすることで、設 定が有効 であることを確 認できます。

エラーメッセージ
ログイン後 、2 種 類 のエラーメッセージが表示 される可能性があります。

- 252 -

l

認証 プロセス中 にエラーが発 生 しました。もう一 度お試 しください。(An error has occurred during
the authentication process. Please try again.)o

この場合、構 成に問 題 があります。

o

完 了した構 成 を再 度確 認 してください。

oTenable Identity Exposure をホスティングしているサーバーが LDAP サーバーに到 達できるかどうかを確認 します。

lo

検 索に使 用されているアカウント が LDAP サーバーにバインドできることを確認 します。

o

詳 細については、アプリケーションログをご確認ください。

ログイン名 またはパスワードが正 しくありません。
oCAPS LOCK キーがオンになっていないことを確 認し、ログイン名 とパスワードを再 度入 力 してください。(Your login or password is incorrect. Verify that CAPS LOCK is not on and thenretype your tested login and password.)o

このエラーは、グループフィルター、検 索フィルター、検索 ベースフィールドのいずれかに問 題 がある場 合 に表 示される可能 性があります。

oグループフィルターを一 時的 に削除 して再 試行します。詳 細については、アプリケーションログ
をご確認 ください。

セキュリティプロファイルとロールの詳 細については、以下を参照してください。
lセキュリティプロファイルlユーザーロール

SAML を使 用した認 証
Tenable Identity Exposure ユーザーが Tenable Identity Exposure にログインするときに ID プロバイダーによるシングルサインオン (SSO) を使用 できるように、SAML 認 証を設 定 できます。

始める前に
l

Tenable Identity Exposure で使 用 するために SAML を設定 する方 法については、Tenable SAML
設定 クイックリファレンスガイドにある手順 を確 認 してください。

l

アイデンティティプロバイダー (IDP) の次のものがあることを確認 します。

- 253 -o

SAML v2 のみo「アサーション暗 号 化 」が有 効 になりました。

oTenable Identity Exposure ウェブポータルで Tenable Identity Exposure がアクセス権 を付 与するために使用 する IDP グループo

SAML サーバーの URLo-----BEGIN CERTIFICATE----- で始 まり -----END CERTIFICATE---- で終わる PEM
エンコード形式 で、SAML サーバー証 明 書に署 名した信頼 できる認証 局 (CA)SAML 認証 を設定するには:
1. Tenable Identity Exposure で、[システム] > [設 定 ] をクリックします。
設定 ペインが表 示 されます。
2. [認 証 ] セクションで [SAML シングルサインオン] をクリックします。
3. [SAML 認 証 の有 効 化 ] ト グルをクリックします。
SAML 情報 フォームが表 示 されます。

4. 以下 の情 報を入力します。

- 254 -o

[SAML サーバーの URL] ボックスに、Tenable Identity Exposure が接 続する必要 がある IDPの SAML サーバーの完 全 な URL を入 力します。

o[信 頼 された認 証 局 ] ボックスに、SAML サーバーの証明 書 に署名 した CA を貼 り付けます。

5. [Tenable Identity Exposure 証 明 書 ]ボックスで、[生 成 してダウンロード] をクリックします。これにより、新 しい自己 署名 証明 書 が生成 され、データベースの SAML 設 定が更 新され、ダウンロードする
新しい証 明書 が返されます。
警 告 : このボタンをクリックすると、SAML 設定が中断されます。これは、IDP が依然として以前 の証 明 書(存 在する場合) を使 用 しているのに、Tenable Identity Exposure は IDP が直 近に生成された証 明 書 ですぐに認 証 することを想定しているためです。新しい Tenable Identity Exposure 証明書 を生 成 する場 合は、新 しい証明 書を使用するように IDP を再設定する必 要があります。

6. 最初 の SAML ログイン後に新 しいユーザーのアカウント をアクティブ化 するには、[新 しいユーザーのアカウント を自 動 的 にアクティブ化 する] ト グルをクリックします。
7. [Tenable Identity Exposure エンドポイント ] で、以下 の情 報を入力 します。
oTenable Identity Exposure サービスプロバイダーの URLoTenable Identity Exposure サービスプロバイダーのアサート エンドポイント

8. [デフォルト のプロファイルとロール] セクションで、[SAML グループの追 加 ]をクリックして、認 証 を許可するグループを指定 します。
SAML グループ情 報 フォームが表 示されます。
9. 以下 の情 報を入力します。
o[SAML グループ名 ] ボックスに、許可 されているグループの名前を入力 します。この名 前 がSAML サーバーに表 示されます。

o[デフォルト のプロファイル] ドロップダウンボックスで、許 可 するグループのプロファイルを選択 します。

o[デフォルト のロール] ボックスで、許可するグループのロールを選択 します。

10. 必要 に応 じて、[+] をクリックし、新 しい許可 グループを追 加します。
11. [Save] をクリックします。
SAML 認証 をセット アップした後、SAML オプションがログインページのタブに表 示されます。
セキュリティプロファイルとロールの詳 細については、以下を参照してください。

- 255 -

lセキュリティプロファイルlユーザーロール

ユーザーアカウント[ユーザーアカウント 管 理 ] ページで、Tenable Identity Exposure ユーザーアカウント を追加 、編集 、削 除
したり、またはその詳 細情報 を表示 したりすることができます。
ユーザーは次 の 2 つのカテゴリのいずれかに属 します。
lグローバル管理 者 — すべてのアクセス許可 を持つ管 理 者 ロールlユーザー — ビジネスデータのみに対 する読 み取り専 用 アクセス許 可を持つ単 純なユーザーロール

ユーザーを作 成 するには:
1. Tenable Identity Exposure で、[アカウント ] > [ユーザーアカウント 管 理 ] をクリックします。
[ユーザーアカウント 管 理 ] ペインが表示されます。
2. 右側 にある [ユーザーの作 成 ] ボタンをクリックします。
[ユーザーの作 成 ] ペインが表示 されます。
3. [主 要 な情 報 ] セクションで、ユーザーに関 する以下の情報を入力します。
o名o

姓 (名字)

o

E メール

o

パスワード (12 文 字 以上 、少 なくとも 1 つの小 文字 、1 つの大文 字、1 つの数字 、1 つの特殊
文 字を含む)oパスワードの確認

o

部署

o

経歴

4. [認 証 を許 可 ] ト グルをクリックして、ユーザーをアクティブ化 します。
5. [ロール管 理 ] セクションで、ユーザーに適用するロールを選択します。

- 256 -

6. [作 成 ] をクリックします。
Tenable Identity Exposure が選択 されたロールでユーザーを作 成したことを確認 するメッセージが表示 されます。
ユーザーを編 集 するには
1. Tenable Identity Exposure で、[アカウント ] > [ユーザーアカウント 管 理 ] をクリックします。
[ユーザーアカウント 管 理 ] ペインが表示されます。
2. ユーザーのリスト で、ユーザーの名 前が表示 されている行 にカーソルを合わせ、行 末のアイコンをクリックします。
[ユーザーの編 集 ] ペインが表示 されます。
3. [主 要 な情 報 ] セクションで、必 要に応じてユーザーに関 する情 報を変更 します。
o

名o

姓 (名字)

o

E メール

o

パスワード: 8 文字 以 上oパスワードの確認

o

部署

o

経歴

4. [ロール管 理 ] セクションで、必 要 に応じてユーザーのロールを変更 します。
5. [編 集 ] をクリックします。
Tenable Identity Exposure が選択 したロールのユーザーを更 新したことを確 認するメッセージが表示されます。
ユーザーを無 効 化 するには
1. Tenable Identity Exposure で、[アカウント ] > [ユーザーアカウント 管 理 ] をクリックします。
[ユーザーアカウント 管 理 ] ペインが表示されます。

- 257 -

2. ユーザーのリスト で、ユーザーの名 前が表示 されている行 にカーソルを合わせ、行 末のアイコンをクリックします。
[ユーザーの編 集 ] ペインが表示 されます。
3. [認 証 を許 可 ] ト グルをクリックして、ユーザーを無 効化します。
4. [編 集 ] をクリックします。
Tenable Identity Exposure がユーザーを更新 したことを確認 するメッセージが表 示されます。
ユーザーを削 除 するには
1. Tenable Identity Exposure で、[アカウント ] > [ユーザーアカウント 管 理 ] をクリックします。
[ユーザーアカウント 管 理 ] ペインが表示されます。
2. ユーザーのリスト で、削除 するユーザーの名 前が表示 されている行にカーソルを合わせ、行 末 のアイコンをクリックします。
削除 の確 認を求めるメッセージが表 示されます。
3. [削 除 ] をクリックします。
Tenable Identity Exposure がユーザーを削除 したことを確認 するメッセージが表 示されます。

セキュリティプロファイル
必 要 なユーザーロール: 適切なアクセス許 可 を持つ管 理者または組 織のユーザー

プロファイルを使用すると、Active Directory に影響 を与 えるリスクを表 示する独 自のビューを作成 してカス
タマイズできます。
各プロファイルには、そのプロファイルを持 つユーザーのために設定された露 出と攻 撃のシナリオが表 示 されます。たとえば、データ分 析に対 する IT 管 理者の一般的 な見方 は、AD インフラが直 面するすべてのリス
クの包 括 的 な見解を示すセキュリティチームの見 方 とは異なる可能 性 があります。
セキュリティプロファイルを適用 すると、異 なる種類のユーザーが、そのセキュリティプロファイルのインジケー
ターで定 義されたとおり、データ分析 を異 なる見 方 で検 証できるようになります。

- 258 -

[セキュリティプロファイル管理 ] ペインでは、さまざまなレポート 角 度からセキュリティ分析 をレビューできるよ
うに、さまざまなユーザータイプを維 持 管 理できるようになっています。セキュリティプロファイルでも、露 出イ
ンジケーターと攻 撃インジケーターの動作 をカスタマイズできます。
注 意 : Tenable Identity Exposure には「Tenable」と呼ばれるデフォルト のセキュリティプロファイルが用意 されています。この Tenable プロファイルを変 更 または削 除 することはできません。ただし、これをテンプレート として使 用
し、必 要に応 じて設 定 を調整して他 のセキュリティプロファイルを作成 することはできます。

セキュリティプロファイルを新 規 作 成 するには
1. Tenable Identity Exposureで、[アカウント ] > [セキュリティプロファイル管 理 ] をクリックします。
[セキュリティプロファイル管 理 ] ペインが表示 されます。
2. 右側 にある [プロファイルの作 成 ] ボタンをクリックします。
[プロファイルの作 成 ] ペインが表 示 されます。
3. アクションドロップダウンボックスから、次のいずれかを実行できます。
l

新 しいプロファイルを作 成 するl

新 しいプロファイルの作成 元 になる既 存のセキュリティプロファイルをコピーする (例: 「Tenable」
プロファイル)

4. [新 しいプロファイルの名 前 ] ボックスに、新しいプロファイルの名 前を入力します。
注 意 : Tenable Identity Exposureは英 数字とアンダースコアのみ使 用 できます。

5. 右下 隅 の [作 成 ] ボタンをクリックします。
Tenable Identity Exposure がプロファイルを作 成したことを示すメッセージが表 示されます。[プロファイルの設 定 ] ペインが表 示 されます。
セキュリティプロファイルを削 除 するには
1. Tenable Identity Exposureで、[アカウント ] > [セキュリティプロファイル管 理 ] をクリックします。
[セキュリティプロファイル管 理 ] ペインが表示 されます。

- 259 -

2. セキュリティプロファイルのリスト で、削 除するセキュリティプロファイルにカーソルを合わせ、行末のアイコンをクリックします。
削除 の確 認を求めるメッセージが表 示されます。
3. [削 除 ] をクリックします。
Tenable Identity Exposure がプロファイルを削 除したことを確認するメッセージが表 示されます。

次の手順
プロファイル作 成を完 了 するための詳細 は、インジケーターのカスタマイズを参照 してください。
詳細 については、次 を参照 してください。
lインジケーターのカスタマイズl

インジケーターのカスタマイズの調 整

インジケーターのカスタマイズ
必 要 なユーザーロール: 適切なアクセス許 可 を持つ管 理者または組 織のユーザー

セキュリティプロファイルの露 出インジケーターと攻撃 インジケーターをカスタマイズできます。
各セキュリティプロファイルは独 立して動 作し、あるプロファイルが別のプロファイルの結 果に影響を与 えな
いようにしてください。「Tenable」プロファイルは、カスタマイズしたり逸脱をホワイト リスト に登録 したりすることはできないため、あくまで参 考 として使 用してください。特定 の要 件を満たすには、独 自のカスタムプロ
ファイルを作 成する必要 があります。
インジケーターのカスタマイズペインの「グローバルカスタマイズ」という用語は、すべてのプロファイルではなくすべてのドメインに関 連 しています。その結果、あるセキュリティプロファイルの「グローバルカスタマイズ」に適用 した設 定 が、「Tenable」プロファイルや別のプロファイルに影響を与 えることはありません。
ヒント : 「Tenable」セキュリティプロファイルの設定を表示するには、行末のインジケーターをカスタマイズするには- 260 -

アイコンをクリックします。

1. Tenable Identity Exposureで、[アカウント ] > [セキュリティプロファイル管 理 ] をクリックします。
[セキュリティプロファイル管 理 ] ペインが表示 されます。
2. セキュリティプロファイルのリスト で、カスタマイズするインジケーターが含 まれているセキュリティプロファ
イルにカーソルを合 わせます。セキュリティプロファイル名 が表 示されている行 の末尾 にあるアイコ

ンをクリックします。
[プロファイルの設 定 ] ペインが表 示 されます。
3. [露 出 インジケーター] または [攻 撃 インジケーター] タブを選択します。
4. (オプション) [インジケーターの検 索 ] ボックスに、インジケーター名 を入 力 します。
5. カスタマイズするインジケーターの名 前 をクリックします。
[インジケーターのカスタマイズ] ペインが表示 されます。
6. インジケーターに必要なカスタマイズを行います。
注 意 : 特定 のインジケーターオプションでは、正規 表現 (regex) を使 用する必要 があります。正 規 表 現
は、「部 分 」一 致であり「完 全 」一致 ではありません。例 : 入 力 オプションとして「admin」を指 定すると、「samAccountName=admin」のユーザーと「samAccountName=admintoto」のユーザーをホワイト リスト に登 録できます。
- 完 全一 致にするには、正規 表 現 の特 殊文字 (「^...$」) 構文 を使用 する必要があります。
- また、正規表現 を使用する場 合 は、バックスラッシュで特殊文 字をエスケープする必 要があります。例 :「domain\user」および「CN=Vincent C. (Test),DC=tenable,DC=corp」を宣言するには、「domain\\user」および「CN=Vincent C. \(Test\),DC=tenable,DC=corp」と入力します。

7. [ドラフト として保 存 ] をクリックします。
Tenable Identity Exposure がカスタマイズオプションを保存 したことを確認 するメッセージが表 示されます。
カスタマイズを適 用 するには
1. 次のいずれかを行うことができます。
l[プロファイルの設 定 ] ペインで、右下隅 の [保 留 中 のカスタマイズを適 用 する] をクリックします。

