DCSync 攻撃の解説：Active Directory セキュリティへの脅威

DCSync 攻撃とは？

DCSync 攻撃とは、脅威アクターが Active Directory（AD）環境でドメイン コントローラー（DC）の挙動をシミュレートするために用いる手法です。この攻撃では、Directory Replication Service Remote Protocol（MS-DRSR）の正規の機能を活用して、ドメインから機密データを抽出します。

攻撃者はマルウェアを展開したりコードを注入したりする代わりに、ツール（Mimikatz など）を使用して DC を装い、認証情報データのレプリケーション（複製）を要求します。特に、KRBTGT やドメイン管理者を含むユーザー アカウントのパスワード ハッシュを狙います。

DCSync 攻撃は通常、次のような意図があります。

• パスワード ハッシュの抽出——攻撃者は、特権ユーザーのものを含むドメイン アカウントの NTLM パスワード ハッシュを取得します。これらのハッシュは、オフラインで解読（クラッキング）するか、pass-the-hash または Golden Ticket 攻撃にそのまま使用できます。
• ドメインの支配を実現 — KRBTGT アカウントのハッシュを入手することで、攻撃者は Kerberos Ticket Granting Tickets（TGTs）を偽造でき、持続性（persistence）とドメイン全体の完全な制御を可能にします。これにより、AD 環境全体への長期的でステルスなアクセスが可能になります。

この攻撃は、いくつかの理由から危険です。

• マルウェアは不要 — DCSync は悪意のあるバイナリに依存せず、正当な機能を悪用します。そのため、アンチウイルスや EDR ツールによる検知が難しくなります。
• 正規の通信を模倣 — この攻撃は標準的な Active Directory レプリケーション要求を模倣するため、通常の運用と見分けにくくなります。
• APT やサイバー犯罪グループが使用 — 高度な持続的脅威（APT）グループやランサムウェア集団は、権限昇格と持続性（persistence）の確立のために DCSync 攻撃を頻繁に用います。

DCSync 攻撃はどのように動作しますか？

DCSync 攻撃は、正当な Active Directory の挙動を模倣する一連のステルス手順によって進行します。以下に、攻撃の手順を段階的に解説します。

1. アカウントを侵害する

攻撃者は最初に、複製権限を持つ特権アカウントへのアクセスを取得します。これは通常、次のいずれかを侵害することを意味します：

• ドメイン管理者（Domain Admin）アカウント、または
• 委任された複製権限を持つシステム アカウント、または
• "DS-Replication-Get-Changes" および "DS-Replication-Get-Changes-All" 権限を持つアカウント

これらの権限により、攻撃者は DC の複製リクエストを模倣できます。

2. DC を発見する

次に、攻撃者はネットワーク内でアクセス可能なドメイン コントローラーを特定します。nltest,nslookupExpand のようなツール、または組み込みの Windows コマンドを使うことで、DC の特定に役立ちます。

3. DCになりすます

以下のようなツールを使用して、攻撃者は、その要求が Active Directory のレプリケーションに参加している正当な DC であるかのように作成します。

• Mimikatz（lsadump::dcsyncExpand）
• Impacket の secretsdump.py

4. データの要求

攻撃者は、DRSUAPI Expand インターフェイスを使用してレプリケーション要求を送信します。具体的には GetNCChangesExpand 関数です。これは、正当な DC-to-DC レプリケーションで使用されるのと同じ API 呼び出しです。

5. パスワードハッシュの抽出

DC は、要求されたデータ（以下を含む）を返します。

• NTLM ハッシュ
• Kerberos キー
• KRBTGT アカウントのハッシュ（Golden Tickets を作成するために重要）

このデータにより、パスワードの解読、なりすまし、または pass-the-hash 攻撃が可能になります。

6. 後続攻撃を実行する

攻撃者はパスワード ハッシュを入手すると、次のことができます。

• Golden Tickets を偽造（無制限・長期アクセス）
• Pass-the-Ticket または Pass-the-Hash 攻撃を実行する
• 特権を昇格するか、ドメイン内で横方向に移動する

攻撃フロー図

DCSync の攻撃フローは、脅威アクターが正当な Active Directory レプリケーション プロトコルを悪用してパスワード ハッシュを抽出し、ドメインに対して長期的でステルス性の高い制御を獲得できることを示しています。

こちらが攻撃の視覚的なイメージです。

組織の観点から、例を見てみましょう。

中堅の金融サービス企業では、フィッシングメールによってヘルプデスク担当技術者の認証情報が侵害されます。攻撃者はこれらの認証情報を使って Kerberoasting により権限を昇格し、やがて Domain Admin アカウントへのアクセスを獲得します。このアクセスにより攻撃者は内部DNSを用いてDCを特定し、Mimikatz の DCSync 関数を利用して複製データを要求します。DCは悪意の意図を認識していないため、パスワードハッシュ（KRBTGT アカウントのものを含む）を返します。攻撃者はその後 Golden Ticket を作成します。これは組織のネットワークに対して無制限かつ長期的なアクセスを可能にするものです。そして数週間にわたり、アラームを作動させることなく機密の顧客データを静かに持ち出します。

DCSync 攻撃の例

DCSync 攻撃は、攻撃者がドメインコントローラの挙動を模倣して Active Directory から機密の認証情報を抽出する、強力なポストエクスプロイト手法です。以下に、DCSync 攻撃の影響を示す実例を紹介します。

DCSync 攻撃の結果

DCSync 攻撃は、企業のセキュリティに対して重大な脅威となります。いったん成功すると、これらの攻撃によってアイデンティティおよびアクセス管理の根幹そのものが損なわれ、広範かつ長期にわたる影響につながる可能性があります。影響としては、コストのかかるインシデント対応、業務の中断、ブランドへの信頼の毀損、さらに、機密情報を保護できなかったことによる潜在的な法的措置や規制上の罰則などが挙げられます。

