ActiveDirectory

サプライチェーン攻撃の脅威：FoggyWebの実態

- サプライチェーン攻撃とFoggyWeb近年、企業を狙った巧妙な攻撃が増加しており、その中でもサプライチェーン攻撃は大きな脅威となっています。サプライチェーン攻撃とは、企業が利用するソフトウェアやサービスの開発元や供給元を攻撃の足掛かりにするという、間接的な手法です。企業は、セキュリティ対策を施した製品やサービスを利用していても、その開発元や供給元が攻撃を受けていれば、セキュリティの穴を突かれ、重要な情報が盗まれたり、システムが乗っ取られたりする危険性があります。2021年に明らかになったFoggyWebは、サプライチェーン攻撃がいかに危険であるかを世界に知らしめました。これは、ロシアの諜報機関による攻撃手法であり、世界中の企業や政府機関で広く利用されているSolarWinds社のネットワーク管理ソフトウェア「Orion」が標的となりました。攻撃者は、Orionのソフトウェア更新システムに不正なコードを仕込み、これを利用していた企業や組織に拡散させました。FoggyWebは、この不正にインストールされたコードを通じて、攻撃対象のネットワーク内に侵入し、情報を盗み見たり、さらなる攻撃のための拠点を築いたりするために使用されました。この攻撃は、サプライチェーンのセキュリティ対策の重要性を改めて認識させるとともに、攻撃手法の巧妙化と高度化を如実に示すものとなりました。企業は、自社のセキュリティ対策だけでなく、取引先のセキュリティ対策状況も把握し、サプライチェーン全体でセキュリティレベルを高めていくことが重要です。

サイバー犯罪

Active Directoryへの脅威：PetitPotam攻撃とは

- はじめにと現代社会において、情報システムは企業活動にとって欠かせないものとなっています。企業の活動の多くが情報システムに依存しており、その情報システムを支えるネットワークの安全性を確保することが、企業の存続を左右すると言っても過言ではありません。企業ネットワークにおいて、多くの場合、利用者や機器の情報管理を一元的に行うシステムが導入されています。その中でも、Active Directoryと呼ばれるシステムは、多くの企業で採用されています。Active Directoryは、利用者や機器の情報を一括管理することで、管理者の負担を軽減し、業務効率を向上させるという利点があります。しかし、Active Directoryのような重要なシステムは、常に攻撃者から狙われているという事実も忘れてはなりません。もしActive Directoryが攻撃によって制御されてしまったら、企業ネットワーク全体が危険にさらされる可能性があります。攻撃者は、Active Directoryを乗っ取ることで、機密情報へのアクセスやシステムの改ざんといった、企業にとって致命的な被害を与える可能性があります。近年、Active Directoryに対する新たな脅威として、PetitPotam攻撃が注目されています。PetitPotam攻撃は、Active Directoryの脆弱性を突いた攻撃であり、攻撃者にネットワークへの侵入を許してしまう危険性があります。今回の記事では、Active Directoryに対する新たな脅威であるPetitPotam攻撃について解説していきます。PetitPotam攻撃の手口やその脅威について詳しく説明することで、企業のセキュリティ担当者が適切な対策を講じ、自社のネットワークを守るための指針を示します。

脆弱性

Active Directoryを守る！ntdsutilの悪用を防ぐには？

- ntdsutilとはntdsutilは、マイクロソフトのWindowsサーバーに標準で組み込まれている、コマンドを実行するための道具です。この道具は、Active Directoryと呼ばれる、組織内の利用者や機器の情報を管理するデータベースや、関連したサービスを操作するために使われます。一見すると、システムの管理者が使う特殊な道具のように思えますが、実は悪意を持った攻撃者に利用されてしまう危険性もはらんでいます。ntdsutilは、使い方次第で、Active Directoryのデータベースを不正に操作したり、本来アクセスできないはずの重要な情報を入手するために悪用されてしまう可能性があります。例えば、攻撃者はntdsutilを使って、パスワードの情報を盗み出したり、システム管理者の権限を奪い取ったりするかもしれません。このように、ntdsutilは、使い方を間違えるとシステムの安全性を脅かす危険な道具にもなり得るため、システム管理者はntdsutilの利用には細心の注意を払い、セキュリティ対策を徹底する必要があります。また、一般の利用者も、ntdsutilが悪用される危険性を認識し、不審な動きを見つけた場合はすぐに報告するなど、セキュリティ意識を高めることが重要です。

