AdminSDHolder の改変――仕組みと防御戦略

AdminSDHolder の改変とは何ですか？

AdminSDHolder は AD（CN=AdminSDHolder,CN=System,DC=...）内の特殊なコンテナで、特権アカウントやグループを保護するために使用されるセキュリティ記述子を保持します。SDProp プロセスは定期的に、その記述子を adminCount 属性の値が 1 のオブジェクトへコピーし、これらのオブジェクトが強化された ACL を維持し、通常の ACL 継承によって弱められないようにします。攻撃者が AdminSDHolder の ACL を変更できる、または ACL や adminCount が操作された特権オブジェクトを作成できる場合、その変更は SDProp を通じて多くの特権アカウントに自動的に適用されます。

AdminSDHolder の変更はどのように機能しますか？

以下は、攻撃者が AdminSDHolder および関連する挙動を悪用する方法を示す典型的な攻撃チェーンです。

1. 初期の足場を得る

攻撃者はドメイン内でアクセスを得ます。たとえば、低権限のドメインユーザー、侵害されたサービスアカウント、委任された管理者（Account Operators、Schema Admin など）、または設定ミスのある自動化クレデンシャルです。さらに、公開されている管理インターフェイスや脆弱なホストを悪用することもあります。

2. AD の保護と ACL を偵察する

足場（フォートホールド）から、攻撃者はディレクトリ オブジェクトを列挙して、AdminSDHolder オブジェクトとその ACL、AdminSDHolder および CN=System に対する Write/Modify 権限を持つ主体、adminCount=1 のアカウント一式、および特権グループのメンバーシップを特定します。ツール：PowerShell Get-ACL、LDAP クエリ、ADSI スクリプト。

3. 修正のためのパスを特定する

攻撃者は、AdminSDHolder の ACL を変更できる経路を探します（例：誤って委任されたユーザー、または Account Operators のように権限が過剰に付与されたグループ、あるいは DS の書き込み権限を持つサービス アカウント）。AD の書き込み権限が昇格した自動化／サービス アカウント、または権限が残存したまま放置されたアカウントは、魅力的な標的になります。

4. AdminSDHolder または保護対象オブジェクトの ACL を変更する

許可されている場合、攻撃者は AdminSDHolder のセキュリティ記述子を変更し、選択したプリンシパルに強力な権限（WriteDacl、FullControl、WriteProperty）を付与する ACE を追加します。あるいは、個別の保護アカウントの ACL を変更したり、バックドア アカウントに adminCount=1 を設定したりすることもできます。方法：Set-ACL、LDIF、ldapmodify、ネイティブの Windows APIs。

5. SDProp の伝播を待つ

SDProp はドメイン コントローラー上で定期的に実行され、adminCount=1 になっているすべてのオブジェクトに AdminSDHolder のディスクリプタを伝播させます。伝播が起きると、悪意ある ACE が保護されたアカウント（多くの場合 Domain Admins）に適用され、攻撃者に持続的な昇格アクセスが付与されます。

6. 昇格した権限を使って永続化し、横方向に移動する

新しい ACL により、攻撃者はドメイン管理者アカウント（許可されていれば）を掌握し、機密性の高い設定（GPO、信頼関係）を読み取ったり変更したり、追加のサービス プリンシパルやシャドウ管理者アカウントを作成したりできます。また、ACL の変更が検出されない場合は、単純な復旧対応だけでは持続性が失われず、攻撃を継続できます。

✱ バリアント：adminCount の直接設定、または単一オブジェクトの SD 修正

個々のオブジェクトを改ざんできる攻撃者は、選択したアカウントに adminCount=1 を設定して SDProp の対象にするか、価値の高いアカウントのセキュリティ記述子を直接置き換えることができます。どちらのバリアントでも、永続的な特権アクセスが得られる可能性があります。