- 261 -

l[セキュリティプロファイル管 理 ] ペインで、セキュリティプロファイル名 が表示 されている行の末
尾 にあるアイコンをクリックします。

カスタマイズを適 用するとすべてのデータが消 去され、監視対 象の Active Directory の完全 な分析が必要 になり、これには時間 がかかることがあることを警告するメッセージが表 示 されます。
2. [OK] をクリックします。
Tenable Identity Exposure がカスタマイズオプションを適用 したことを確認 するメッセージが表 示されます。[セキュリティプロファイル管 理 ] テーブルの [セキュリティ分析 ] 列に表 示されている [待 機
中 ] は、セキュリティプロファイルに基づいた分 析が実行 待 ちであることを示 します。
カスタマイズを破 棄 するにはl

次のいずれかを行うことができます。
o[プロファイルの設 定 ] ペインで、右下隅 の [保 留 中 のカスタマイズを元 に戻 す] をクリックします。

o[セキュリティプロファイル管 理 ] ペインで、セキュリティプロファイル名 が表示 されている行の末
尾 にあるアイコンをクリックします。

Tenable Identity Exposure がカスタマイズオプションを取り消 したことを確認するメッセージが表 示 さ
れます。

関連項 目
l

インジケーターのカスタマイズの調 整

インジケーターのカスタマイズの調 整
必 要 なユーザーロール: 適切なアクセス許 可 を持つ管 理者または組 織のユーザー

セキュリティプロファイルのインジケーターをさらにカスタマイズすることで、特定のドメインのインジケーターオ
プションを選 択 できます。デフォルト では、グローバルカスタマイズがすべてのドメインに適用 されます。
インジケーターのカスタマイズを調 整 するには

- 262 -

1. Tenable Identity Exposureで、[アカウント ] > [セキュリティプロファイル管 理 ] をクリックします。
[セキュリティプロファイル管 理 ] ペインが表示 されます。
2. セキュリティプロファイルのリスト で、カスタマイズするインジケーターが含 まれているセキュリティプロファ
イルにカーソルを合 わせます。セキュリティプロファイル名 が表 示されている行 の末尾 にあるンをクリックします。
[プロファイルの設 定 ] ペインが表 示 されます。
3. [露 出 インジケーター] または [攻 撃 インジケーター] タブを選択します。
4. (オプション) [インジケーターの検 索 ] ボックスに、インジケーター名 を入 力 します。
5. カスタマイズするインジケーターの名 前 をクリックします。
[インジケーターのカスタマイズ] ペインが表示 されます。
6. [グローバルなカスタマイズ] タブの横 にある [+] アイコンをクリックします。
[カスタマイズ番 号 1] タブが表 示されます。
7. [適 用 先 ] ボックスをクリックします。
[フォレスト とドメイン] ペインが表示 されます。
8. (オプション) 検索 ボックスに、フォレスト またはドメインの名 前を入 力 します。
9. そのドメインを選択します。
10. [選 択 内 容 でフィルター] をクリックします。
11. 必要 に応 じて、選択したドメインのインジケーターをさらにカスタマイズします。
12. [ドラフト として保 存 ] をクリックします。
調 整 したカスタマイズを破 棄 するには
1. カスタマイズのタブをクリックします。
2. ペインの下部にある [この設 定 を削 除 ] をクリックします。

関連項 目
l

インジケーターのカスタマイズ- 263 -

アイコ

ユーザーロール
Tenable Identity Exposure では、企業 内 のデータや機能 に安全 にアクセスするために、ロールベースのアクセス制御 (RBAC) を使 用 しています。ユーザーのロールに応じて、ユーザーが自 分のアカウント からアクセ
スできる情 報 のタイプが決まります。
適切 なアクセス許可を持つユーザーは自 分のロールに基づいて、他 のユーザーに以下 のアクションを実 行できるアクセス許可を割 り当てることができます。
lコンテンツとメニュー、システム、露 出インジケーターの設定の読 み取 りlコンテンツとメニュー、システム、攻 撃インジケーターの設定の編 集lアカウント 、セキュリティプロファイル、ロールの作成

関連項 目
l

ロールの管理l

ロールのアクセス許可 の設定l

ユーザーインターフェースエンティティに対するアクセス許 可 の設 定 (例 )ロールの管 理新しいロールを作成するには
1. Tenable Identity Exposureで、[アカウント ] > ]ロール管 理 ] に移 動 します。
2. 右上 隅 の [ロールの作 成 ] ボタンをクリックします。
[ロールの作 成 ] ペインが表 示されます。
3. 名前 ボックスにロールの名 前 を入 力します。
4. 説明 ボックスに、ロールに関 する情報を入 力 します。
5. 右下 隅 の [追 加 ] をクリックします。
Tenable Identity Exposure がロールを作 成したことを確認 するメッセージが表示 されます。ロールのアクセス許 可を設 定する [ロールの編 集 ] ペインが表示 されます。

- 264 -

注 意 : Tenable Identity Exposure 管理 者ロール (グローバル管理 者と呼ばれる) は変 更できません。
ンをクリックすると、Tenable Identity Exposure のロール設 定 が表示 されます。

アイコ

ロールを削 除 するには
1. Tenable Identity Exposureで、[アカウント ] > ]ロール管 理 ] に移 動 します。
2. ロールのリスト で、削除 するロールにカーソルを合わせ、右側 のアイコンをクリックします。

削除 の確 認を求めるメッセージが表 示されます。
3. [削除 ] をクリックします。
ロールが削 除 されたことを確 認 するメッセージが表示 されます。

関連項 目
l

ロールのアクセス許可 の設定

ロールのアクセス許可 の設 定
必 要 なユーザーロール: 適切なアクセス許 可 を持つ管 理者または組 織のユーザー

Tenable Identity Exposure はロールベースのアクセス制 御 (RBAC) を使 用して、データへのアクセスを保護しています。ロールは、組織における職 能 的役 割に応じて、ユーザーがアクセスできる情報の種類 を決定します。Tenable Identity Exposure で新しいユーザーを作 成するとき、関 連するアクセス許 可を持 つ特定のロールをそのユーザーに割 り当 てます。

ロールのアクセス許可 を設定 するには
1. Tenable Identity Exposure で、[アカウント ] > [ロール管 理 ] をクリックします。
2. アクセス許 可を設 定するロールにカーソルを合 わせ、右側の[ロールの編 集 ] ペインが表 示されます。
3. [アクセス許 可 管 理 ] で、エンティティタイプを選択します。
o

データエンティティoユーザーエンティティ- 265 -

アイコンをクリックします。

oシステム設 定 エンティティoインターフェースエンティティ

4. エンティティ名 のリスト で、アクセス許可 を設定 するエンティティを選択 します。
5. [読 み取 り]、[編 集 ]、[作 成 ] の列のト グルをクリックして、[許可 ] または [不許 可]にします。
6. 次のいずれかを行うことができます。
o[適用] をクリックしてアクセス許可を適用 し、[ロールの編 集 ] ペインを開 いたままにして、さらに変更を行 います。

o[適用して閉じる] をクリックしてアクセス許可 を適用し、[ロールの編 集 ] ペインを閉じます。

Tenable Identity Exposure がロールを更 新したことを確認 するメッセージが表示 されます。

ロールのアクセス許可 を一括 設定 するには
1. Tenable Identity Exposure で、[アカウント ] > [ロール管 理 ] をクリックします。
2. アクセス許 可を設 定するロールにカーソルを合 わせ、右側のアイコンをクリックします。

[ロールの編 集 ] ペインが表 示されます。
3. [アクセス許 可 管 理 ] で、エンティティタイプを選択します。
4. アクセス許 可を設 定するエンティティまたはエンティティのセクション (露 出インジケーターなど) を選 択します。
5. ページの下 部 で、ドロップダウンボックスの矢印 をクリックして、アクセス許可 のリスト を表 示 します。
6. ロールのアクセス許可 を選 択します。
7. [OK] をクリックします。
Tenable Identity Exposure がエンティティのアクセス許 可 を設 定 したことを確 認するメッセージが表示されます。

- 266 -

アクセス許 可の種 類
アクセ
ス許

説明

可
読み

オブジェクト または設 定を表 示するアクセス許可です。

取り
編集

オブジェクト または設 定を変 更するアクセス許可です。変更 を適 用するには、読み取 りアクセス許可 が必 要です。

作成

オブジェクト または設 定を作 成するアクセス許可です。[作 成 ] アクセス許 可 には、許 可されたリソースに対 して許 可 されたアクションを行うための [読 み取 り] と [編 集 ] のアクセス許可が必 要です。

エンティティの種 類
Tenable Identity Exposure には、アクセス許可が必 要な 4 つのタイプのエンティティがあり、企業 の各ユー
ザーロールに合 わせて調 整できます。
エンティティの種 類

含 まれるもの- 267 -

アクセス
許可

データエンティティ
このエンティティは、監 視対 象の Active
Directory をセット アップしたり、Tenable
Identity Exposure でデータ分 析を設 定したl

攻撃インジケーターl

露出インジケーター

読み取
り、編
集、作

l

フォレスト

l

ドメイン

l

プロファイルl

ユーザーl

メールによるアラートlSyslog によるアラート

l

ロール

l

エンティティリレー

l

レポート

l

環境設 定

l

ダッシュボードlウィジェットl

API キー

l

個人情 報

l

アプリケーションサービス (SMTP、ロ

読み取

Exposure プラット フォームとサービスへのアク

グ、認証 Tenable Identity

り、編

セスを制御 します。

Exposure、攻 撃インジケーター、集りするためのアクセス許 可を制 御 します。

成ユーザーエンティティ
このエンティティは、ユーザーがデータ分析のために Tenable Identity Exposure で表示される情 報 を設定 したり、個人 情報 や環境設 定を変 更したりする権 限を制御 しま
す。

編集、
作成

システム設 定 エンティティ
このエンティティは、Tenable Identity

信頼できる認証 局)l

公開 API によるスコア

l

ライセンス

- 268 -

l

LDAP 認証l

SAML 認証
注 意 : Tenable Vulnerability
Management ライセンスがある場
合 、LDAP および SAML 認 証 のア
クセス許可 は利 用できません。

lト ポロジーlアカウント ロックアウト ポリシーlドメインの再 クロールl

アクティビティログlTenable クラウドサービス (Tenable
クラウドのデータ収 集 )lMicrosoft Entra ID のサポート

lヘルスチェックl

ユーザー自身のト レースのみを表示

インターフェースエンティティ
このエンティティは、Tenable Identity

Tenable Identity Exposure の特定の機

許可、

Exposure のユーザーインターフェースと機能

能へのアクセスパス。詳細 は、ユーザー

不許可の特 定 の部 分 にアクセスするためのアクセス

インターフェースエンティティに対するアク許可 を定 義 します。

セス許可 の設 定 (例 )を参照 してください。

関連 項 目l

ユーザーアカウントl

ユーザーロール

ユーザーインターフェースエンティティに対するアクセス許 可の設定 (例 )- 269 -

Tenable Identity Exposure は特 定のユーザーインターフェース機 能へのアクセスに使 用されるパスに沿 ってアクセス許 可 を適用 します。次の例は、Syslog の設定を許 可するアクセス許可を設定 する方法 を示しています。
Syslog パラメーターに到 達 するには、Tenable Identity Exposure の [システム] > [設 定 ] > [SYSLOG] のパスで設 定 されているアクセス許 可 がユーザーに必要です。
lシステム設定 : [管 理 ] > [システム]l

設定 パラメーター: [管 理 ] > [システム] > [設 定 ]lSyslog アラート : [管 理 ] > [システム] > [設 定 ] > [アラート エンジン] > [SYSLOG]

Syslog 設定 のアクセス許 可を設定 するには
1. Tenable Identity Exposure で、[アカウント ] > [ロール管 理 ] をクリックします。
2. アクセス許 可を設 定するロールにカーソルを合 わせ、右側のアイコンをクリックします。

[ロールの編 集 ] ペインが表 示されます。
3. [アクセス許 可 管 理 ] で、[インターフェースエンティティ] を選択します。
4. エンティティのリスト で、次 の操 作 を実行 します。
o

[管 理 ] > [システム] を選 択し、アクセスト グルをクリックして [許 可 ]に切り替 えます。

o[管 理 ] > [システム] > [設 定 ]を選 択 し、アクセスト グルをクリックして [許 可 ] に切り替 えます。

o[管 理 ] > [システム] > [設 定 ] > [アラート エンジン] > [SYSLOG] を選 択し、アクセスト グルをクリックして [許 可 ] に切 り替 えます。

5. [適 用 ] をクリックします。
Tenable Identity Exposure がエンティティのアクセス許 可 を更 新 したことを確 認するメッセージが表示されます。

- 270 -

6. [アクセス許 可 管 理 ] で、[データエンティティ] を選択します。
7. エンティティリスト のセクションで、[Syslog によるアラート ] を選 択します。
8. [作 成 ] アクセス許可 を選択 します。
Tenable Identity Exposure は暗 黙的 に読 み取りおよび編集 のアクセス許 可 を付与 します。
9. [適 用 して閉 じる] をクリックします。
Tenable Identity Exposure がエンティティのアクセス許 可 を更 新 したことを確 認するメッセージが表示されます。

- 271 -

フォレストActive Directory (AD) フォレスト は、共 通のスキーマ、設 定 、信 頼関 係 を共有 するドメインの集 合 体です。リソースを管 理して整理できる階 層構 造が提供 されるため、企 業内 の多数のドメインを集 中 管 理 したりセキュアな認 証 を行 ったりすることが可 能 になります。

フォレスト の管 理
フォレスト を追 加 するには
1. Tenable Identity Exposure で、[システム] > [フォレスト 管 理 ] をクリックします。
2. 右側 の [フォレスト の追 加 ] をクリックします。
フォレスト の追 加 ペインが表示 されます。
3. [名 前 ] ボックスにフォレスト 名を入 力します。
4. [アカウント ] セクションで、Tenable Identity Exposure が使 用するサービスアカウント の以 下の情 報を入 力 します。
oログイン: サービスアカウント の名前を入力します
形 式 : ユーザープリンシパル名 (例: tenablead@domain.example.com) (Kerberos 認 証 との互 換性 を得 るために推 奨 )、または NetBIOS (例:DomainNetBIOSName\SamAccountNameo

パスワード: このサービスアカウント のパスワードを入 力します- 272 -

注 意 : 保護 されたユーザーは NTLM 認証を使用できないため、Tenable Identity Exposure の AD サービ
スアカウント を保 護されたユーザーグループのメンバーとして設定 する必 要がある場合は、Tenable Identity
Exposure 設定で Kerberos 認 証 がサポート されていることを確認 してください。

5. [追 加 ] をクリックします。
新しいフォレスト の追 加を確 認するメッセージが表示 されます。
フォレスト を編 集 するには
1. Tenable Identity Exposure で、[システム] > [フォレスト 管 理 ] をクリックします。
2. フォレスト のリスト で、変更 するフォレスト にカーソルを合わせ、右 側 のアイコンをクリックします。

[フォレスト の編 集 ] ペインが表示 されます。
3. 必要 に応 じて変 更 します。
4. [編 集 ] をクリックします。
Tenable Identity Exposure がフォレスト を更新 したことを確認するメッセージが表 示されます。

サービスアカウント の保 護
Tenable は、ユーザーアカウント 制 御 (UAC) 属性 を正 しく設 定 することでサービスアカウント を保護し、セキュリティを維 持することを推 奨しています。これにより、委任の防 止、事前認 証の要求 、より強力な暗号化 の使用 、パスワードの期 限切 れと要 件の強制 実 行、承 認されたパスワードの変更 の許可が可能 になります。このような手 段を講 じることにより、認証されていないアクセスや潜在 的なセキュリティ侵 害 のリ
スクを軽 減 しつつ、企 業 のシステムとデータの整合性 を確保 できます。
Windows ポリシーエディターを使 用 して設 定 を変 更 するには適切 な管理 者権限 を使用して Windows のローカルセキュリティポリシーエディターまたはグループポリシー
エディターを使用 して、ユーザーアカウント 制御 設定を変 更できます。
lエディターで、[ローカル ポリシー] > [セキュリティ オプション] に進み、次 の設 定を見 つけて設 定 しま
す (この手 順はご使 用の Windows のバージョンによって異 なる場 合があります)。

