ファイブアイズ同盟、 オーストラリア信号局（ASD）最近、重要な文書を公開しました。 検出と軽減 Active Directory 妥協ランサムウェア攻撃の増加を強調し、 Active Directory 特にアジア太平洋地域では、環境が重要です。このブログでは、ガイダンスで説明されている最も一般的な妥協点のいくつかを検証し、 Silverfort 助けることができる。
検出と軽減とは何か Active Directory 妥協案に関するガイダンス？
検出と軽減に関するガイダンス Active Directory 侵害の事例では、攻撃者が侵入するために使用する一般的な戦術、技術、手順（TTP）について概説します。 Active Directory インフラストラクチャに関するガイダンスを提供し、緩和戦略を提供します。このガイダンスは、アイデンティティの脅威への依存の高まりに対するタイムリーな対応です。 ランサムウェア アジア太平洋地域で発生した攻撃、特に注目すべき情報漏洩事件：
MediSecureランサムウェア攻撃（2023年11月発生、2024年7月公表）
オーストラリアに拠点を置くデジタル処方箋会社MediSecureは、昨年ランサムウェア攻撃を受けた。 これにより、約13万人の健康情報と個人情報が漏洩した。この事件は、同社が破産申請を行う事態にも発展した。情報漏洩は、MediSecure社の サードパーティベンダーこれは、攻撃者が侵害された認証情報を使用してMediSecureのデータにアクセスした可能性を示唆している。
名古屋港におけるランサムウェア攻撃（2023年7月）
攻撃は LockBitグループは、日本で最も忙しい港である名古屋港で貿易と物流を混乱させた。 自動車輸出の主要拠点であり、日本経済の重要な原動力でもある。攻撃により2日間が失われ、港のコンテナ受け入れ能力が制限された。LockBitがどのようにして最初にアクセスしたかは公表されていないが、 ランサムウェア 攻撃者の戦略は通常、フィッシングメールと盗まれた認証情報の購入に基づいています。ネットワークへのアクセス権を取得するとすぐに、攻撃者は横方向に移動し、追加の認証情報を抽出し、権限を昇格させ、アクセス範囲を拡大し、重要なデータを暗号化します。今回のケースでは、コンテナ業務を管理する名古屋ユナイテッドターミナルシステム（NUTS）が侵害されました。攻撃者が残した身代金要求のメッセージには、NUTSのデータが暗号化されたと記載されており、身代金が要求されていました。
ICBC襲撃事件（2023年11月）
世界最大の資産規模を誇る中国工商銀行（ICBC）がランサムウェア攻撃を受けた。 この攻撃は、銀行の金融サービス部門である米国ICBC金融サービスを標的としたものであった。この攻撃により、財務取引に大きな混乱が生じたと報じられている。報道によると、攻撃者は「Citrix Bleed」と呼ばれるCitrix NetScaler ADCおよびNetScaler Gatewayの脆弱性を悪用してICBCへの不正アクセスを行った。この脆弱性を悪用することで、 CISA（米国サイバーセキュリティ・インフラストラクチャセキュリティ庁）が警告「セッション認証トークン情報などの機密情報が漏洩する可能性があり、攻撃者がユーザーのセッションを『乗っ取る』ことを可能にする可能性がある」。
ガイダンスで概説されている一般的なAD侵害
彼らは 15 を超える AD 関連の侵害について概説しましたが、ここでは、より一般的な侵害、つまり Kerberoasting、AS-REP Roasting、Password Spraying に焦点を当てます。 制約のない委任、およびAD CS侵害。
ケルベロスト
何ですか ケルベロスト?
ケルベロスト Kerberos認証プロトコルを悪用する攻撃です。具体的には、Kerberoastingは サービスアカウント認証済みのユーザーであれば誰でも、あらゆるサービスのチケット発行サービス（TGS）チケットを要求できるという事実を悪用します。攻撃者は、サービスプリンシパル名（SPN）に関連付けられたTGSチケットを要求し、暗号化されたチケットをオフラインで解読してパスワードを取得します。こうして、検出されることなく制限された領域にアクセスすることが可能になります。
認定条件 Silverfort Kerberoasting攻撃をリアルタイムで検知し、防御するのに役立ちます
検出
- SPNを持つユーザーへのサービス要求を追跡し、異常検知を使用してKerberoasting攻撃を検出します。
- 不審なMFA拒否や仮想フェンシング違反を監視して検出する 侵害されたクレデンシャル.