攻撃フロー図

例：組織の視点

攻撃者は、レガシーのバックアップツールで使用されるサービスアカウントを侵害します。このサービスアカウントには、CN=System 配下のサブツリーに対する委任された書き込み権限があります。攻撃者は、攻撃者アカウントに対して AdminSDHolder で FullControl を付与する ACE を書き込み、SDProp が適用されるのを待ちます。その後、得られた昇格された権限を使ってドメイン管理者アカウントを乗っ取り、ドメインのシークレットをエクスポートします。

例（実世界のパターン）

AdminSDHolder の変更による影響

AdminSDHolder の記述子または保護対象オブジェクトを変更すると、壊滅的な影響を及ぼす可能性があります：

金銭的な影響

特権アカウントが侵害されると、IP、財務記録、または顧客の PII が盗まれ、その後に規制上の罰金、インシデント対応コスト、法的費用、場合によっては身代金の要求が発生する可能性があります。

業務の中断

ドメインが侵害されると、環境全体で認証と認可が損なわれます。サービスが無効化される可能性があり、AD は慎重な修復または再構築が必要になる場合があります。また、復旧の期間中に業務が停止することもあります。

風評被害

ドメイン侵害の証拠は重大なセキュリティ上の失敗を示しており、顧客の信頼、パートナーとの関係、そして公共の評判に悪影響を与える可能性があります。

法的・規制上の影響

規制対象データが漏えいすると、GDPR、HIPAA、または業界固有のコンプライアンス対応（措置、調査、罰金）につながる可能性があります。

よく狙われる対象：誰がリスクにさらされますか？

AdminSDHolder によって保護されているアカウント

ドメイン管理者、エンタープライズ管理者、スキーマ管理者、Administrators（管理者）

サービスアカウントおよび委任された非人間プリンシパル

サービスアカウントに誤ってシステムコンテナーへの書き込み権限が付与された

レガシー自動化

AD 書き込み機能を備えたバックアップツール、監視エージェント、DevOps スクリプト

規模が大きく、監査が不十分な AD 環境

委任された権限が多いことと、古い（非アクティブな）アカウントが残っていること

リスク評価

AdminSDHolder の変更を防ぐ方法

予防には、AdminSDHolder を編集できる人を絞り込み、検知とガバナンスを強化する必要があります。

ACL と委任権限の衛生管理

CN=AdminSDHolder の権限を制限してください。WriteDacl、WriteOwner、または FullControl は、信頼できる高い特権を持つ主体に対して、最小限の範囲でのみ付与します。CN=System 配下で委任された権限を監査し、過剰な権限は取り消してください。特権のないサービス アカウントに AD の書き込み権限を付与しないようにし、自動化には専用かつ制御された特権 ID を使用してください。

Privileged Access Management (PAM)

管理タスクには、常設の特権ではなく JIT/just-enough access を使用してください。可能な場合は、サービスには管理対象サービス アカウント（gMSA）と有効期限の短い証明書/シークレットを使います。

ハードニングとアカウント制御

緊急アクセス／ブレイクグラス アカウントを強化し、レガシー／未使用のサービス アカウントを無効化または削除し、ライフサイクル管理を徹底してください。

変更管理と職務分掌（分離）

重要な AD オブジェクト（AdminSDHolder、ドメイン ルートの ACL） の変更には、複数人による承認を必須にします。ACL の変更に紐づく変更チケットを記録し、レビューしてください。

ベースラインおよび整合性チェック

AdminSDHolder のセキュリティ記述子（security descriptor）のベースラインのコピーを保持し、実際のオブジェクトと定期的に比較してください。差分（ドリフト）があればアラートを出します。adminCount=1 のオブジェクトと、特権グループ内の想定外のアカウントを定期的にスキャンしてください。

検知（Detection）、軽減（Mitigation）、対応（Response）の戦略

検知

• CN=AdminSDHolder への書き込みを監査し、アラートを出す：ディレクトリ サービスの監査（DS Access）を有効にして、AdminSDHolder の変更を取得し、属性 nTSecurityDescriptor または DACL の変更があった場合にアラートを生成します。
• adminCount の変更を監視：通常でないアカウントに対して adminCount が 1 に設定された場合にアラートを出します。
• 保護されたオブジェクトに対して、非管理者のプリンシパルに高い権限を付与する新しい ACE が追加された場合にアラートを出します。
• 保護されたアカウントへの変更が急増していないか監視します（パスワード リセット、ACL の変更）。
• 特権グループのメンバーシップ変更と、予期しない追加を監視します。