セキュリティ強化

ドメインコントローラとそのセキュリティ対策

- ドメインコントローラの役割企業内ネットワークにおいて、社員の情報やアクセス権を一元管理することは、セキュリティと業務効率の観点から非常に重要です。Windows Server環境では、この重要な役割を担うのが「Active Directory」という仕組みであり、その中核となるサーバーが「ドメインコントローラ」です。ドメインコントローラは、いわば企業のセキュリティシステムの司令塔と例えることができます。社員一人ひとりのアカウント情報（ユーザー名やパスワード）やアクセス権限、さらにはコンピュータのセキュリティ設定など、組織にとって極めて重要な情報が保管されています。社員がパソコンにログインする際、ドメインコントローラはユーザー名とパスワードの照合を行い、アクセス権限に基づいて利用可能なリソースを決定します。これにより、許可された社員だけが適切な情報やシステムにアクセスできるようになり、情報漏洩や不正アクセスのリスクを大幅に低減することができます。このように、ドメインコントローラは企業内ネットワークのセキュリティと円滑な運用に欠かせない重要な役割を担っています。

認証

Active Directoryの情報を守れ！攻撃者の探索から環境を守る！

- 攻撃者が情報を収集する仕組み企業や組織を狙う攻撃者は、目的を達成するために様々な情報を集めます。特に、組織内の利用者や機器、情報資源に関する重要な情報が集まる Active Directory （AD）は、攻撃者にとって格好の標的です。攻撃者はADの情報を収集することで、組織の構造や弱点を探り出し、攻撃の糸口を見つけようとします。では、どのように情報を集めるのでしょうか？攻撃者は、標的となる組織の公開情報や従業員が不用意にインターネット上に公開している情報を探します。企業のウェブサイトや従業員のソーシャルメディアアカウントには、組織構造やシステム構成、使用しているソフトウェアなどの情報が掲載されていることがあります。また、標的型メールを送りつけ、添付ファイルを開かせたり、偽のウェブサイトに誘導したりすることで、情報を盗み出すこともあります。このようなメールは、一見すると本物のように見えるため、注意が必要です。さらに、攻撃者は、組織内のネットワークに侵入し、内部から情報を盗み出すこともあります。セキュリティの脆弱性をついた攻撃や、盗み出したIDとパスワードを使った不正アクセスなど、その手口は様々です。情報を盗まれないためには、組織全体でセキュリティ意識を高め、適切な対策を講じることが重要です。企業は、ファイアウォールや侵入検知システムなどのセキュリティ対策を導入するだけでなく、従業員に対してセキュリティ教育を実施し、パスワードの管理や不審なメールへの対応などを周知徹底する必要があります。

不正アクセス

Zerologon：組織の要を脅かす脆弱性

- はじめにと題して昨今、企業や組織にとって、顧客情報や企業秘密といった重要な情報を守る「情報セキュリティ」は、事業を継続していく上で欠かせない要素となっています。日々、巧妙化するサイバー攻撃から大切な情報資産を守るためには、常に新たな脅威への対策を講じていく必要があります。近年、Windowsの認証システムにおいて、「Zerologon」と呼ばれる重大な脆弱性が見つかり、世界中で大きな話題となりました。この脆弱性は、悪用されると攻撃者がネットワークに侵入し、システムを完全に支配下に置くことが可能となる危険性をはらんでいます。本記事では、Zerologonの概要やその脅威について詳しく解説するとともに、具体的な対策方法についても分かりやすく紹介します。