リアルタイム保護
- Kerberoastingと識別されたサービスチケット要求を自動的に拒否する
- 施行 MFA 個人情報漏洩を防ぐため、人間用アカウントにはポリシーを適用し、サービス用アカウントには仮想的なフェンスを設ける。
Kerberoastingの概要（出典：MicrosoftのKerberoastingの検出と軽減） Active Directory 妥協）
AS-REP ロースト
AS-REPロースティングとは何ですか？
認証サーバー応答（AS-REP）ロースティングは、認証を必要としないように構成されたユーザーオブジェクトを標的とした攻撃手法です。 Kerberos 事前認証。攻撃者がユーザーのパスワードハッシュで暗号化されたAS-REPチケットを解読できた場合、ユーザーの平文パスワードを入手し、ユーザーとして認証することが可能になります。
認定条件 Silverfort AS-REP焙煎をリアルタイムで検知し、防止するのに役立ちます
検出
- Silverfort 事前認証なしのAS-REPリクエストを検出し、疑わしいリクエストにはフラグを立てる 認証 試み。
- 不審なパターンを監視する MFA 拒否や仮想フェンシング違反を検出して、AS-REPロースティングの成功を検知する。
リアルタイム保護
- 人間のアカウントと仮想フェンシングのMFAポリシーを設定します サービスアカウント AS-REPの攻撃から身を守るため。
- 事前認証なしで認証を自動的に拒否する。
AS-REP Roasting の概要 (出典: Microsoft の Detecting and Mitigating Active Directory 妥協）
パスワードスプレー
パスワードスプレーとは
パスワードスプレー攻撃では、攻撃者は複数のユーザーに対して、異なるパスワードの組み合わせを用いて認証を試み、成功するまで攻撃を続けます。これらのパスワードは、公開されているパスワードリストから入手したり、標的環境で再利用されていることが特定されたパスワードを使用したり、あるいは複数のアカウントで同じパスワードを試したりすることもあります。
認定条件 Silverfort パスワードスプレー攻撃をリアルタイムで検知し、防御するのに役立ちます
検出
- 繰り返し行われる攻撃を追跡することで、総当たり攻撃の試みを検出します。 認証 複数のアカウントで障害が発生。
- 組み込みの管理者アカウントに関連する異常なアクティビティを監視してください。これらのアカウントは、パスワードスプレー攻撃の一般的な標的となります。
- 複数のSMBリソースの列挙を監視する。これは、保護されていないファイル共有内の認証情報を発見するためによく用いられる手法である。
リアルタイム保護
このガイダンスでは、MFAは攻撃者が初期アクセスを取得しようとする際のパスワードスプレー攻撃を軽減する効果的な方法であると説明されていますが、攻撃者が既にアクセスを取得している場合は、ドメインコントローラー（DC）に直接認証できるため、MFAはそれほど効果的ではありません。 NTLM MFAをサポートしていないプロトコル。
それは本当ですが NTLM MFAをサポートしていないからといって、回避策がないわけではありません。実際には回避策があり、それは当社の統合機能の一部です。 Active Directory変更を一切必要とせず、ADはすべてのアクセス要求を当社に転送し、セカンドオピニオンを求めます。これにより、レガシーシステムやNTLMを使用するオンプレミスインフラストラクチャなど、ADを使用するあらゆるリソースに対してMFA認証を強制的に適用できます。
- MFAを実装して人間のアカウントを保護し、 サービスアカウント バーチャルフェンシングで。
- NTLMの使用は可能な限り減らし、NTLMV1、LDAP、その他の脆弱なプロトコルの使用も減らしてください。
- NTLMなどのレガシープロトコルに対して、MFA認証ポリシーを適用する。
制約のない委任
何ですか 制約のない委任?
制約のない委任を使用すると、コンピュータオブジェクトは認証済みの任意のユーザーになりすまし、任意のサービスにアクセスできます。制約のない委任が設定されているコンピュータオブジェクトに対してユーザーオブジェクトが認証を行うと、ユーザーのTGTのコピーがローカルに保存されます。
攻撃者が、制約なし委任が設定されているコンピュータへのローカル管理者アクセス権を取得した場合、そのコンピュータオブジェクトに対して以前に認証されたすべてのユーザーオブジェクトのTGT（トランザクション保証トークン）を抽出できます。攻撃者はこれらのTGTを使用して、ドメイン管理者を含むドメイン内の他のユーザーオブジェクトになりすますことができます。
認定条件 Silverfort リアルタイムで無制限の委任を検知し、防止するのに役立ちます
検出
- ユーザーが制約のない委任が設定されたコンピュータに対して認証を行う場合、ユーザーのTGT（ターゲットゲートウェイトークン）が盗まれる可能性があります。
- 拒否/通知/MFAポリシーを使用して、権限委譲が制限されていないコンピュータを監視し、疑わしいMFA拒否や仮想フェンシング違反を検出します。
リアルタイム保護
- 権限委譲が制限されていないコンピュータへの認証に対して、拒否/多要素認証ポリシーを設定します。
- 個人情報漏洩を防ぐため、人間用アカウントには多要素認証ポリシーを適用し、サービス用アカウントにはフェンシングを適用する。
AD CS侵害
AD CS侵害とは何ですか？
AD CS (Active Directory AD CS 証明機関 (CA) は、認証目的で一般的に使用される公開鍵基盤 (PKI) 証明書の発行と管理に使用されます (暗号化や文書のデジタル署名など、他の目的にも使用されますが、これは今回のトピックとは関係ありません)。AD CS 証明機関 (CA) は、ユーザーやコンピューターがさまざまな用途の証明書を取得できるように、さまざまな証明書テンプレートを提供します。
AD CSにおける最も一般的な侵害の一つは、ESC1のような設定ミスのあるテンプレートを悪用することです。ESC1テンプレートでは、任意のユーザーが他のユーザーに代わって証明書を要求できてしまいます。そのため、攻撃者はそのユーザーとして認証を行い、権限を継承することが可能になります。
認定条件 Silverfort AD CSの侵害をリアルタイムで検知し、防御するのに役立ちます
検出
- Silverfort 不審な認証を監視します。具体的には、証明書が使用されたTGTリクエストを監視します。
リアルタイム保護
- 組織内で証明書ベースの認証が広く使用されていない場合は、拒否ポリシーを使用してその使用を制限してください。
- 人間用アカウントでは多要素認証（MFA）が有効になっていること、サービス用アカウントでは仮想フェンシングが有効になっていることを確認してください。
次は何ですか？
朗報は、あらゆる暗闇の中にも光は存在し、これらの侵害行為はすべて検知可能で、軽減可能であるということです。それぞれの攻撃に対して、特権アクセスの制限、強力な認証方法の実施、レガシープロトコルのリスク最小化など、詳細な対策戦略が用意されています。
結論として、 Active Directory 脅威には直接的かつ積極的な対策が必要です。重要なのは、攻撃者が使用するメカニズムを特定し、阻止することです。「検知と軽減」という言葉はありましたか？