- 273 -

o「ネット ワーク アクセス: ネット ワーク認証のためにパスワードと認証情報の保存を許可しない」
を [有 効 ] に設定 します。

o「アカウント : Kerberos 事前認証を必須にしない」 を [無 効 ]に設定します。

o「ネット ワーク セキュリティ: Kerberos に許可される暗号化タイプの設定」 が 「このアカウント にKerberos DES 暗号化タイプを使用する」 オプションに選択 されていないことを確認 します。

o「アカウント : パスワードの最大有効期限」 でパスワードの有 効期限 を設定 します (たとえば、
30 日、60 日、または 90 日 にすると PasswordNeverExpires = FALSE となります)。

o「アカウント : ローカル アカウント での空白のパスワードの使用をコンソールログオンのみに制限」 を [無 効 ] に設定 します。

o「インタラクティブ ログオン: キャッシュする過去のログオン回数 (ドメインコント ローラーが使用できない場合 )」 でユーザーが自 分 のパスワードを変更 できるようにするには、「10」など希 望 する
値 を設定します。

Powershell 使 用 して設 定 を変 更 するにはl

AD をホスト しているマシンで、適切 な管理者権 限を使 用して PowerShell を開 き、次 のコマンドを
実行 します。
Set-ADAccountControl -Identity <AD_ACCOUNT> -AccountNotDelegated $true -UseDESKeyOnly$false -DoesNotRequirePreAuth $false -PasswordNeverExpires $false -PasswordNotRequired$false -CannotChangePassword $false<AD_ACCOUNT> に、変更 する Active Directory アカウント の名前 を入 れます。

ドメイン
Tenable Identity Exposure は、共 通 の設 定を共有するオブジェクト をグループ化するドメインを、論 理 的に一 元 管 理 して監 視します。
ドメインを追 加 するには
1. Tenable Identity Exposure で、[システム] をクリックします。
2. [ドメイン管 理 ] タブをクリックします。
[ドメイン管 理 ] ペインが表 示 されます。

- 274 -

3. 右上 隅 の [ドメインの追 加 ] をクリックします。
[ドメインの追 加 ] ペインが表示 されます。

4. [主 要 な情 報 ]セクションで、以 下 の情報を入 力します。
l[名 前 ] ボックスにドメイン名 を入力 します。

l[ドメインの FQDN] ボックスに、ドメインの完全 修飾ドメイン名 (FQDN) を入力 します。

l[フォレスト ] ドロップダウンボックスで、ドメインが所 属するフォレスト を選択 します。

5. 権 限 分 析 (オプション): このト グルを有 効にすると、このフォレスト の「dcadmin」アカウント がこのドメイ
ンの権 限付 きデータを収 集 して、高度 なセキュリティ分析を実行 できるようになります。

- 275 -

6. 権 限 分 析 の転 送 : このオプションの詳細については、Tenable クラウドのデータ収集 を参照 してください。
7. [プライマリドメインコント ローラー] セクションで、以下 の情 報を入 力 します。
l

[IP アドレスまたはホスト 名 ] ボックスに、プライマリドメインコント ローラーのホスト 名 (Kerberos
認 証 との互 換性 を確 保するには必須だが、SaaS-VPN デプロイメント モードとの互換 性 はない) または IP アドレスを入 力します。
Tenable Identity Exposure はロードバランサーをサポート していません。

l[LDAP ポート ] ボックスに、プライマリドメインコント ローラーの LDAP ポート を入 力します。
注 意 : ポート TCP/636 (LDAPS) を使 用してドメインに接 続する場合 、Tenable Identity Exposure
はその接 続を確立 するために、Active Directory の認証局 (CA) の証明書 にアクセスして、AD 証 明
書 を有効化 する必要があります。セキュアリレー環境では、リレーマシンに CA 証明 書をインスト ー
ルできます。この設定 は、IPSEC VPN 環 境ではできません。

l[グローバルカタログポート ] ボックスに、プライマリドメインコント ローラーのグローバルカタログ
ポート を入力 します。

l

[SMB ポート ] ボックスに、プライマリドメインコント ローラーの SMB ポート を入力 します。

8. [追 加 ] をクリックします。
Tenable Identity Exposure がドメインを追加 したことを確認 するメッセージが表 示されます。
ドメインを編 集 するには
1. Tenable Identity Exposure で、[システム] をクリックします。
2. [ドメイン管 理 ] タブをクリックします。
[ドメイン管 理 ] ペインが表 示 されます。
3. 編集 するドメイン名 にカーソルを合 わせると、右側に4.

アイコンをクリックします。
[ドメインの編 集 ] ペインが表示 されます。

5. ドメインの情報 を編集 します。

- 276 -

アイコンが表示 されます。

6. [編 集 ] をクリックします。
Tenable Identity Exposure がドメインを更新 したことを確認 するメッセージが表 示されます。
ドメインを削 除 するには
1. Tenable Identity Exposure で、[システム] をクリックします。
2. [ドメイン管 理 ] タブをクリックします。
[ドメイン管 理 ] ペインが表 示 されます。
3. 削除 するドメイン名 にカーソルを合 わせると、
4.

アイコンが表示されます。

アイコンをクリックします。
削除 の確 認を求めるメッセージが表 示されます。

5. [削 除 ] をクリックします。
Tenable Identity Exposure がドメインを削除 したことを確認 するメッセージが表 示されます。

関連項 目
l

ドメインのデータの強制 更 新lハニーアカウントlKerberos 認 証

ドメインのデータの強 制更 新
ドメインのデータを強制 的に更新するには
1. Tenable Identity Exposure で、[システム] をクリックします。
2. [ドメイン管 理 ] タブをクリックします。
[ドメイン管 理 ] ペインが表 示 されます。

- 277 -

3. 強制 的 にデータを更 新するドメイン名にカーソルを合わせると、右側 にアイコンが表 示されます。
4.

アイコンをクリックします。
データの更 新 アクションに関する情 報が記載 されたメッセージが表 示されます。

5. [確 認 ] をクリックします。

関連項 目
l

ハニーアカウント

ハニーアカウント
必 要 なユーザーロール: ローカルマシンの管理者

ハニーアカウント は、Active Directory を介 してネット ワークを侵 害 しようとする攻 撃者 を検出 することを目的とする、おとりアカウント です。
これは Tenable Identity Exposure の攻 撃インジケーターが Kerberoasting の悪 用の試 みを検 出 するための前 提 条件です。攻撃 者は、サービスチケット をリクエスト して抽 出し、サービスアカウント の認証 情 報をオフラインで割 り出 して、サービスアカウント へのアクセスを取 得しようとします。ハニーアカウント がログイン
試行 またはチケット リクエスト を受 けると、Kerberoasting 攻撃インジケーターはアラート を送信 します。
ドメインごとに 1 つのハニーアカウント を関連 付けます。ハニーアカウント はセキュリティプロファイルに関 連 していません。
ハニーアカウント を追 加 するには
1. Tenable Identity Exposure で、[システム] > [ドメイン管 理 ] をクリックします。
[ドメイン管 理 ] ペインが表 示 されます。
2. ハニーアカウント を追加 するドメインにカーソルを合わせます。
3. [ハニーアカウント の設 定 ステータス] で、[+] をクリックします。
[ハニーアカウント の追 加 ] ペインが表示されます。

- 278 -

4. [名 前 ] ボックスに、ハニーアカウント として使用するユーザーアカウント の識別名 (DN) を入 力します。
ヒント : 任 意の文 字列を入力 すると、Tenable Identity Exposure はその文字列 を検 索 し、そのユーザーア
カウント がすでに Active Directory に存 在する場合 は、一 致するユーザーアカウント 名をドロップダウンボッ
クスに表 示します。

5. [デプロイメント ] セクションで、Tenable Identity Exposure はハニーアカウント のデプロイを実 行 する
スクリプト を適切 な設 定で生 成します。

をクリックして、このスクリプト をコピーします。

6. [追 加 ] をクリックします。
Tenable Identity Exposure がハニーアカウント を追加したことを確認するメッセージが表 示されます。[ドメイン管 理] ペインに、選 択したドメインの [ハニーアカウント の設 定 ステータス] がオレンジ色() で表 示されます。これは、ハニーアカウント デプロイメント スクリプト を実 行してアカウント をアクティブにする必要があることを示 しています。
注 意 : [ハニーアカウント の設 定 ステータス] が赤 () の場 合、Tenable Identity Exposure がActive
Directory 内でこのユーザーアカウント を検出できなかったことを示 しています。このユーザーアカウント を作
成 してから、次 の手順 に進 む必 要があります。

7. Active Directory モジュールがあるマシンの Windows PowerShell で、コピーしたハニーアカウント デ
プロイメント スクリプト を実行 します。
[ドメイン管 理 ] ペインで、選 択 したドメインの [ハニーアカウント の設 定 ステータス] がアクティブであることを示 す緑 色のステータス () で表示 されます。

注 意 : Tenable Identity Exposure は、ハニーアカウント の処理と有 効化 に時間 がかかる場合 があります。

ハニーアカウント を編 集 するには
1. Tenable Identity Exposure で、[システム] > [ドメイン管 理 ] をクリックします。
[ドメイン管 理 ] ペインが表 示 されます。
2. ハニーアカウント を追加 するドメインにカーソルを合わせます。
3. [ハニーアカウント の設 定 ステータス] で、右側にある- 279 -

アイコンをクリックします。

[ハニーアカウント の編 集 ] ペインが表示されます。
4. [名 前 ] ボックスで、必 要に応 じてユーザーアカウント を変 更 します。
5. [デプロイメント ] セクションでをクリックして、ハニーアカウント デプロイメント スクリプト をコピーします。
6. [編 集 ] をクリックします。
Tenable Identity Exposure がハニーアカウント を更新したことを確認するメッセージが表 示されます。[ドメイン管 理] ペインに、選 択したドメインの [ハニーアカウント の設 定 ステータス] がオレンジ色() で表 示されます。これは、ハニーアカウント デプロイメント スクリプト を実 行してアカウント をアクティブにする必要があることを示 しています。
注 意 : [ハニーアカウント の設 定 ステータス] が赤 () の場 合、Tenable Identity Exposure がActive
Directory 内でこのユーザーアカウント を検出できなかったことを示 しています。このユーザーアカウント を作
成 してから、次 の手順 に進 む必 要があります。

7. Active Directory モジュールがあるマシンの Windows PowerShell で、コピーしたハニーアカウント デ
プロイメント スクリプト を実行 します。
[ドメイン管 理 ] ペインで、選 択 したドメインの [ハニーアカウント の設 定 ステータス] が設定済 みであることを示 す緑 色のステータス () で表示 されます。

注 意 : Tenable Identity Exposure は、ハニーアカウント の処理と有 効化 に時間 がかかる場合 があります。

ハニーアカウント を削 除 するには
1. Tenable Identity Exposure で、[システム] > [ドメイン管 理 ] をクリックします。
[ドメイン管 理 ] ペインが表 示 されます。
2. ハニーアカウント を追加 するドメインにカーソルを合わせます。
3. [ハニーアカウント の設 定 ステータス] で、右側にある[ハニーアカウント の編 集 ] ペインが表示されます。
4. [削 除 ] をクリックします。

- 280 -

アイコンをクリックします。

Tenable Identity Exposure がハニーアカウント を削除したことを確認するメッセージが表 示されま
す。

関連項 目
l

ドメインのデータの強制 更 新Kerberos 認 証
Tenable Identity Exposure は、入 力 した認証情 報を使用 して、設定 済 みのドメインコント ローラーの認証を行 います。これらの DC は、NTLM または Kerberos 認 証のいずれかを受け入 れます。NTLM はセキュ
リティ上 の問 題が文書 化 されているレガシープロト コルであり、Microsoft およびすべてのサイバーセキュリ
ティ基準 は現 在 使用を推奨していません。一方、Kerberos はより堅牢 なプロト コルであり、考慮 する必要があります。Windows は常に Kerberos を最 初 に試行 し、Kerberos が利用 できない場 合にのみ
NTLM を使 用します。
Tenable Identity Exposure は、いくつかの例外を除 いて、NTLM と Kerberos の両方 と互換 性 があります。Tenable Identity Exposure は、Kerberos がすべての必 要条件 を満たす場 合 に、推奨プロト コルとして優 先 させます。このセクションでは、要 件について説明し、Kerberos を確実に使 用するよう Tenable
Identity Exposure を設定する方 法 を紹 介します。
Kerberos の代 わりに NTLM を使 用 することは、SYSVOL 堅牢化が Tenable Identity Exposure と干渉 する原因 にもなります。詳細 は、SYSVOL 堅 牢化の Tenable Identity Exposure に対する干 渉 を参照 してください。

Tenable Identity Exposure デプロイメント モードとの互 換性
デプロイメント モード

Kerberos サポート

オンプレミス〇

SaaS-TLS (レガシー)〇

Secure Relay を備えた〇

SaaS
VPN を備 えた SaaS

✕ - インスト ールを Secure Relay デプロイメント モードに切り替 える必要があります- 281 -

技術要件
lTenable Identity Exposure で設 定 された AD サービスアカウント には、UserPrincipalName (UPN)が必 要 です。手 順については、サービスアカウント とドメイン設定 を参照 してください。

l

DNS 設 定 および DNS サーバーは、すべての必 要 な DNS エント リの解 決 を許 可 する必 要 があります。ドメインコント ローラーを認 識する DNS サーバーを使 用するようディレクト リリスナーまたはリレーマ
シンを設 定する必 要があります。Tenable Identity Exposure では推奨されませんが、ディレクト リリ
スナーまたはリレーマシンがドメインに参加 している場合は、すでにこの要件を満たしている必 要 があります。通常 はドメインコント ローラーが DNS も実 行しているため、ドメインコント ローラー自 体 を
優先 DNS サーバーとして使 用するのが最 も簡単な方 法 です。例 :注 意 : ディレクト リリスナーまたはリレーマシンが複数のドメインに接続されており、複数のフォレスト にある可能 性がある場合 は、設定された DNS サーバーがすべてのドメインに必 要なすべての DNS エント リを解 決できることを確認 してください。そうでない場合 は、複数のディレクト リリスナーまたはリレーマシンを設 定する
必 要があります。

- 282 -

l

Kerberos「サーバー」(KDC) の到 達 可 能 性 — これには、ディレクト リリスナーまたはリレーから、ポート TCP/88 経由 でドメインコント ローラーにつながるネット ワーク接 続 が必 要です。Tenable では推奨していませんが、ディレクト リリスナーまたはリレーがドメインに参加 している場 合は、すでにこの要件を満 たしているはずです。設 定された各 Tenable Identity Exposure フォレスト には、サービスアカ
ウント を含むそれぞれのドメイン内の少なくとも 1 つのドメインコント ローラー、および接 続された各 ド
メイン内 の少なくとも 1 つのドメインコント ローラーとの Kerberos ネット ワーク接 続 が必要 です。
要件 の詳 細については、Network Flow Matrixを参照してください。
注 意 : Kerberos を使 用 するために、ディレクト リリスナーまたはリレーマシンをドメインに参 加させる必 要 はありません。