脆弱性

MagicWeb: 知られざる脅威

現代社会において、インターネットは必要不可欠なインフラストラクチャとなっています。それと同時に、インターネットを介したサイバー攻撃の脅威も増加の一途を辿っています。攻撃の手口は巧妙化しており、個人や企業は常にセキュリティ対策を強化していく必要があります。今回は、近年その脅威が深刻化している「MagicWeb」と呼ばれる攻撃について詳しく解説します。 MagicWebは、ウェブページを閲覧したユーザーの情報を盗み出す攻撃手法です。一見すると普通のウェブサイトのように見えますが、実際には、悪意のあるコードが仕込まれており、ユーザーがアクセスした途端に、個人情報やクレジットカード情報などを盗み取ろうとします。この攻撃の恐ろしい点は、ユーザーが気づかないうちに進行することです。怪しいリンクをクリックした覚えがなくても、信頼できるウェブサイトを閲覧している最中に、攻撃を受けてしまう可能性があります。 MagicWebから身を守るためには、ウェブサイトの信頼性を常に確認することが重要です。URLが正しいか、セキュリティ証明書が有効かどうかなどを確認する習慣をつけましょう。また、OSやブラウザ、セキュリティソフトは常に最新の状態に保ち、セキュリティパッチを速やかに適用することも重要です。日頃からセキュリティ意識を高め、自らの身を守りましょう。

サイバー犯罪

BloodHound：あなたの組織は大丈夫？

- BloodHoundとはBloodHoundは、企業のネットワークを管理する上で重要な役割を担うActive Directory（AD）と呼ばれるシステムのセキュリティ状態を分析し、潜在的な脆弱性を明らかにするために開発されたツールです。組織内のユーザー、コンピューター、グループといった要素と、それらの間の複雑な関係性を視覚的に分かりやすく表示してくれるのがBloodHoundの最大の特徴です。これを利用することで、セキュリティ担当者は、まるで組織全体のセキュリティ体制をレントゲン写真で見ているかのように、一見して分かりにくい弱点や攻撃者が悪用する可能性のある経路を容易に把握することができます。例えば、ある社員のアカウントが、本来アクセス権限を持たない機密情報にアクセスできる経路が存在する場合、BloodHoundはそれを明確に示してくれます。このような「攻撃経路」は、悪意のある第三者によって悪用され、情報漏洩やシステムの不正操作といった深刻なセキュリティインシデントに発展する可能性があります。BloodHoundは、セキュリティ担当者が能動的に脆弱性を発見し、対策を講じるための強力な武器となります。組織の規模や複雑さに関係なく、AD環境のセキュリティ強化に大いに役立つツールと言えるでしょう。

セキュリティ強化

見えない鍵？：ゴールデンチケット攻撃からシステムを守る

- ゴールデンチケット攻撃とは企業のネットワークにおいて、社員ひとりひとりのアクセス権を管理し、情報資産を守る上で、Active Directoryと呼ばれるシステムがよく利用されています。このシステムでは、Kerberos認証という仕組みを用いて、アクセスを許可された正当な利用者であるかを判断します。利用者がシステムやサービスを利用しようとするとき、チケットと呼ばれる通行証のようなものが発行され、このチケットを提示することで、初めてアクセスが許可される仕組みです。ゴールデンチケット攻撃は、このKerberos認証の仕組みを悪用した、非常に危険なサイバー攻撃です。攻撃者は、チケットを発行するシステムの中枢を担う「TGTアカウント」のパスワード情報を入手することで、偽のチケットを作り出すことができてしまいます。そして、この偽造チケット、すなわち「ゴールデンチケット」を利用すると、あたかも正規の利用者のように振る舞えてしまうため、Active Directoryで管理されたあらゆる情報にアクセスできてしまう危険性があります。ゴールデンチケット攻撃が恐ろしい点は、一度攻撃が成功してしまうと、攻撃者は最高レベルの権限を手に入れ、ネットワーク上のあらゆる情報を盗み見たり、改ざんしたりできてしまう点にあります。しかも、正規の利用者になりすましているため、不正なアクセスと気付かれにくく、長期にわたって被害が続く可能性もあります。そのため、企業はゴールデンチケット攻撃に対する対策を講じておくことが重要です。具体的には、TGTアカウントのパスワードを定期的に変更したり、多要素認証を導入したりするなど、セキュリティ対策を強化することで、攻撃のリスクを低減できます。