対応

1. 悪意のある ACE を直ちに削除し、AdminSDHolder を最後に確認できた安全なセキュリティ記述子（または検証済みのバックアップ）に復元します。
2. 攻撃者のアクセスを取り消します。アカウントを無効化し、認証情報をローテーションし、使用されたサービス アカウントの証明書/シークレットを無効化します。
3. 可能な限り認証セッションを無効化します（Kerberos チケットの強制パージ、再認証の強制）。
4. ドメインの整合性と影響範囲を評価します。悪意のある ACE がどこに伝播したかを洗い出し、侵害された特権アカウントを特定し、横方向の痕跡（lateral artifacts）を検索します。
5. 影響を受けた特権アカウントの認証情報をリセットし、サービスシークレットをローテーションします。
6. 持続化（persistence）を調査します。作成されたサービスプリンシパル、スケジュールされたタスク、悪意のあるスクリプトを含む GPO、または変更された委任（delegation）エントリがないか確認してください。

軽減

• 不要な書き込みの委任（write delegations）を削除し、管理を強化し、管理者アクティビティに対して Privileged Access Management（PAM）/JIT を導入することで、将来の露出を制限します。
• 監査を強化し、アラートを IR プレイブックに統合して、検知と封じ込めを迅速化します。

Netwrix がどのように支援できるか

Netwrix Threat Prevention は、重要な AD オブジェクトへの不正な変更をリアルタイムで検出してブロックすることで、AdminSDHolder の悪用を止めるのに役立ちます。オブジェクトおよび属性の変更に関する、完全で改ざん耐性のある監査証跡を作成し、DACL の編集や特権グループ／GPO の変更などのリスクの高い操作について、自動で通知または防止が可能です。その結果、持続化やドメインの乗っ取りに利用される猶予を減らせます。チームはポリシーを調整して機微なコンテナーをロックダウンし、AdminSDHolder や保護対象アカウントが触れられたときに即時対応を徹底することで、Identity から始まるデータセキュリティを強化できます。

業界別の影響

攻撃の進化と今後のトレンド

• ACL 偵察の自動化——攻撃者は、大規模な AD 環境において書き込み可能なシステム コンテナーや委任された権限を探す検索を自動化しています。
• 他の AD 攻撃との組み合わせ — AdminSDHolder の悪用は、Golden Ticket / DCSync / ACL の悪用チェーンと組み合わされ、強固な持続性を実現します。
• サプライチェーンと DevOps への露出 — パイプライン内で漏えいした自動化資格情報が、委任された ACL の変更を行うための侵入経路として引き続き見つかっています。
• 目立つ行動が少なく、よりステルス — 攻撃者は ACL/DACL の操作を好みます。正当な管理者の活動に紛れやすいためです。

主要な統計情報とテレメトリ（推奨チェック）

• CN=System または AdminSDHolder に対する非標準の書き込み権限を持つドメインの割合（衛生状態の測定）。

• adminCount=1 のアカウントのうち、直近に正当な管理者アクティビティがないものの数

• 環境内で AD 書き込み権限を持つサービスアカウントの数

まとめ

AdminSDHolder の変更は、影響が大きく、かつステルス性の高い手法です。AD が特権アカウントを保護するために用いる仕組みを攻撃することで、攻撃者は、多くの単純な是正手順をすり抜けて生き残る、ドメイン全体にわたる持続的な特権昇格を実現できます。これに対抗するには、厳格な ACL ガバナンス、最小権限の委任、強力な特権アクセス制御（Privileged Access Management/JIT）、AdminSDHolder および adminCount オブジェクトの継続的な監査、さらに、悪意のある ACE を素早く削除し、影響を受けた資格情報をローテーションするための、事前にリハーサルした対応プレイブックが必要です。