サービスアカウント とドメイン設 定

Tenable Identity Exposure の AD サービスアカウント と AD ドメインが Kerberos を使 用するように設定 するには
1. ログインには User PrincipalName (UPN) 形 式 を使用します。この例では、UPN 属 性は「tenablead@lab.lan」です。

- 283 -

a. 次 のように、サービスアカウント を含 むフォレスト のドメインで UPN 属性を見つけます。

注 意 : UPN はメールアドレスと似 ており、ユーザーのメールと同じである場合 がほとんどです。

- 284 -

b. Tenable Identity Exposure のフォレスト 設定セクションで、次のように、短い「ユーザー名」形
式 または NetBIOS「ドメイン\ユーザー名」形 式の代わりにこの UPN を設 定します。

- 285 -

2. Tenable Identity Exposure のドメイン設定 にある完全 修飾 ドメイン名 (FQDN) を使 用 して、プライ
マリドメインコント ローラー (PDC) に対して、IP ではなく FQDN を設 定 します。

ト ラブルシューティング
Kerberos が適 切に動作するには、いくつかの設定手 順 が必要 です。必 要な設 定 手順 を行 っていない場
合、Windows は、拡 張 Tenable Identity Exposure により、NTLM 認 証 に自動 的にフォールバックします。

DNS
ディレクト リリスナーまたはリレーマシンで使 用されている DNS サーバーが、次のように入力 された PDC
FQDN を解 決できることを確認 します。

- 286 -

Kerberos
ディレクト リリスナーまたはリレーマシンでコマンドを実行して Kerberos が動作 することを検 証するには
1. Tenable Identity Exposure で設 定 された AD サービスアカウント が TGT を取得 できることを確 認します。
a. コマンドラインまたは PowerShell で、「runas/netonly/user:<UPN> cmd 」を実 行
し、パスワードを入 力 します。「/netonly」フラグにより検 証 が行 われないため、パスワードの入 力または貼 り付 けを行う際 は特に注 意が必要 です。
b. 2 番目 のコマンドプロンプト で「klist get krbtgt」を実行して、TGT チケット をリクエ
スト します。
次 の例は、成 功 した結 果を示 しています。

次 のようなエラーコードが表 示される場 合があります。

- 287 -

o

0xc0000064:「スペルが間違 っているまたは不正なユーザーアカウント を使 用 した
ユーザーログオン」-> ログインをチェックします (UPN の「@」より前の部分 )o0xc000006a:「スペルが間違 っているまたは不正なパスワードを使 用したユー
ザーログオン」-> パスワードをチェックしますo0xc000005e:「現 在 、ログオンリクエスト を処理 するために利用 できるログオンサー
バーがありません。」-> DNS 解 決が動作し、サーバーが返 された KDC などに接続できることを確認 しますo

その他のエラーコード: 4625 イベント に関 連 する Microsoft ドキュメント を参 照します

2. Tenable Identity Exposure で設 定 されたドメインコント ローラーがサービスチケット を取 得 できることを確 認 します。同 じ 2 番目 のコマンドプロンプト で、「klist get host/<DC_FQDN>」を実 行 します(「<DC_FQDN>」を置 き換 える)。
次の例は、成功 した結 果を示 しています。

アラート
必 要 なライセンス: 送 信するアラート のタイプによっては、攻 撃 インジケーターまたは露 出インジケーターのライセンスが必要 な場合があります。

- 288 -

Tenable Identity Exposure のアラート システムは、監 視対 象の Active Directory におけるセキュリティの劣化 や攻 撃 を特 定 するのに役立 ちます。メールまたは Syslog 通知 を使 って、脆 弱性や攻撃 に関 する分
析データをリアルタイムでプッシュします。
lSMTP サーバー設定l

メールアラートlSyslog アラートlSyslog とメールアラート の詳 細SMTP サーバー設 定
アラート 通知 を送 信するには、Tenable Identity Exposure で Simple Mail Transfer Protocol (SMTP) を
設定 する必 要 があります。

SMTP サーバーを設定 するには
1. Tenable Identity Exposure で、[システム] > [設 定 ] をクリックします。
2. [アプリケーションサービス] で、[SMTP サーバー] を選択します。
[SMTP サーバー] ペインが開きます。

- 289 -

3. ネット ワークでセキュアリレーを使 用 している場 合 : [リレー] ボックスの矢印をクリックして、SMTP サー
バーと通 信するリレーをドロップダウンリスト から選 択します。
4. 以下 の情 報を入力します。
oSMTP サーバーアドレスo

SMTP サーバーポートoSMTP アカウントo

SMTP アカウント のパスワード

5. [SMTP 暗 号化 ] ボックスで、矢 印 をクリックして、ドロップダウンリスト から暗号 化 方式 を選 択 します。
6. [送 信 者 のメールアドレス] ボックスに、Tenable Identity Exposure がメールの送 信 時に使 用 する
メールアドレスを入力します。
7. [Save] をクリックします。
Tenable Identity Exposure が SMTP パラメーターを更新したことを確認するメッセージが表示 されます。

メールアラート
Tenable Identity Exposure は、イベント が特 定の深 刻 度しきい値に達し、修正 アクションが必要 な場 合に、メールアラート を送 信して自動 的に通知 します。以 下 はメールアラート の例です。

- 290 -

メールアラート を追 加 するには
1. Tenable Identity Exposure で、[システム] > [設 定 ] > [メール] をクリックします。
2. 右側 にある [メールアラート の追 加 ] ボタンをクリックします。
[メールアラート の追 加 ] ペインが表示されます。

- 291 -

3. [主 要 な情 報 ] セクションに、以 下 を入 力します。
o[メールアドレス] ボックスに、通 知を受 け取 る受 信者 のメールアドレスを入力します。

o[説 明 ] ボックスに、受信 者 アドレスの説明を入力します。

4. [アラート のト リガー] ドロップダウンリスト で、次のいずれかを選択します。
o

各 逸 脱 時 : Tenable Identity Exposure は逸 脱 IoE を検 出するたびに通 知を送信します。

o

各 攻 撃 時 : Tenable Identity Exposure は逸 脱 IoA を検出するたびに通 知を送 信 します。

o各 ヘルスチェックステータスの変 更 時 : Tenable Identity Exposure は、ヘルスチェックステータスが変 わるたびに通知 を送信 します。

5. [プロファイル] ボックスで、このメールアラート に使 用するプロファイルをクリックして選択 します (該 当する場 合 )。
6. 初 期 分 析 フェーズ中 に逸 脱 が検 出 された場 合 にアラート を送 信 する: 次 のいずれかを実 行 します(該 当 する場 合 )。
oチェックボックスを選択 する: システムの再 起 動 でアラート が発 生すると、Tenable Identity
Exposure は大量 のメール通 知を送 信 します。

oチェックボックスの選 択を解 除 する: システム再 起動 でアラート が発生 しても、Tenable
Identity Exposure はメール通 知を送 信しません。

7. 深 刻 度 のしきい値 : ドロップダウンボックスの矢 印をクリックして、Tenable Identity Exposure がアラー
ト を送 信 するしきい値 を選 択 します (該当 する場合 )。
8. これまでに選 択したアラート ト リガーに応じて、以 下 のようになります。
o

露 出 インジケーター: [各 逸 脱 時 ] にアラート がト リガーされるように設定 した場 合は、各 深 刻度 レベルの横の矢 印 をクリックして露 出インジケーターのリスト を展 開 し、アラート を送信する
インジケーターを選 択 します。

o

攻 撃 インジケーター: [各 攻 撃 時 ] にアラート がト リガーされるように設定 した場 合は、各 深 刻度 レベルの横の矢 印 をクリックして攻 撃インジケーターのリスト を展 開 し、アラート を送信する
インジケーターを選 択 します。

oヘルスチェックステータスの変 更 : [ヘルスチェック] をクリックし、アラート をト リガーするヘルスチェックタイプを選択 し、[選 択 内 容 でフィルター] をクリックします。

- 292 -

9. [ドメイン] ボックスをクリックして、Tenable Identity Exposure がアラート を送信 するドメインを選 択 します。
フォレスト とドメインペインが表示 されます。
a. フォレスト またはドメインを選 択します。
b. [選 択 内 容 でフィルター] をクリックします。
10. [設 定 のテスト ] をクリックします。
Tenable Identity Exposure がメールアラート をサーバーに送信 したことを確認 するメッセージが表 示されます。
11. [追 加 ] をクリックします。
Tenable Identity Exposure によりメールアラート が作成されたことを確 認 するメッセージが表 示 されます。
メールアラート を編 集 するには
1. Tenable Identity Exposure で、[システム] > [設 定 ] > [メール] をクリックします。
2. メールアラート のリスト で、変更 するメールアラート にカーソルを合 わせ、行 末のアイコンをクリックします。
[メールアラート の編 集 ] ペインが表示されます。
3. 前の手順 メールアラート を追 加 するにはに記載 されている必 要 な変更を行います。
4. [編 集 ] をクリックします。
Tenable Identity Exposure によりアラート が更 新されたことを確 認 するメッセージが表 示されます。
メールアラート を削 除 するには
1. Tenable Identity Exposure で、[システム] > [設 定 ] > [メール] をクリックします。
2. メールアラート のリスト で、削除 するメールアラート にカーソルを合 わせ、行 末のします。
削除 の確 認を求めるメッセージが表 示されます。
3. [削 除 ] をクリックします。

- 293 -

アイコンをクリック

Tenable Identity Exposure がアラート を削除 したことを確認 するメッセージが表 示されます。

関連項 目
l

SMTP サーバー設定lSyslog とメールアラート の詳 細Syslog アラート
企業 によっては SIEM (Security Information and Event Management) を使 用して、潜 在的 な脅 威 やセキュリティ上 のインシデント に関 するログを収集しています。Tenable Identity Exposure は、Active
Directory 関 連 のセキュリティ情報 を SIEM Syslog サーバーにプッシュすることができます。これにより、既存のアラート メカニズムが向上 します。
新 しい Syslog アラート を追 加 するには
1. Tenable Identity Exposure で、[システム] > [設 定 ] > [Syslog] をクリックします。
2. 右側 にある [Syslog アラート の追 加 ] ボタンをクリックします。
[Syslog アラート の追 加 ] ペインが表 示されます。

- 294 -

3. [主 要 な情 報 ] セクションに、以 下 を入 力します。
oネット ワークでセキュアリレーを使 用 している場 合 : [リレー] ボックスの矢印をクリックして、SIEMと通 信するリレーをドロップダウンリスト から選択 します。

o

[コレクターの IP アドレスまたはホスト 名 ] ボックスに、通 知を受 信するサーバー IP かホスト 名を入 力します。

o[ポート ] ボックスに、コレクターのポート 番号 を入力 します。

o[プロト コル] ボックスで、矢 印をクリックして UDP か TCP をクリックします。
n

TCP を選択 した場合 、TLS セキュリティプロト コルを有効 にしてログを暗 号化 するには、[TLS] オプションのチェックボックスを選 択 します。

o[説 明 ] ボックスに、コレクターの簡単な説 明を入力 します。

- 295 -

4. [アラート のト リガー] ドロップダウンリスト で、次のいずれかを選択します。
o

変 更 時 : Tenable Identity Exposure は指 定 したイベント が発生 するたびに通 知 を送 信 しますo各 逸 脱 時 : Tenable Identity Exposure は逸 脱 IoE を検 出するたびに通 知を送信します。

o

各 攻 撃 時 : Tenable Identity Exposure は逸 脱 IoA を検出するたびに通 知を送 信 します。

o各 ヘルスチェックステータスの変 更 時 : Tenable Identity Exposure は、ヘルスチェックステータスが変 わるたびに通知 を送信 します。

5. [プロファイル] ボックスで、この Syslog アラート に使 用するプロファイルをクリックして選 択 します。
6. 初 期 分 析 フェーズ中 に逸 脱 が検 出 された場 合 にアラート を送 信 する: 次 のいずれかを実 行 します(該 当 する場 合 )。
oチェックボックスを選択 する: システムの再 起 動 でアラート が発 生すると、Tenable Identity
Exposure は大量 のメール通 知を送 信 します。

oチェックボックスの選 択を解 除 する: システム再 起動 でアラート が発生 しても、Tenable
Identity Exposure はメール通 知を送 信しません。

7. 深 刻 度 のしきい値 : ドロップダウンボックスの矢 印をクリックして、Tenable Identity Exposure がアラー
ト を送 信 するしきい値 を選 択 します (該当 する場合 )。
8. これまでに選 択したアラート ト リガーに応じて、以 下 のようになります。
oイベント 変 更 : 変 更 時 にト リガーするアラート を設 定する場合 は、イベント 通 知をト リガーする
式 を入力します。
アイコンをクリックして検 索ウィザードを使 用するか、検索 ボックスにクエリ式 を入 力して[検 証 ] をクリックします。詳細 は、イベント 情 報のクエリをカスタマイズする を参 照してください。

o

露 出 インジケーター: [各 逸 脱 時 ] にアラート がト リガーされるように設定 した場 合は、各 深 刻度 レベルの横の矢 印 をクリックして露 出インジケーターのリスト を展 開 し、アラート を送信する
インジケーターを選 択 します。

o

攻 撃 インジケーター: [各 攻 撃 時 ] にアラート がト リガーされるように設定 した場 合は、各 深 刻度 レベルの横の矢 印 をクリックして攻 撃インジケーターのリスト を展 開 し、アラート を送信する- 296 -

インジケーターを選 択 します。
oヘルスチェックステータスの変 更 : [ヘルスチェック] をクリックし、アラート をト リガーするヘルスチェックタイプを選択 し、[選 択 内 容 でフィルター] をクリックします。

9. [ドメイン] ボックスをクリックして、Tenable Identity Exposure がアラート を送信 するドメインを選 択 します。
[フォレスト とドメイン] ペインが表示 されます。
a. フォレスト またはドメインを選 択します。
b. [選 択 内 容 でフィルター] をクリックします。
10. [設 定 のテスト ] をクリックします。
Tenable Identity Exposure が Syslog アラート をサーバーに送信したことを確 認するメッセージが表示されます。
11. [追 加 ] をクリックします。
Tenable Identity Exposure により Syslog アラート が作 成 されたことを確認するメッセージが表 示 されます。
Syslog アラート を編 集 するには
1. Tenable Identity Exposure で、[システム] > [設 定 ] > [Syslog] をクリックします。
2. Syslog アラート のリスト で、変更 するアラート にカーソルを合 わせ、行末 のアイコンをクリックします。
[Syslog アラート の編 集 ] ペインが表 示されます。
3. 前の手順 新しい Syslog アラート を追 加するにはに記載 されている必要 な変 更を行います。
4. [編 集 ] をクリックします。
Tenable Identity Exposure によりアラート が更 新されたことを確 認 するメッセージが表 示されます。
Syslog アラート を削 除 するには

- 297 -

1. Tenable Identity Exposure で、[システム] > [設 定 ] > [Syslog] をクリックします。
2. Syslog アラート のリスト で、削除 するアラート にカーソルを合 わせ、行末 のアイコンをクリックします。
削除 の確 認を求めるメッセージが表 示されます。
3. [削 除 ] をクリックします。
Tenable Identity Exposure がアラート を削除 したことを確認 するメッセージが表 示されます。