認証

Kerberoasting攻撃から身を守るには

- Kerberoasting攻撃とは Kerberoasting攻撃は、WindowsのActive Directoryという、組織内のユーザーやコンピューターの情報を管理するシステムを悪用した攻撃手法です。 Active Directoryでは、ユーザーが様々なサービスにアクセスする際に、Kerberosという認証プロトコルが使われています。このKerberosは、ユーザーがパスワードを入力しなくても安全にサービスを利用できるようにするための仕組みです。 Kerberoasting攻撃では、攻撃者はこのKerberosの仕組みを逆手に取ります。攻撃者はまず、Active Directoryに対して、特定のサービスを利用するためのチケットを要求します。このチケットは、暗号化された形で攻撃者に渡されます。重要なのは、このチケットの暗号化には、サービスアカウントのパスワードが使われているという点です。サービスアカウントとは、特定のサービスに割り当てられたアカウントのことです。攻撃者は、入手したチケットをオフライン環境に持ち帰り、様々なパスワードを試しながらチケットの解読を試みます。もしチケットの解読に成功すれば、攻撃者はサービスアカウントのパスワードを手に入れることができます。 Kerberoasting攻撃の厄介な点は、Active Directoryとの直接的な通信が発生しないため、従来のセキュリティ対策では検知が難しいという点です。そのため、Kerberoasting攻撃からシステムを守るためには、サービスアカウントのパスワードを複雑にする、定期的にパスワードを変更する、多要素認証を導入するなどの対策を講じる必要があります。

認証

グループポリシーのセキュリティ対策：サイバー攻撃から組織を守る

- はじめにと現代社会において、企業活動は情報システムに大きく依存しており、その安定稼働は事業継続のために不可欠です。特に、組織内の多数のコンピュータや利用者に対する設定を一括で管理できるグループポリシーは、管理の効率化という点で非常に有用な機能となっています。しかし、この便利な機能は、裏を返せば、サイバー攻撃者にとっても格好の標的となりえます。もしも、悪意のある者がグループポリシーを掌握すれば、組織全体に影響を及ぼす大規模な被害に繋がる可能性も否定できません。そこで本稿では、サイバー攻撃者がグループポリシーをどのように悪用するのか、その具体的な手法について解説していきます。併せて、そうした攻撃から組織を守るための効果的な対策についても詳しく説明します。グループポリシーは、組織内のセキュリティ対策において非常に重要な役割を担っています。しかし、その重要性ゆえに、攻撃者にとっても魅力的な標的となっていることを認識しておく必要があります。攻撃の手口を理解し、適切な対策を講じることで、組織の大切な情報資産を守りましょう。

セキュリティ強化

Golden Ticket攻撃：管理者になりすます危険な認証チケット

- Golden Ticket とは -# Golden Ticket とは「Golden Ticket」は、企業内ネットワークの認証システム「Active Directory」のセキュリティを脅かす、非常に危険な攻撃手法です。 Active Directoryでは、「Kerberos認証」という仕組みが使われており、ユーザーがサービスを利用する際、二種類の電子的なチケットを用いて認証を行います。一つは「TGT（Ticket Granting Ticket）」と呼ばれるもので、ユーザーの身元を証明するものです。もう一つは「サービスチケット」で、特定のサービスへのアクセス許可を証明します。「Golden Ticket」は、この「TGT」を偽造することによって、攻撃者が正規のユーザーになりすますことを可能にする攻撃です。攻撃者は、Active Directoryのサーバーに侵入し、Kerberos認証の基盤となる暗号鍵を取得することで、「Golden Ticket」を作成します。この偽造チケットを用いることで、攻撃者はあたかも正規のユーザーであるかのように振る舞い、機密情報へのアクセスやシステムの改ざんといった、本来許されていない操作を実行することが可能になります。「Golden Ticket」攻撃の恐ろしさは、一度作成されてしまうと、有効期限が設定されていない限り、半永久的に悪用され続ける可能性がある点にあります。攻撃者は、検知を免れるために、長期間にわたって潜伏し、機密情報を盗み見たり、システムにバックドアを仕掛けたりする可能性があります。「Golden Ticket」攻撃からシステムを守るためには、Active Directoryのサーバーに対する厳格なアクセス制御や、セキュリティ更新プログラムの迅速な適用など、多層的なセキュリティ対策が不可欠です。

不正アクセス