関連記事
【AppGuard】Windowsサーバーの守り方を変える
2000年に登場したWindows 2000 Server以降、多くの企業で利用されているディレクトリサービス「Active Directory（以下AD）」は、従業員のユーザーアカウント管理から、各社内システム・リソースへのアクセス権限の管理まで、企業のITインフラを運用管理する中枢であり、情報システム部門にとっては、切っても切れない関係といえます。
ADはこういった利便性の高い機能を備えている反面、セキュリティの観点でも非常に重要であるといえます。昨今のサイバー攻撃では、ADを狙う被害事例が報告されており、今回は改めて本コラムで取り上げてみたいと思います。
Active Directoryとは
Active Directoryの運用の実態
Active Directoryのここが狙われる
Active Directoryの守りはクライアントから
簡単にADの特徴を挙げてみます。
その中でも下線の2点に注目すると、冒頭で「セキュリティの観点でも非常に重要である」と述べた理由が見えてきます。
「管理者権限アカウントは、管理下の全てのリソースにアクセス可能な権限を持つ」
「標準的な仕組みとなっており、近年ではクラウドサービスとの認証連携なども増加している」
万が一このADサーバが、何らかの手段で被害にあってしまった場合、その特性から、管理者権限を悪用され、横断的な攻撃が可能となります。クラウドサービスとの認証連携を実装している場合は、社内の他サーバだけでは留まらず、被害範囲も非常に大きくなる危険性があります。
とはいえADサーバは通常、FireWallやUTM、IPS等の境界防御のセキュリティ対策製品に守られた社内ネットワークに配置されていることが多く、「適切で安全な運用管理が行われている」と認識している情報システム部門の方は多いのではないでしょうか。
一方で、Windows Serverはバージョンの推移として、2000のリリース以降から最新の2019まで、すでに20年が経過しています。
各リリースのタイミングで、それまでにOSで発見された脆弱性等に対するプログラム修正が適用されているものの、追従して早期にバージョンアップをすることは運用や予算の関係上、容易ではありません。即座に実施している企業も少なく、古いバージョンを運用せざるを得ない場合もあります。これらは、情報システム部門の方の頭を悩ませる要因の1つではないでしょうか。
＜サーバ運用側の実態＞
前述したこの状況を、攻撃者は当然ながら把握しています。昨今のサイバー攻撃の手法である、標的型攻撃メールによるマルウェア・ウイルスの侵入や、社内ネットワークに接続するVPN装置の権限奪取などは、ADサーバに侵攻することを目的にしているといっても過言ではありません。
特に認証に関わる脆弱性がこれまでも発見されており、AD管理下にあるWindowsログイン認証が可能なクライアントを経由して、サーバの管理者権限を奪取される恐れがあります。
＜認証システムの脆弱性＞
このようなOSの脆弱性に関しては、まずは更新プログラムの適用が対策となりますが、前述の通り、運用上パッチ適用の追従ができてない場合、課題が内包されたまま運用されていることになります。
そのため、Windowsログイン認証含めアクセスが可能なクライアント端末が乗っ取られた場合、ADサーバまで乗っ取られることは必至です。そうなると、他サーバやクライアント等の社内ネットワークが芋づる式に被害にあうことになります。
＜Active Directory サーバの攻撃事例＞
～ゴールデンチケット攻撃（Pass-The-Hash／Pass-The-Ticketを用いる）～
2014年の発見より長きに渡り注意喚起されている、Kerberos認証に関わる脆弱性を利用した攻撃事例です。クライアント端末内にキャッシュされるメモリ情報からチケット（ログイン情報）を詐称して、ログインすることが可能となってしまいます。
参考サイト：（JPCERT/CC）https://www.jpcert.or.jp/research/AD_presen_20170314.pdf
原則として、ADサーバの問題は、ADサーバの対策で解決すべきです。
しかし攻撃手法を分析することで、異なるアプローチでも被害を防ぐことが可能である、ということも分かってきています。
一定の境界防御によるセキュリティ対策が正しく機能している社内ネットワークでは、ADサーバへ直接アクセスすることは困難とみられています。そこで攻撃者は、最初の切り口としてクライアント端末を狙うのです。
具体的には、標的型攻撃メール等を使い、クライアント端末でマルウェアを発動させて遠隔操作を確立し、ADサーバの脆弱性を利用して、ADサーバに侵攻します。そのため、ADサーバの攻撃に対しては、まずはクライアント端末でマルウェアを起動させないことが必要であり、それが最大の防御手法になります。
こういったクライアント端末から始めるセキュリティ対策には、
未知のマルウェアからも防御できる、新概念のエンドポイントセキュリティ製品「AppGuard」がおすすめです。
AppGuardは、従来のエンドポイントセキュリティ製品では実現できなかった「マルウェアの生成および活動（発症）防止」を実現する製品です。 ランサムウェアに続き、近年猛威を振るっているEmotet（エモテット）、更には未知のマルウェアからの攻撃を確実に阻止します。
AppGuardの導入効果の一例として、
外部とのメールのやり取りが多くマルウェアの被害を受けやすい業務、例えば営業職や人事・経理職、またはカスタマーサポートセンターでは、情報漏洩事故や不当な金銭の要求、業務妨害などの不安とリスクから解放され、安心して業務に専念することが可能となります。
私どもディーアールエス株式会社（DRS）は三菱ＨＣキャピタルグループのIT戦略子会社として位置付けられ、PCのレンタルおよび運用を軸とし、さらにはセキュリティ全般に関するサービスを展開しております。セキュリティ・ソリューション・アグリゲーターとして、お客様毎のITセキュリティ戦略に寄り添った活動を推進して参ります。
DRSのAppGuard専門チームは、AppGuardの知識だけでなく、システム運用に関する豊富な経験も有しておりますので、
ご質問、ご相談がございましたら、お気軽にご連絡ください。