関連項 目
l

Syslog とメールアラート の詳 細Syslog とメールアラート の詳 細Syslog またはメールアラート を有 効にすると、Tenable Identity Exposure は、逸 脱、攻 撃、または変更 を検出 したときに通知を送信します。
注 意 : IoA アラート を受信 する前に、取 り込 みの時 間 について考慮する必 要があります。この遅 延 は、Syslog ア
ラート とメールアラート を設 定する際 の「設 定 のテスト 」フェーズで観測 されるタイミングとは異 なります。したがって、
実際の攻 撃 によってト リガーされるアラート のタイミングと比較するための基 準 値には、テスト 設定 の期間 を使 用
しないでください。

アラート ヘッダー
Syslog アラート ヘッダー (RFC-3164) は共通イベント 形 式 (CEF) を使用 しています。これは、Security
Information and Event Management (SIEM) を統合 するソリューションで共通で使用 されている形 式 です。

露出インジケーター (IoE) のアラート の例
IoE アラート ヘッダー
<116>Jan 9 09:24:42 qradar.alsid.app AlsidForAD[4]: "0" "1" "Alsid Forest" "emea.corp" "C-PASSWORDDONT-EXPIRE" "medium" "CN=Gustavo Fring,OU=Los_Pollos_Hermanos,OU=Emea,DC=emea,DC=corp" "28" "1" "RDONT-EXPIRE-SET" "2434" "TrusteeCn"="Gustavo Fring"

攻撃 インジケーター (IoA) のアラート の例- 298 -

IoA アラート ヘッダー
<116>Jan 9 09:24:42 qradar.alsid.app AlsidForAD[4]: "2" "1337" "Alsid Forest" "emea.corp" "DC Sync""medium" "yoda.alsid.corp" "10.0.0.1" "antoinex1x.alsid.corp" "10.1.0.1" "user"="Gustavo Fring" "dc_name"="MyDC"

アラート 情報一般 的 な要 素

ヘッダー構 造 には、表 で説明されている次 の部 分が含まれています。
パート

説明

1

Time Stamp — 検 出 日 。例: "Jun 7 05:37:03"

2

Hostname — アプリケーションのホスト 名。例 : "customer.tenable.ad"3

Product Name — 逸 脱が発 生した製品名。例: "TenableAD"、"AnotherTenableADProduct"

4

PID — 製品 (Tenable Identity Exposure) ID。例 : [4]5Tenable Msg Type — イベント ソースの識 別 子。例: "0" (= 各 逸脱 時)、"1" (= 変更時 )、"2"(= 各 攻撃 時)

6

Tenable Alert ID — アラート の一意の ID。例: "0"、"132"7

Forest Name — 関 連 するイベント のフォレスト 名。例: "Corp Forest"

8

Domain Name — イベント に関連 するドメイン名。例 : "tenable.corp"、"zwx.com"

9

Tenable Codename - 露出 インジケーター (IoE) または攻撃 インジケーター (IoA) のコード名。例 : "C-PASSWORD-DONT-EXPIRE"、"DC Sync"。

10

Tenable Severity Level — 関 連する逸脱 の深 刻度レベル。例: "critical"、"high"、"medium"- 299 -

IoE 固 有の要素

パート

説明

11

AD Object — 逸脱 オブジェクト の識 別 名。例 : "CN=s_
infosec.scanner,OU=ADManagers,DC=domain,DC=local"

12

Tenable Deviance ID — 逸 脱 の ID。例: "24980"、"132"、"28"13

Tenable Profile ID — Tenable Identity Exposure が逸脱をト リガーしたプロファイルの ID。
例: "1" (Tenable)、"2" (soc_team)

14

AD Reason Codename — 逸 脱理由 のコード名 。例 : "R-DONT-EXPIRE-SET"、"RUNCONST-DELEG"

15

Tenable Event ID — 逸脱 によって発生 したイベント の ID。例: "40667"、"28"16

Tenable Insertion Strings Name — 逸脱オブジェクト で発 生した属性 名。例: "Cn"、"useraccountcontrol"、"member"、"pwdlastset"

17

Tenable Insertion Strings Value — 逸脱 オブジェクト で発生 した属 性の値 。例 : "s_infosec.scanner"、"CN=Backup Operators,CN=Builtin,DC=domain,DC=local"

IoA 固有 の要素- 300 -

パート

説明

11

Source hostname — 攻 撃 ホスト のホスト 名。値は「不 明 」の場合 もあります。

12

Source IP Address — 攻 撃ホスト の IP アドレス。値は IPv4 または IPv6 です。

13

Destination Hostname — 攻撃 されたホスト のホスト 名。

14

Destination IP Address — 攻撃されたホスト の IP アドレス。値 は IPv4 または IPv6 です。

15

Attack Vector Insertion Strings Name — 逸 脱オブジェクト がト リガーした属 性名 。

16

Attack Vector Insertion Strings Value — 逸脱オブジェクト がト リガーした属性 値 。

例
イベント 情 報 のイベント 詳 細次の例 は、以 下 を含 むイベント 情 報 に表 示されるイベント の詳細 を示しています。
lタイムスタンプ (1)l逸脱 オブジェクト の名前 (11)l

フォレスト (7) とドメイン (8) の名前l

逸脱 オブジェクト がト リガーした属性 の値 (17)- 301 -

イベント ソース
この例 は、イベント のソースを示しています (5)。このパラメーターは Syslog 設 定ページで設 定したものです。詳 細 は、Syslog アラート を参照 してください。

- 302 -

アラート ID
この例 は、アラート の一意の ID を示 しています (6)。これは、Tenable Identity Exposure の [システム] >[設 定 ] > [メール] で設定したメールアドレスのリスト で確認 できます。

- 303 -

ヘルスチェック
Tenable Identity Exposure のヘルスチェック機能は、ドメインとサービスアカウント の設 定を 1 つの統 合
ビューでリアルタイムで可視化 します。そこからドリルダウンして、インフラにおける接 続問題 やその他の問
題につながる設 定異 常がないか調査 することができます。この機能により、すべてが適切 に設定され、Tenable Identity Exposure がスムーズに動作することを確 認 でき、迅速で正確 な対応措 置を取ることで問題 を修 正 できるようになります。また、Tenable Identity Exposure が効率 的に機能 するように最適な設定 になっているという確 信 に繋 がります。
ヘルスチェックは、管理 ロールの場合 はデフォルト で、特定のユーザーロールの場合はアクセス許可 に応じて表 示 されます。ヘルスチェックのステータスが変 わるたびに、Syslog またはメールアラート を作成することもできます。

ヘルスチェックと DC 同 期 攻 撃 の検 出
ヘルスチェックは、Tenable Identity Exposure サービスのステータスとユーザビリティに関 する貴重な情 報 を提供 してくれます。ヘルスチェックは、サービスアカウント の機 能を検 証 し、特 権 分 析に使 用されるパスワー
ドハッシュや DPAPI バックアップキーなどの機密 情報 を収 集 します。ヘルスチェックレポート で、Tenable は
サービスアカウント に特権 分 析 機能 が適 切に設 定されているかどうかを判 断するために、機 密 データの収集を試 みます。特権 分析 機能 が使 用 されていない場合 は何 も収集 しません。このプロセス中 に DCSync
攻撃 が検 出 されるのを防ぐために、Tenable は提供されたサービスアカウント を DCSync の攻撃インジケー
ターのホワイト リスト に自 動的に追加 します。

ドメインステータス
Tenable Identity Exposure は各 ドメインの以下 の項目 をチェックします。
l

AD ドメインへの認証 — LDAP 設 定とステータス、認証情 報 、SMB アクセス。

lドメインの到達 可 能 性 — 動 的 RPC ポート への動 作中の接続、到 達可能 な SMB サーバー、到 達
可能 なドメインコント ローラーの IP アドレスまたは FQDN、RPC ポート への動作中 の接続、到達 可
能な LDAP サーバー、到達 可能 なグローバルカタログ LDAP サーバー。

l

アクセス許 可 — AD ドメインデータにアクセスし、特 権データを収集 できること。

l

リレーにリンクされたドメイン — ドメインがリレーサービスに正しく関連付 けられていること。

プラット フォームステータス
Tenable Identity Exposure は、プラット フォーム設定に関して次 の項 目 をチェックします。

- 304 -

l

リレーサービスの実行 — ト ラブルシューティングのヒント を使 ってリレー設定が正 しいかどうか。

l

リレーバージョンの整 合 性 — リレーバージョンが Tenable Identity Exposure のバージョンと整合 しているかどうか。

l

AD データコレクターサービスの実 行 — データコレクターサービス、ブローカー、コレクターブリッジが動作可 能 で、データを他のサービスにリレーできるかどうか。

ヘルスチェックにアクセスするには
1. Tenable Identity Exposure ページの左下 隅のアイコンにカーソルを合わせると、インフラのグ

ローバルステータスが表 示 されます。
2. このアイコンをクリックすると、[ヘルスチェック] ページが開きます。[ドメインステータス] または [プラットフォームステータス] タブに、次 のいずれかが表示 されます。
o

すべてのヘルスチェックに合格 したというメッセージo

特 定のステータスを示 す警告 または問題 のリスト
チェックに合 格し、正常 な結果 を示している。
チェックに不 合格となり、問題が特定されている。
チェックに不 合格となったが、この問題は Tenable Identity Exposure の正常 な動作 を妨げるものではない。
たとえば、クライアント 側の Active Directory の設定 ミスが原因 でサービスア
カウント が特権 データを収 集できない場 合 、データ収集のチェックは不 合格になります。ただし、Tenable Identity Exposure のこのドメインで特権分析機 能がアクティブ化されていないため、深刻な問題とはなりません。そのため、この警 告 となっています。しかし、特権分析 をアクティブ化すると、チェッ
クは即 座に不 合格となります。
依 存性 チェックで不合 格 となったため、チェックは不明な結 果を示 している。
たとえば、認 証 のチェックで不合格 になると、ネット ワーク到達 性のチェックに
進 めなくなります。

- 305 -

すべてのヘルスチェックを表 示 するにはl

右側 のヘルスチェックのリスト の上 の [成 功 したチェックの表 示 ] のト グルをクリックして有効にし、Tenable Identity Exposure が実行 したすべてのチェックを一覧 表 示 します。以 下の情報が含 まれます。
oヘルスチェック名oステータス (合 格、不合 格、不合格だがブロックなし、不 明 )o

影 響を受けるドメインとそれに関連付 けられているフォレスト (ドメインステータスチェックのみ)o

最 後にチェックが実 行 された時刻

oチェックがこのステータスを保 持 している長さ

ヘルスチェックページを更 新 するにはlTenable Identity Exposure は、ヘルスチェックを定期 的に実行しますが、ページをリアルタイムの結果で更新 することはありません。

をクリックして、結果 のリスト を更新 してください。

ヘルスチェックのタイプまたはドメインで結 果 をフィルタリングするには
1. 右側 のヘルスチェックのリスト の上 にある [n/n 個 のヘルスチェック] または [n/n 個 のドメイン] (ドメインステータスのみ) をクリックします。
[ヘルスチェック] または [フォレスト とドメイン] ペインが開 きます。
2. ヘルスチェックのタイプまたはフォレスト / ドメイン (該 当 する場合) を選 択 し、[選 択 内 容 でフィルター] をクリックします。
各 ヘルスチェックの詳 細 情 報 をドリルダウンするには
1. ヘルスチェックのリスト で、ヘルスチェック名または行末の青い矢 印 ( ) をクリックします。
[詳 細 ] ペインが開 き、チェックの説 明 と関 連 する詳 細 のリスト が表 示 されます。
ヘルスチェック名タイプ

チェックの説 明- 306 -

理由

ドメイン到 達 可能 性

Domain (ドAD ドメインとの接 続メイン)を確立する能 力lIP-UNREACHABLE
R-LDAP-GLOBALCATALOGUNREACHABLEl

LDAP-SERVERUNREACHABLEl

SMB-SERVERUNREACHABLEl

DYNAMIC-RPCCONNECTION-NOTWORKINGl

RPC-CONNECTIONNOT-WORKING

AD ドメインへの認証

Domain (ドAD ドメインへの認

メイン)

証 能力

l

INCORRECTCREDENTIALSlLDAP-SERVER-BUSY

l

LDAP-SERVERUNAVAILABLEl

LDAP-SERVERACCESS-DENIEDl

SMB-SERVERACCESS-DENIED

AD ドメインデータを収

Domain (ドAD ドメインデータを集 するためのアクセス

メイン)

収 集する能 力l

MISSINGPERMISSIONS-許可

PRIVILEGED-DATA

AD コンテナへのアクセ

Domain (ドAD コンテナにアクセ

ス許 可

メイン)

スできる能 力- 307 -l

MISSINGPERMISSIONS-DELETED-OBJECTSACCESSlMISSINGPERMISSIONSPASSWORDSETTINGS-ACCESS

リレーにリンクされたドDomain (ドドメインはリレーにリ

メイン

メイン)

ンクされています

リレーサービス稼働 中

プラット

リレーが期待通 りにフォーム

動 作しています

リレーサービスバージョ

プラット

リレーバージョンが製

ン

フォーム

品 と一致 しています

AD データコレクター

プラット

AD データコレクター

稼 働中

フォーム

が期待通りに動作していますl

LINKED-TO-RELAYDOWNl

RELAY-DOWNl

VERSION-MISMATCHl

DATA-COLLECTORSERVICE-DOWN

l

DATA-COLLECTORBRIDGE-DOWNl

BROKER-DOWN

2. 詳細 行 の末尾 にある矢 印 をクリックして展 開 すると、結 果 に関 する情 報がさらに表 示されます。
ヘルスチェックステータスアイコンを非 表 示 にするには
Tenable Identity Exposure はデフォルト で画面左 下隅にヘルスチェックステータスアイコンを表示 します。
1. Tenable Identity Exposure で、左 側のナビゲーションバーの [システム] に移動し、[設 定 ] タブを選択します。
または、ヘルスチェックページの右 上 隅 のをクリックし、[設 定 ] を選択 することもできます。

2. [アプリケーションサービス] で、[ヘルスチェック] を選択します。
3. [グローバルヘルスチェックステータスを表 示 する] のト グルをクリックして、無効 にします。
Tenable Identity Exposure は画 面左 下 隅のヘルスチェックステータスアイコンを非表 示 にします。

- 308 -

ユーザーロールにヘルスチェックのアクセス許 可 を割 り当 てるには
1. Tenable Identity Exposure で、左 側のナビゲーションバーの [アカウント ] に移動し、[ロール管 理 ]タブを選 択 します。
2. ロールのリスト で、ユーザーロールを選択し、行末にあるをクリックします。

[ロールの編 集 ] ペインが開 きます。
3. [システム設 定 エンティティ] タブを選 択 します。
4. [ヘルスチェック] エンティティを選択 し、アクセス許可のト グルをクリックして、[不 許 可 ] から [許 可 ] に切り替 えます。
5. [適 用 して閉 じる] をクリックします。
アクセス許 可についての詳 細 は、ロールのアクセス許 可の設定 を参照 してください。
ヘルスチェックステータス変 更 のアラート を設 定 するには
1. Tenable Identity Exposure で、左 側のナビゲーションバーの [システム] に移動し、[設 定 ] タブを選択します。
をクリックし、[アラート ] を選 択することもできます。

または、ヘルスチェックページの右 上 隅 の

2. [アラート エンジン] の下にある、[Syslog] または [メール] を選択 します。
3. [Syslog アラート の追 加 ] または [メールアラート の追 加 ] をクリックします。
新しいペインが開 きます。完 全な手 順については、アラート を参照してください。
4. [アラート パラメーター] の下 にある [アラート のト リガー] ボックスで、ドロップダウンメニューから [ヘルスチェックのステータス変 更 時 ] を選択 します。
5. [ヘルスチェック] ボックスの矢印 をクリックして、アラート をト リガーするヘルスチェックのタイプを選 択
し、[選 択 内 容 でフィルター] をクリックします。
6. [追 加 ] をクリックします。

レポート センター- 309 -

Tenable Identity Exposure のレポート センターには、重 要 なデータを組織 内の主 要ステークホルダー向 けのレポート としてエクスポート できる便 利な機能 があります。レポート センターでは、事 前 定義されたリストからレポート を作 成することができ、プロセスが効率 的で簡潔 になります。
次のような機 能があります。
l

詳 細 なフィルタリング: 日 付範 囲 、ドメイン、攻撃 インジケーター (IoA)、露 出インジケーター (IoE) な
どに基 づく詳細 なフィルターを使 用 してレポート を絞り込めるので、的 を絞 ったインサイト が得られます。

l

自 動 配 信 : レポート の自動 生 成をスケジュールし、希望 の間隔 で配信 することで、セキュリティの監視とレポート のプロセスを効 率化 します。

l

柔 軟 なエクスポート : レポート を CSV などのさまざまな形式でエクスポート して、詳細な分 析を行 ったり、レポート アクセスキーを使 用 して共 有したり、既存のレポート ワークフローと統 合 したりできます。

管理 者 は、最 長 1 四半期 の柔軟 なレポート 期間 で、異なるユーザー向けにさまざまなタイプのレポート を
作成 できます。Tenable Identity Exposure から重 要なアイデンティティデータを共有できるため、企 業は
積極 的 にリスクを軽減し、アイデンティティベースの攻 撃の可 能性を特 定できるようになります。
ユーザーがレポート をダウンロードするには、管理 者 から受け取 ったメールに記 載 された URL のリンク先
ページにレポート のアクセスキーを入 力します。レポート は 30 日 間ダウンロードでき、その後期限 切 れとな
り、Tenable Identity Exposure により削除 されます。Tenable Identity Exposure が指定 された期間 分 の
新しいレポート を生成し、過去 のレポート を上書きする前に、ユーザーはレポート をダウンロードする必要があります。
レポート センターにアクセスするには
1. Tenable Identity Exposure で、[システム] > [設 定 ] を選択します。
2. [レポート ] の [レポート センター] をクリックします。
ペインが開 き、設 定済みレポート のリスト とそれに関連する情報 (レポート 名、タイプ、ドメイン、プロ
ファイル、期間、頻度、受 信者 のメールアドレスなど) が表示されます。

Microsoft Entra ID のサポート- 310 -

Tenable Identity Exposure は Active Directory のほかに Microsoft Entra ID (旧 Azure AD または AAD)もサポート し、企 業内 で使用できる ID の範囲 を広げています。この機能では、Microsoft Entra ID に固有のリスクにフォーカスした、新しい露 出 インジケーター (IoE) が使 用されます。
Microsoft Entra ID を Tenable Identity Exposure と統合 するには、次 のオンボーディングプロセスに厳 密に従 ってください。
1. 前提 条 件 を満 たす
2. アクセス許 可をチェックする
3. Microsoft Entra ID の設 定
4. Microsoft Entra ID のサポート のアクティブ化
5. テナント スキャンの有効 化

前提条 件「cloud.tenable.com」にログインし、Microsoft Entra ID のサポート 機 能を使 用 するには、Tenable クラウド
アカウント が必 要 です。この Tenable クラウドアカウント は、ようこそメールに使 用されたメールアドレスと同じものです。「cloud.tenable.com」のメールアドレスがわからない場合 は、サポート までご連 絡ください。有効なライセンス (オンプレミスまたは SaaS) をお持 ちのお客様 は、「cloud.tenable.com」で Tenable クラウドにアクセスできます。このアカウント を使 用 して、Microsoft Entra ID にかける Tenable スキャンを設 定 したり、スキャン結 果を収集 したりできます。
注 意 : Tenable クラウドにアクセスするのに有効 な Tenable Vulnerability Management ライセンスは必要 ありま
せん。現 在有 効なスタンドアロン Tenable Identity Exposure ライセンス (オンプレミスまたは SaaS) があれば十 分です。

アクセス許 可Microsoft Entra ID をサポート するには、ユーザー、グループ、アプリケーション、サービスプリンシパル、ロール、アクセス許可、ポリシー、ログなどのデータを Microsoft Entra ID から収 集 する必 要があります。この
データは、Microsoft の推奨に従 い、Microsoft Graph API とサービスプリンシパル認 証情報 を使 用して収集されます。
l

Microsoft Graph でテナント 全 体 の管 理 者 の同 意 を付 与 するアクセス許 可 を持 つユーザーとして
Microsoft Entra ID にサインインする必 要があります。つまり、Microsoft が定めた条件 によると、グ- 311 -

ローバル管 理者または特権 ロール管理 者のロール (または適切 なアクセス許 可を持 つカスタムロー
ル) がなければなりません。
lMicrosoft Entra ID の設 定 とデータ視覚 化にアクセスするには、Tenable Identity Exposure ユー
ザーロールに適切なアクセス許 可がなければなりません。詳細 は、ロールのアクセス許 可の設 定 を参照 してください。

Microsoft Entra ID の設定
次の手 順 (Microsoft のクイックスタート : Microsoft ID プラット フォームにアプリケーションを登録するのドキュメント から引 用) を使用して、Microsoft Entra ID で必 要 なすべての設定 を行います。
1.

アプリケーションを作 成 する
a. Azure 管理 者ポータルで、[アプリの登 録 ] ページを開きます。
b. [+ 新 規 登 録 ] をクリックします。
c. アプリケーションに名 前を付けます (例: Tenable Identity Collector)。その他 のオプションについては、デフォルト 値 のままにしておくことができます。
d. [登 録 ] をクリックします。
e. この新たに作 成されたアプリの [概要 ] ページにある、「アプリケーション (クライアント ) ID」と「ディレクト リ (テナント ) ID」を書 き留めます。

2.

認 証 情 報 をアプリケーションに追 加 する
a. Azure 管理 者ポータルで、[アプリの登 録 ] ページを開きます。
b. 作 成したアプリケーションをクリックします。
c. 左 側のメニューにある [証 明 書 とシークレット ] をクリックします。
d. [+ 新 しいクライアント シークレット ]をクリックします。
e. [説 明 ] ボックスに、このシークレット に実際に使用 する名 前と、ポリシーに準 拠した有 効 期 限の値 を入 力します。有 効期 限が近 づいたら忘 れずにこのシークレット を更新 します。
f. シークレット は Azure に 1 度しか表 示されないため、シークレット の値を安 全な場所に保 存してください。紛 失した場 合 は再 作成する必要 があります。

- 312 -

3.

アプリケーションにアクセス許 可 を割 り当 てる
a. Azure 管理 者ポータルで、[アプリの登 録 ] ページを開きます。
b. 作 成したアプリケーションをクリックします。
c. 左 側のメニューにある [API のアクセス許 可 ] をクリックします。
d. 既 存の User.Read アクセス許可を削除します。

e. [+ アクセス許 可 の追 加 ] をクリックします。

f. [Microsoft Graph] を選択 します。

- 313 -

g. [アプリケーションのアクセス許 可 ] を選 択 します ([委 任されたアクセス許 可] ではありません)。

h. リスト か検索 バーを使用 して、次のすべてのアクセス許可 を見 つけて選 択します。
oAuditLog.Read.AlloDirectory.Read.AlloIdentityProvider.Read.Allo

Policy.Read.AlloReports.Read.All- 314 -

o

RoleManagement.Read.Allo

UserAuthenticationMethod.Read.Alli. [アクセス許 可 の追 加 ] をクリックします。
j. [<テナント 名 > に管 理 者 の同 意 を付 与 する] をクリックし、[はい] をクリックして確定 します。

- 315 -

4. Microsoft Entra ID で必 要 なすべての設定 をしたら、以 下を実 行 します。
a. Tenable Vulnerability Management で「Microsoft Azure」タイプの新しい認証 情報を作 成 します。
b. 「キー」認証 方法を選 択し、前の手 順で取得した値 (テナント ID、アプリケーション ID、クライ
アント シークレット ) を入力 します。

Microsoft Entra ID のサポート のアクティブ化
Microsoft Entra ID のサポート をアクティブ化 するには
注 意 : この機能 をアクティブ化 するには、このアクセスキーとシークレット キーを作成した Tenable クラウドユーザー
が、Tenable Identity Exposure ライセンスで参照 されている Tenable クラウドコンテナで、管 理者権限 を持 っていなければなりません。詳細は、Tenable Identity Exposure のライセンシングを参照 してください。

1. Tenable Identity Exposure で、左 側のナビゲーションメニューのシステムアイコン

をクリックします。
2. [設 定 ] タブをクリックします。
[設 定 ] ページが開 きます。
3. アプリケーションサービスで、[Tenable クラウド] をクリックします。
4. [Microsoft Entra ID のサポート をアクティブ化 する] のト グルをクリックして有 効にします。
5. Tenable クラウドにログインしたことがない場合 は、リンクをクリックしてログインページに移動します。
a. [パスワードをお忘 れですか?] をクリックし、パスワードリセット をリクエスト します。
b. Tenable Identity Exposure ライセンスに関 連付けられているメールアドレスを入 力し、[パスワードのリセット をリクエスト ] をクリックします。
Tenable はそのアドレスに、パスワードをリセット するためのリンクが記載 されたメールを送 信します。
注 意 : メールアドレスが Tenable Identity Exposure ライセンスに関連 付 けられているものと異 なる場 合は、カスタマーサポート に連 絡してサポート を受 けてください。

6. Tenable Vulnerability Management にログインします。

- 316 -

7. Tenable Vulnerability Management で API キーを生成するには、Tenable Vulnerability
Management の [設 定 ] > [マイアカウント ] > [API キー] に移動 します。
8. Tenable Vulnerability Management「管 理者 」ユーザーの AccessKey と SecretKey を入力 して、Tenable Identity Exposure と Tenableクラウドサービスの間 の接 続 を設 定します。
9. [キーを編 集 する] をクリックして、API キーを送 信します。

Tenable Identity Exposure に、API キーを更新 したことを確認 するメッセージが表 示されます。

テナント スキャンの有 効 化
新 しい Microsoft Entra ID テナント を追 加 するにはテナント を追 加すると、Tenable Identity Exposure と Microsoft Entra ID テナント がリンクして、そのテナン
ト に対してスキャンを実 行できるようになります。
1. [設定 ] ページで、[テナント 管 理 ] タブをクリックします。
[テナント 管 理 ] ページが開 きます。
2. [テナント の追 加 ] をクリックします。
[テナント の追 加 ] ページが開 きます。

- 317 -

3. [テナント の名 前 ] ボックスに名 前 を入力 します。
4. [認 証 情 報 ] ボックスのドロップダウンリスト をクリックして、認証 情報を選 択します。
5. 使用 する認証情 報がリスト に表示 されない場合は、次 のいずれかを行 うことができます。
oTenable Vulnerability Management (Tenable Vulnerability Management > [設 定 ] > [認 証
情 報 ]) で作 成 します。詳細 については、Tenable Vulnerability Management の Azure タイプの認 証情 報を作成 する手 順を参 照してください。

oTenable Vulnerability Management で、認証情 報 に「使 用可能 」または「編 集可能 」アクセス許 可があることを確認 してください。これらのアクセス許可がない限り、Tenable Identity
Exposure のドロップダウンリスト に認 証情 報が表示 されません。

6. [更 新 ] をクリックして、認証 情 報のドロップダウンリスト を更 新します。
7. 作成 した認 証 情報 を選 択 します。
8. [追 加 ] をクリックします。

- 318 -

Tenable Identity Exposure がテナント を追加したことを確認するメッセージが表示 され、テナント 管理ページのリスト に表示 されるようになります。
テナント のスキャンを有 効 にするには
注 意 : テナント スキャンはリアルタイムでは行 われず、ID エクスプローラーに Microsoft Entra ID のデータが表 示 されるまで少 なくとも 45 分 必要です。
l

リスト でテナント を選択し、ト グルをクリックして [スキャン可 能 ] に切り替えます。

Tenable Identity Exposure はテナント に対するスキャンをリクエスト し、その結果が露出 インジケー
ターページに表 示されます。
注 意 : 2 つのスキャン間の必須 の最 小遅 延時間 は 30 分 です。

Tenable クラウドのデータ収 集- 319 -

Tenable クラウド — Tenable Identity Exposure のデータ収 集 機 能は、情 報をプライベート クラウドに転 送
して、セキュリティ分析 とサービスを提 供します。データ収 集の詳 細 については、Tenable の 信 頼 と保証 のステート メント を参照 してください。

Tenable クラウドを使 用するには
1. Tenable Identity Exposure で、サイドナビゲーションバーの [システム] をクリックし、[システム] をク
リックします。
[システム設 定 ] ペインが開きます。
2. [設 定 ] タブを選 択します。
3. [アプリケーションサービス] セクションで、[Tenable クラウド] をクリックします。
[Tenable クラウド] ペインが開 きます。
4. [Tenable クラウドサービスの使用 ] ト グルをクリックして [有 効 ] に切り替えます。
Tenable Identity Exposure が情報 転送の設定を更新 したことを確 認するメッセージが表示されま
す。

特権分 析
特権 分 析 は Tenable Identity Exposure のオプション機能 で、保護データを取得 し、より多 くのセキュリ
ティ分析 を提 供するために、他 の機能 とは対照 的により多 くの権 限を必要 とします。

データ取 得
注意: 特 権 分析 機能には、昇 格された権限が必要です。特権 分析のためのアクセス を参照 してください。

特権 分 析 を有効 にすると、次の追 加データが取得されます。
l

パスワードハッシュ - Tenable Identity Exposure はパスワード分 析のために LM および NT ハッシュを
取得 します。Tenable Identity Exposure は、古くて弱 いアルゴリズムを使 用する LM ハッシュの存在について警告するためだけに LM ハッシュを取 得しますが、保存 はしません。ハッシュコレクションの範囲には以 下が含まれます。
o

すべての有効なユーザーアカウントo

すべての有効なドメインコント ローラーコンピューターアカウント- 320 -

データ保 護Active Directory (AD) 自体 はユーザーパスワードを直接 保存しません。元 のパスワードの回 復できないよ
うに、LM または NT ハッシュアルゴリズムを使 ってハッシュ化 のみを行います。Tenable Identity Exposure
は、LM ハッシュを保存 しません。
SAAS-VPN プラット フォームでリレーをホスト しているクライアント を除 き、リレーのみがパスワードを処理 する
ため、パスワードがクライアント のインフラから離れることはありません。リレーはパスワードを保 存しません
が、分 析に必 要になるたびにユーザーのパスワードを取 得し、一時的 に (通常 は数ミリ秒のみ) キャッシュ
に保 存 します。ただし、Tenable Identity Exposure は、K-匿名性 分 析を実 行 して同 一のパスワードを使用するユーザーをチェックするためだけに、最小 限のビット 数のパスワードハッシュデータをリレーの RAM に
安全 に保 存 します。
注 意 : SaaS-VPN プラット フォームクライアント の場 合も動 作は同 じですが、Tenable がリレーをホスト します。

アクティビティログ
Tenable Identity Exposure のアクティビティログにより、特 定の IP アドレス、ユーザー、アクションに関連 する、Tenable Identity Exposure プラット フォームで発 生したすべてのアクティビティの痕 跡を確 認 することができます。
アクティビティログを設 定 するには
1. Tenable Identity Exposure サイドナビゲーションペインの [管 理 ] で、[システム] をクリックします。
[システム設 定 ] ペインが開きます。
2. [アプリケーションサービス] セクションで、[アクティビティログ] をクリックします。
[アクティビティログ管 理 ] ペインが開 きます。
3. アクティビティログ機能を有 効にするには、ト グルをクリックして[有 効 ]にします。
4. [保持 期 間 (月 単 位)] ボックスで、> をクリックして、アクティビティを記録する月数を選択します。
5. [Save] をクリックします。
Tenable Identity Exposure が設定 を更新したことを確認するメッセージが表 示されます。

- 321 -

アクティビティログデータを消 去 するには
1. Tenable Identity Exposure サイドナビゲーションペインの [管 理 ] で、[システム] をクリックします。
[システム設 定 ] ペインが開きます。
2. [アプリケーションサービス] セクションで、[アクティビティログ] をクリックします。
[アクティビティログ管 理 ] ペインが開 きます。
3. [アクティビティログデータをすべてクリア] で、[クリア]をクリックします。
確認 を求めるメッセージが表 示 されます。
4. [確 認 ] をクリックします。
Tenable Identity Exposure が設定 を更新したことを確認するメッセージが表 示されます。
ユーザーが自 身 のアクティビティログにアクセスするためのアクセス許 可 を設 定 するには
1. Tenable Identity Exposure サイドナビゲーションペインの [管 理 ] で、[アカウント ] をクリックします。
[ユーザーアカウント 管 理 ] ペインが開きます。

- 322 -

2. [ロール管 理 ] タブを選択 します。
3. ロールのリスト で、このアクセス許 可 を必 要とするユーザーロールにカーソルを合 わせ、行 の末 尾にある

アイコンをクリックします。

[ロールの編 集 ] ペインが開 きます。
4. [主 要 な情 報 ] セクションで、[システム設 定 エンティティ] タブを選択 します。
5. [アクセス許 可 管 理 ] セクションで、以下を実行 します。
o[アクティビティログ] のアクセス許 可の [不許可 ] を選択解除 します。

o[ユーザー自 身 のト レースのみを表 示 ] のアクセス許 可を選択 して、[許可 ] にします。

6. [適 用 して閉 じる] をクリックします。
Tenable Identity Exposure がユーザーロールを更新 したことを確 認 するメッセージが表 示 されます。

Tenable Identity Exposure 公 開 API
Tenable Identity Exposure の API を使用 すると、そのデータベースサービスと通 信できます。
Tenable Identity Exposure の API の構 造 とリソースが含 まれている OpenAPI ファイルは、こちら から入 手できます。

- 323 -

Tenable Identity Exposure インスタンスの API にアクセスするにはl

ブラウザで、次 の URL を開きます。

OpenAPI ファイルをダウンロードするにはl

オンプレミスインスト ールの場 合は、セキュリティエンジンノードの次 のパスをたどります。

lSaaS インスト ールの場合 は、Tenable Identity Exposure API Explorer に移 動します。

API キーを取 得 するには
1. Tenable Identity Exposure で、ユーザープロファイルアイコンをクリックし、[環 境 設 定 ] を選 択 します。
環境 設 定 ペインが開 きます。
2. メニューから、[API キー] を選 択 します。
Tenable Identity Exposure が現在 の API キーを表 示します。

- 324 -

3. API キーをクリップボードにコピーするには、をクリックします。

API キーを更 新 するには[API キーの更 新 ] をクリックするか、API キーまたはアクセスト ークンを生 成 する権 利 を失うと、アクセスト ー
クンが期限 切れになります。有効 期限 は、時間 や API リクエスト の数 とは関係 ありません。API キーの生成または更 新 は現在のユーザーに固有 のものであり、他 のアカウント の API キーには影響 しません。API
キーを取得 すると、リフレッシュト ークンも受 け取 ります。このリフレッシュト ークンを使 用して、新しい API
ト ークンを取 得 できます。
注 意 : API キーを更 新すると、Tenable Identity Exposure は現 在 の API キーを無 効にします。リフレッシュト ーク
ンも受 け取 ります。

1. [API キーの更 新 ] をクリックします。
確認 を求めるメッセージが表 示 されます。
2. [確 認 ] をクリックします。

データ管 理Tenable Identity Exposure は、Microsoft Entra ID と Active Directory のデータを最大 15 か月間 保持 し
ます。
機能

保持期間

攻撃 経路
6 か月

ト ポロジー
イベント フロー12 か月

ダッシュボードとレポート
ID エクスプローラー

最長 15 か月

アイデンティティ 360
露出 インジケーター (Entra ID)
露出 インジケーター (Active Directory)l

アクティブな問題 : 無期 限に保 持

攻撃 インジケーター (Active Directory)l

修正 済みの問題: 6 か月 間 保 持- 325 -

詳細 は、Tenable Cloud Platform Data (Tenable クラウドプラット フォームデータ) を参照 してください。

デプロイメント リージョン
Tenable Identity Exposure SaaS は現 在 、次の Azure リージョンにデプロイされています。
Azure リージョン

国
南 北 アメリカ
ブラジル — サンパウロ

ブラジル南部

カナダ — ケベックシティ

カナダ東部

カナダ — ト ロント

カナダ中部

米国 — カリフォルニア

米国 西部

米国 — アイオワ

米国 中部

米国 — バージニア

米国 東部 2ヨーロッパ、中 近 東 、アフリカ
フランス — パリ

フランス中 部

アイルランド北ヨーロッパオランダ

西ヨーロッパ南アフリカ — ヨハネスブルグ

南アフリカ北部

スイス — チューリッヒ

スイス北 部

アラブ首 長 国連邦 — ドバイ

アラブ首長 国連 邦北部

英国 — ロンドン

英国 南部

アジア太 平 洋 地 域
オースト ラリア — ニューサウスウェールズ

オースト ラリア東 部

オースト ラリア — ビクト リア

オースト ラリア南 東部

香港

東アジア

- 326 -

インド — プネー

中央 インド日本 — 大 阪

西日 本

シンガポール

東南 アジア

Tenable Identity Exposure のライセンシング
このト ピックでは、スタンドアロン製 品としての Tenable Identity Exposure のライセンス付与プロセスを説明します。また、資産 のカウント 方 法と、ライセンスの超 過 または有効 期 限が切 れた場合 の対応 についても説明 します。

Tenable Identity Exposure のライセンス付与
Tenable Identity Exposure には、クラウドバージョンとオンプレミスバージョンの 2 つのバージョンがあります。Tenable は、場合 によってはサブスクリプション価 格も提供 しています。
Tenable Identity Exposure を使 用 するには、所 属する組織 のニーズと環境に基づいてライセンスを購 入してください。Tenable Identity Exposure は、組 織 の資産 (ディレクト リサービスで有 効になっているユーザー) にそれらのライセンスを割 り当てます。
環境 が拡 張 すると資産 数も増えるため、その変化 に合わせてライセンスを追加購 入する必 要があります。Tenable のライセンスは、累 進的 な価 格設定 であるため、多く購入するほど単価 は安くなります。価格については、Tenable の担当 者 までお問 い合 わせください。
ヒント : 現 在のライセンス数と利用 可能 な資 産を表示するには、Tenable の上 部ナビゲーションバーでセンス情 報 ] の順にクリックします。詳 細については、ライセンス情報 ページを参 照 してください。

、[ライ

注 意 : Tenable は、マネージドセキュリティサービスプロバイダー (MSSP) にシンプルな価 格設定 を提 供しています。
詳細については、Tenable の担当 者 にお問 い合わせください。

資産のカウント 方 法
購入 する各 Tenable Identity Exposure ライセンスにつき、ユーザーの一 意の ID またはデジタル表 現 を 1
件スキャンすることができます。Tenable は ID を二重 にカウント しません。たとえば、Microsoft Active
Directory と Microsoft Entra ID の両 方 で同 じ ID に対して有 効 になっているユーザーアカウント は、1 つのTenable ライセンスとしてカウント されます。

- 327 -

Tenable Identity Exposure コンポーネント
Tenable Identity Exposure のどちらのバージョンでも、以 下 のコンポーネント が含まれています。
lイベント フロービューlト ポロジービューl

露出 インジケーターl

攻撃 インジケーターl

攻撃 経 路l

ID エクスプローラー

lMicrosoft Entra ID サポート

ライセンスの流用
ライセンスを購 入 した場合、追 加のライセンスを購 入しない限り、契約 期間 中はライセンスの合 計 数は変わりません。ただし、環境 のディレクト リサービスから有効なユーザーを削除 すると、Tenable Identity
Exposure はリアルタイムでライセンスを流用 します。

ライセンス制 限の超 過
ハードウェアの更 新、急激 な環境 の拡 張 、予期 しない脅威 などによる、使用率 の急 増に対 応 できるよ
う、Tenable ライセンスは柔軟 に提供 されます。ただし、ライセンスされている以上 の資 産をスキャンすると、Tenable はその超 過について明 確 に伝達 し、その後 3 段 階で機能 を削 減します。
シナリオ

結果

3 日 間 連 続 で、ライセンスが付 与さTenable Identity Exposure に、メッセージが表 示されます。

れている ID より多 くの ID を有効にしている
15 日 以上連 続で、ライセンスが付

Tenable Identity Exposure に、制 限 された機 能に関するメッ

与されている ID より多くの ID を有セージと警 告が表示されます。

効にしている
45 日 以 上連 続 で、ライセンスされ

Tenable Identity Exposure にメッセージが表示 され、ユー- 328 -

ている数 より多くの ID を有効にしてザーインターフェースまたは API で露出 インジケーター機 能 をいる

使用できません。

期限切 れのライセンス購入 した Tenable Identity Exposure ライセンスは契 約期間 中ずっと有 効です。ライセンスの有効 期 限が切れる 30 日 前になると、ユーザーインターフェースに警告が表 示 されます。この更新 期間 中に、Tenableの担 当 者と連 携 して、製品 の追 加 や削除、ライセンス数の変 更 を行 ってください。
ライセンスの有 効期限 が切 れると、Tenable プラット フォームにサインインできなくなります。

ライセンスの管 理
Tenable Identity Exposure には、Tenable または認定 エンタープライズパート ナーから入 手したライセンス
ファイルが必 要です。ライセンスユーザー数 には、有効 なユーザーとサービスアカウント がすべて含 まれます。
Tenable Identity Exposure を設 定 して使 用するには、このライセンスファイルをアップロードする必 要があります。
ヒント : ライセンスファイルは、Tenable Community ポータルの [My Products] (マイプロダクト ) にあります (ライセン
スファイルを表示 するには、Tenable Community の管理 者である必要があります)。
注 意 : SaaS プラット フォームに有 効なライセンスが適用 されない場合 、Tenable は一 定期 間 後にそのライセンスを廃 止します。

Tenable Identity Exposure のライセンスには以下 の機 能が含まれます。
l

攻撃 インジケーターl

露出 インジケーターl

上記 の両 方ライセンスを表 示 するにはlTenable Identity Exposure で、[システム]> [情 報 ] タブをクリックします。

ライセンスが表示されます。

- 329 -

ライセンス消 費
オンプレミスインスト ールの Tenable Identity Exposure の場合、インターネット に接続されている間 はライ
センス消 費 が追跡されます。
ライセンスファイルをアップロードするには- 330 -

1. ログインウィンドウで [ライセンスファイルの更 新 ] をクリックします。

2. ライセンスファイルの場 所を参 照 し、[開 く] をクリックします。
以下 の例 は、ライセンスファイルが正 しく適 用された状 態 を示しています。

- 331 -

3. [続 行 ] をクリックして Tenable Identity Exposure を開きます。
ライセンスファイルをアップデート するには
1. Tenable Identity Exposure で、[システム] > [バージョン情 報 ] の順にクリックします。
2. [ライセンスファイルの更 新 ] をクリックします。
3. ライセンスファイルの場 所を参 照 し、[開 く] をクリックします。
Tenable Identity Exposure がライセンスファイルを更新します。ライセンスファイルが無効 な場 合は、
カスタマーサポート に連 絡してください。

Tenable Identity Exposure のト ラブルシューティング- 332 -

以下 のト ピックは、Tenable Identity Exposure (旧 Tenable.ad) の使用時に発 生 する可能 性がある問 題の解 決 に役 立 ちます。
lTenable Identity Exposure 診 断ツールl

SYSVOL 堅牢 化の Tenable Identity Exposure に対 する干 渉

ト ラブルシューティング用 のログ
Tenable Identity Exposure は、プラット フォームの動作 のト ラブルシューティングや理 解に役立 つデバッグロ
グを提 供 しています。
以下 は一般 的なログの一 部です。
lインスト ール/アップグレードのログlプラット フォームのログlIoA スクリプト インスト ール/アップグレードのログ

インスト ール/アップグレードのログ
インスト ールプログラムでマシンに Tenable Identity Exposure をインスト ールできない場 合は、ログファイルをサポート (https://community.tenable.com/s/) に転 送できます。
このログファイルは %tmp% フォルダーにあり、その名 前は常 に「MSI」で始まり、その後にランダムな数字が続きます (例 : MSI65931.LOG )。

別の場 所 にログファイルを生 成するには (たとえば、インスト ーラーをデスクト ップに配 置 )、次 の手
順を実 行 します。
1. ローカルマシンのコマンドラインで、「cd desktop」と入力 します。
2. .\installername.exe /LOGS "c:\<path>\logsmsi1.txt" と入 力 します。
プラット フォームのログ
Tenable Identity Exposure は個 別のインスト ール上に、さまざまなサービスのログファイルを生成します。

- 333 -

l

ディレクト リリスナーサーバーから — <Installation Folder>\DirectoryListener\logslセキュリティエンジンノードサーバーから — <Installation
Folder>\SecurityEngineNode\logsl

スト レージマネージャーサーバーから — <Installation Folder>\StorageManager\logs

lディレクト リリスナーサーバーまたはスタンドアロンセキュアリレーサーバーから — <Installation
Folder>\SecureRelay\logs

デフォルト のプラット フォームのログファイルは、それぞれのサイズが 100 MB に達 するとローテーションされ、その後 圧 縮されます。これらのタスクは、Windows タスクスケジューラーのインスト ール中に自 動的 に生 成 されます。以 下は、[セキュリティエンジンノード] のタスクの例 です。

IoA スクリプト インスト ール/アップグレードのログ
攻撃 インジケーター (IoA) スクリプト では、スクリプト と同じ場所 にログファイル (例 : RegisterTenableIOA-xxxx.log) が作 成され、インスト ール中 にエラーや問題 があったことを確 認できます。
ログの保 持 期 間l

短 期 保 持 : デバッグログを短期 間 保 持します (生 成後 7 日 間 など)。これにより、スト レージの消 費を最 小 限に抑 えながら、最近 の問 題を診 断できます。

l

長 期 アーカイブ: コンプライアンスまたはト ラブルシューティングのために、デバッグログのサブセット を長期間 アーカイブすることを検 討します。安全な場所に保存 することも、スペースの効 率 的 な使 用のために圧 縮することもできます。

Tenable Identity Exposure 診 断 ツール- 334 -

Tenable Identity Exposure は、Tenable Identity Exposure のインスト ールに関連 するログ情 報を取 得できる診 断 ツールを提 供しています。これにより、カスタマーサポート は問 題 の分析 とサポート を行 うことができます。
この診 断 ツールは、Tenable ダウンロードポータルからダウンロードします。
注 意 : この診断 ツールは、Tenable Identity Exposure のオンプレミスのインスト ールに対してのみ機 能します。

診断 ツールでは、次の内 容を実 行 できます。
l

現在 のマシン (実 行 可 能ファイルを起 動した場所 ) が、スト レージマネージャー (SM)、セキュリティエン
ジンノード (SEN)、またはディレクト リリスナー (DL) をホスト しているかどうかを特定 します。

l

環境 をスキャンして、ネット ワークで利用 可能な他 の Tenable Identity Exposure のインスト ールを見つけます。

l

Tenable Identity Exposure のインスト ールに関 するログソースのリスト を検 出し、関連 する情 報 を調べて取 得します。

lTenable Identity Exposure のインスト ール試行 の失敗 に関 する MSI ログを取 得 します。

最 良 の結 果 を得 るためのヒントl

SEN で診 断ツールを実行 します。

l

権限 昇 格 したユーザーで診 断ツールを実行して、ほとんどまたはすべてのログソースをアクティブにします。

lSM またはその他のインスト ールを検 出 するには、次の条 件 が揃 っていることを確認 してください。
oリモート コマンドをリモート コンピューターで実 行できる設定 になっている (Invoke-Command コ
マンドレット )oディスクへのリモート アクセスが可能な設定になっているo

WMI が有 効化 されていて、現在のユーザーアカウント に許可 されている

診 断 ツールを実 行 するには
1. Tenable ダウンロードポータルから TenableAdDiagnosticTool.OnPrem.Console.exe ファイルを
ダウンロードします。

- 335 -

2. 実行 可 能 ファイルを管理 者 として Tenable Identity Exposure マシン、できれば SEN をホスト しているマシンで実行します。
3. プロンプト で、次 のいずれかのオプションを入力 します。
oE — すべてのログ (デフォルト オプション)oMsi — Tenable Identity Exposure のインスト ールに関 連 するログ

oTenable — Tenable Identity Exposure に関連 するログ

4. Enter を押します。
診断 ツールがインスト ールをスキャンします。スキャンが完 了すると、現 在のディレクト リに圧縮 されたファイルが出力 されます。
5. この圧縮 ファイルを Tenable Identity Exposure カスタマーサポート に送 信します。ファイルの内容 を変更 しないように注意 してください。
コマンドラインを使 用 して診 断 ツールを実 行 するには
1. コマンドラインで、実行可 能ファイル TenableAdDiagnosticTool.OnPrem.Console.exe を管理者 として Tenable Identity Exposure マシンで、できれば SEN をホスト しているマシンで実行します。
診断 ツールがインスト ールをスキャンします。スキャンが完 了すると、現 在のディレクト リに zip ファイルが出力 されます。
2. この圧縮 ファイルを Tenable Identity Exposure カスタマーサポート に送 信します。ファイルの内容 を変更 しないように注意 してください。

その他のオプション
診断 ツールは、コマンドラインで起 動すると次のオプションも利用 できます。
l-- help — 診 断 ツールの使 用 法の簡 単な説明l-- commands - — マシンの能力 をテスト し他 のインスト ールをスキャンする Powershell/WMI クエリのリスト

SYSVOL 堅牢 化 の Tenable Identity Exposure に対する干渉- 336 -

SYSVOL は、Active Directory ドメインの各ドメインコント ローラー (DC) にある共 有 フォルダーです。
SYSVOL には、グループポリシー (GPO) 用 のフォルダーとファイルが保 存 されます。SYSVOL のコンテンツはす
べての DC で複 製され、\\<example.com>\SYSVOL や \\<DC_IP_or_FQDN>\SYSVOL などの汎 用 命
名規 則 (UNC) パスを使 ってアクセスできます。
SYSVOL 堅 牢 化 とは、強 化された UNC パスパラメーターの使用のことで、「UNC の強 化されたアクセス」、「強 化 された UNC パス」、「UNC パスの堅 牢化 」、または「強 化されたパス」とも呼ばれています。この機能
は、グループポリシーの MS15-011 (KB 3000483) の脆弱 性 に対 処するために導 入されました。CIS ベンチ
マークなどの多 くのサイバーセキュリティ標 準では、この機能 の強 制実 行が義 務付けられています。
この堅 牢 化 パラメーターをサーバーメッセージブロック (SMB) クライアント に適用すると、ドメインに参加 しているマシンのセキュリティが実際 に向上 し、SYSVOL から取得 する GPO コンテンツがネット ワーク上 の攻 撃
者に改 ざんされないようになります。ただし、特定の状況 では、このパラメーターが Tenable Identity
Exposure の操 作に干渉 することもあります。
強化 された UNC パスが Tenable Identity Exposure と SYSVOL 共有間 の接 続を乱 していることに気付 い
た場 合 は、このト ラブルシューティングセクションにあるガイダンスに従 ってください。

影響を受 ける環 境
次の Tenable Identity Exposure デプロイメント オプションでは、この問題が発生 する可能 性があります。
lオンプレミスlセキュアリレーを備えた SaaS

次のデプロイメント オプションは影 響 を受 けません。
l

VPN を備 えた SaaSSYSVOL 堅 牢 化 はクライアント 側 のパラメーターであり、ドメインコント ローラーではなく、SYSVOL 共 有 に接続 するマシンで動 作 します。
Windows はこのパラメーターをデフォルト で有 効 にし、Tenable Identity Exposure に干 渉 する場 合 があります。
企業 によっては、関連 する GPO 設定 を使 用 するか、対応 するレジスト リキーを直 接 設定することで、このパラメーターを確実 にアクティブ化し強制 実行したいと思うかもしれません。

- 337 -

l

UNC 堅牢 化パスに関 連するレジスト リキーは、「HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths」にあります。

l

対応 する GPO 設 定は、「Computer Configuration/Administrative
Templates/Network/Network Provider/Hardened UNC paths」にあります。

SYSVOL 堅 牢化 の強制 実行 は、SYSVOL を参照する UNC パス (「\\*\SYSVOL」など) にパラメーター「RequireMutualAuthentication」があり、「RequireIntegrity」の値が「1」に設 定されている場 合に発 生 します。

SYSVOL 堅牢化 の問 題の兆 候- 338 -

SYSVOL 堅 牢化 が Tenable Identity Exposure に干渉 していることが疑われる場 合は、次の点をチェックします。
1. Tenable Identity Exposure で、[システム] > [ドメイン管 理 ] に進 み、各ドメインの LDAP と SYSVOL
初期 化 ステータスを表示 します。
接続 性 に問題 のないドメインでは緑 のインジケーターが表示 されますが、接続性 に問 題 のあるドメ
インでは無 限 に続 くクロールインジケーターが表示されます。

2. ディレクト リリスナーまたはリレーマシンで、ログフォルダー <Installation
Folder>\DirectoryListener\logs を開きます。
3. Ceti ログファイルを開き、「SMB mapping creation failed」(SMB マッピング作成 が失敗 しました) または「Access is denied」(アクセスが拒否されました) という文字列 を検索 します。このフレーズを含む
エラーログがある場 合、UNC 堅 牢 化 がディレクト リリスナーまたはリレーマシンに存在 する可 能 性が高いことを示しています。

修正オプション
Kerberos 認 証 に切 り替えるまたはSYSVOL 堅 牢化の無効 化の 2 つの修正 オプションがあります。
Kerberos 認 証 に切 り替 える
このオプションは、堅 牢 化 機 能 を無 効 にする必 要 がないため、推 奨 されています。

- 339 -

SYSVOL 堅 牢化 が Tenable Identity Exposure と干渉 するのは、NTLM 認 証を使用 して監 視対象のドメ
インコント ローラーに接 続する場 合のみです。これは、NTLM が「RequireMutualAuthentication=1」
パラメーターと互換性 がないためです。Tenable Identity Exposure は Kerberos もサポート しています。
Kerberos を適切に設定 および使 用 する場合は、SYSVOL 堅牢 化 を無 効 にする必 要はありません。詳細は、Kerberos 認証 を参照してください。
SYSVOL 堅 牢 化 の無 効 化
Kerberos 認 証 に切 り替 えることができない場 合 は、SYSVOL 堅 牢 化 を無 効 にすることもできます。
Windows はデフォルト で SYSVOL 堅 牢化 を有 効にするため、レジスト リキーまたは GPO 設定 を削 除するだけでは不十 分 です。SYSVOL 堅牢 化を明示的 に無効 にし、この変更をディレクト リリスナー (オンプレミス) またはリレー (セキュアリレーを備 えた SaaS) をホスト しているマシンにのみ適用 する必 要 があります。これはその他 のマシンには影 響しないため、ドメインコント ローラー自体で SYSVOL 堅 牢化を無効にする必要はありません。
ディレクト リリスナー (オンプレミス) またはリレー (セキュアリレーを備えた SaaS) をホスト しているマシンで使用される Tenable Identity Exposure インスト ーラーでは、すでにローカルで SYSVOL 堅牢化 を無 効 にしています。ただし、環境 内の GPO またはスクリプト が、このレジスト リキーを削 除したり上 書きしたりする可 能
性があります。
これには、2 つのケースが考えられます。
lディレクト リリスナーまたはリレーマシンがドメインに参 加 していない場 合 — GPO を使用 してマシンを設定 できません。レジスト リで SYSVOL 堅牢 化 を無効にする必 要 があります (レジスト リ - GUI またはレジスト リ - PowerShell を参 照 )。

l

ディレクト リリスナーまたはリレーマシンがドメインに参 加 している場合 (Tenable Identity Exposure では非 推奨 ) — レジスト リで設 定 を直接 適用 するか (レジスト リ - GUI またはレジスト リ - PowerShellを参 照 )、GPO を使用することができます。これらのうちいずれかの方法 を使 用 する場合 は、GPO ま
たはスクリプト がレジスト リキーを上書 きしないようにする必要 があります。これは、次 のいずれかの方法 で実 行できます。
o

このマシンに適用 されるすべての GPO を慎重に確 認するo

変 更を適用 して少 し待 機するか、「gpupdate /force」で GPO の適用を強制 し、レジスト リ
キーが値 を保 持 していることを確認する

ディレクト リリスナーまたはリレーマシンが再 起動したら、変 更されたドメインのクロールインジケーターが緑
色に変 わるはずです。

- 340 -

レジスト リ - GUI

GUI を使用 してレジスト リで SYSVOL 堅 牢化を無効 にするには
1. 管理 者 権 限でディレクト リリスナーまたはリレーマシンに接続 します。
2. レジスト リエディターを開 き、HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths に
移動 します。
3. 「\\*\SYSVOL」という名前のキーが存在 しない場 合 は、次の方法 で作成します。

- 341 -

a. 右 ペインを右クリックし、[新 規 ] > [文 字 列 の値 ] を選択 します。

b. [名前] フィールドに \\*\SYSVOL と入力します。
4. 新規 作 成 された、または以前 から存在する「\\*\SYSVOL」キーをダブルクリックして、[文 字 列 の編
集 ] ウィンドウを開きます。

- 342 -

5. [値 ] データフィールドに、RequireMutualAuthentication=0、RequireIntegrity=0、RequirePrivacy=0 を入 力 します。
6. [Save] をクリックします。
結果 は次 のようになります。

7. マシンを再起動 します。
レジスト リ - PowerShell

PowerShell を使用 してレジスト リで SYSVOL 堅 牢化を無 効 にするには- 343 -

1. 次の PowerShell コマンドを使用 して、参 照用の UNC 堅牢化 パスレジスト リキーの現在 の値を収集します。
Get-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths"

2. 推奨 値 を設定 します。
New-ItemProperty -Path"HKLM:\SOFTWARE\Policies\Microsoft\Windows\NetworkProvider\HardenedPaths" -Name "\\*\SYSVOL" Value "RequireMutualAuthentication=0, RequireIntegrity=0, RequirePrivacy=0"

3. マシンを再起動 します。
GPO
前 提 条 件 : ドメインで GPO を作 成でき、Tenable Identity Exposure ディレクト リリスナーまたはリレーマシンを含 む
組織単 位 にリンクできる権 限を持 つ Active Directory ユーザーとして接続 する必要があります。

GPO を使 用 して SYSVOL 堅 牢化 を無 効にするには
1. グループポリシー管理 コンソールを開 きます。
2. 新しい GPO を作成 します。
3. GPO を編 集し、次 の場所 に移動 します: コンピューターの設 定/管 理テンプレート /ネット ワーク/ネット ワークプロバイダー/強 化された UNC パス。
4. この設定 を有効にし、次 を使 用 して新しい強 化された UNC パスを作 成します。
o

値 の名前 = \\*\SYSVOLo

値 = RequireMutualAuthentication=0, RequireIntegrity=0, RequirePrivacy=0

結果 は次 のようになります。

- 344 -

5. [OK] をクリックして確認します。
6. この GPO を、Tenable Identity Exposure ディレクト リリスナーまたはリレーマシンを含 む組 織 単位 にリンクします。セキュリティグループフィルターの GPO 機能 を使用して、この GPO がこのマシンにのみ適用 されるようにすることもできます。
特 定 の UNC パスの例 外前述 の手順 では、ワイルドカード UNC パス「\\*\SYSVOL」を使用 して SYSVOL 堅牢 化を無 効 にします。
特定 の IP アドレスまたは FQDN に対してのみ無 効 にすることもできます。つまり、「\\*\SYSVOL」に対して
UNC の強 化されたパス設 定を有 効な状 態 (値「1」) に保 ったまま、Tenable Identity Exposure で設 定 されているドメインコント ローラーの IP アドレスまたは FQDN ごとに対 応 する例外 を作成 することができます。
次の画 像は、「10.0.0.10」および「dc.lab.lan」(Tenable Identity Exposure で設定されているドメイン
コント ローラー) を除 くすべてのサーバー (「*」) に対 して有 効にされた SYSVOL 堅 牢 化の例を示 しています。

- 345 -

これらの追 加 設 定は、上述 したように、レジスト リを使 うか GPO 方 式 を使用 して追 加できます。
注 意 : Tenable Identity Exposure で設 定されている正確な値を指定する必要があります (たとえば、Tenable
Identity Exposure 設 定が FQDN を使 用している場合 、IP アドレスは指定 できません)。また、Tenable Identity
Exposure ドメイン管 理ページで IP アドレスや FQDN を変 更するたびに、これらのキーを忘れずに更新 してください。

SYSVOL 堅牢化 を無 効にした場 合 のリスク
SYSVOL 堅 牢化 はセキュリティ機 能であり、無効 にすると重大 な懸念が生 じる可能 性 があります。
lドメインに参加 していないマシン - SYSVOL 堅牢 化を無効にしてもリスクはありません。これらのマシ
ンは GPO を適用 していないため、SYSVOL 共 有から GPO を実 行 するコンテンツを取 得 しません。

lTenable Identity Exposure が推奨 しないドメイン参 加 マシン (ディレクト リリスナーまたはリレーマシン) — 攻 撃者がディレクト リリスナーまたはリレーマシンとドメインコント ローラーとの間の「中 間者 」になるという状 態が発 生 する潜 在的 なリスクがある場 合、SYSVOL 堅牢化 を無効 にするのは安全 ではありません。この場 合、Tenable Identity Exposure は代わりに Kerberos 認証 に切り替えることを推奨しています。

この非 アクティブ化の範 囲は、ディレクト リリスナーまたはリレーマシンにのみであり、その他のドメインコン
ピューターは対 象になりません。また、ドメインコント ローラーは決 して対象になりません。

- 346 -