DCSync 攻撃の一般的な標的：誰がリスクにさらされるのか？

DCSync 攻撃を実行するために、攻撃者はネットワーク内の特定のアカウントや権限を狙います。以下は、そのような攻撃にさらされやすい一般的な標的の概要です。

高権限アカウント

ドメインコントローラーのマシンアカウント

デフォルト以外のアカウントまたは誤設定のアカウント

リスク評価

DCSync 攻撃に関連するリスクを理解するには、発生可能性、潜在的な重大度、使用される手法の巧妙さ、検知の難しさ、そして潜在的な影響を評価する必要があります。

DCSync 攻撃を防ぐ方法

DCSync 攻撃を防ぐには、厳格なアクセス制御、継続的な監視、そして Active Directory (AD) 環境の戦略的なセグメンテーションを組み合わせた多面的なアプローチが必要です。以下は、この種の攻撃のリスクを軽減するための主要な戦略です。

最小権限の適用

複製権限は、それを必要とするアカウントに厳密に限定してください。定期的に監査し、不必要な権限（特に次の拡張権限）を削除します。

• ディレクトリ変更の複製
• すべてのディレクトリ変更の複製
• フィルター処理されたセット内のディレクトリ変更の複製

これらの権限は DCSync 攻撃で悪用されることがよくあります。

監査と監視

不正なレプリケーション要求を検出するために、継続的な監視を実装してください。Netwrix PingCastle や Netwrix Threat Manager などのツールを利用して、レプリケーション権限を持つ既定以外のアカウントやその他の危険な設定をスキャンします。定期的な監査により、見過ごされがちな誤設定を明らかにできます。

ACE を制御する

意図しない権限が付与されないように、Access Control Entries（ACEs）を見直して管理してください。たとえば Enterprise Key Admins グループが、Domain Naming Context に対して誤って完全な制御権限を持ってしまい、セキュリティ上のリスクにつながる可能性があります。各セキュリティプリンシパルに対して、必要な権限だけが付与されるようにしてください。

AD のティアを分割する

階層化された管理モデルを採用し、高権限アカウントが標準ユーザー環境で使用されないように分離します。この分離により、セキュリティがより弱いワークステーション上で資格情報が露出するリスクを最小化し、潜在的な侵害を封じ込めるのに役立ちます。

高度な検知メカニズムを実装する

Security Information and Event Management (SIEM) ソリューションを導入し、異常なイベント ID 4662 の記録など、DCSync 攻撃を示唆する特定のイベントを監視します。非ドメインコントローラー アカウントからのレプリケーション要求の検知に重点を置いてください。これらは悪意のある活動を示している可能性があります。

Netwrix サポート

Netwrix は、DCSync 攻撃の検知と緩和のための堅牢なソリューションを提供しています。Netwrix Threat Manager と Threat Prevention により、組織は DCSync 攻撃を検知して防止する能力を高められます。その結果、Active Directory 環境全体のセキュリティ姿勢が強化されます。

Netwrix Threat Manager：DCSync の挙動を検知

Netwrix Threat Manager は AD の複製（レプリケーション）活動を継続的に監視し、DCSync 攻撃を示唆するパターンを特定します。非ドメイン コントローラーのマシンから発生するものを含め、異常な複製要求を検出し、要求元、対象アカウント、複製要求の内容といった、疑わしいアクティビティに関する詳細な情報を提供します。このリアルタイム検知により、セキュリティ チームは潜在的な脅威に迅速に対応できます。

Netwrix Threat Prevention：不正なレプリケーションをブロック

Netwrix Threat Prevention は、許可されていないレプリケーション（複製）活動を防止するポリシーを強制することで、AD 環境を積極的に保護します。DCSync に似た挙動が検出された場合、問題のあるアカウントまたはワークステーションがこれ以上の複製アクションを実行できないように自動的にブロックできます。この即時の対応メカニズムにより脅威を封じ込め、インシデント対応チームが問題を調査して解消するための貴重な時間を確保できます。

検知、緩和、対応の戦略

疑わしい DCSync 攻撃では、攻撃者がドメイン コントローラーになりすまして、複製（レプリケーション）の権限を使い、Active Directory から認証情報を抽出します。脅威を封じ込めるには、迅速な検知と対応が不可欠です。

早期の警告サイン

DCSync 攻撃を早期に検知するために監視すべき主要な兆候を以下に示します。

予期しないレプリケーション要求

セキュリティ イベント ID 4662

イベント ID 4670 / 4624 / 4742 のパターン

迅速な対応

DCSync 攻撃が疑われる、または検出された場合は、迅速な封じ込めが重要です。

侵害されたシステムを隔離する

• 影響を受けたシステムを直ちにネットワークから切断してください。
• 複製権限を持つ不審なアカウントを一時停止してください（例：DS-Replication-Get-Changes-AllExpand）。

昇格された権限を取り消す

次の項目からユーザーまたはサービスを削除してください：

• Active Directory の組み込みセキュリティ グループ（例：Administrators、Domain Admins、Enterprise Admins）。
• 「Replicating Directory ChangesExpand」権限を持つアカウント。

ログを監査して調査する

ドメイン コントローラー上のログを確認します。特に：

• セキュリティ イベント ログ：複製（レプリケーション）関連の項目に注目する
• ディレクトリ サービス ログ
• Sysmon ログ：プロセスの作成とネットワーク接続

長期的な緩和戦略

先回りの防御により、DCSync のリスクが大幅に低減されます。

AD レプリケーション権限の監査

• BloodHound や PowerView などのツールを使って、権限を定期的に確認してください。
• 特権 AD グループに意図しないメンバーがいないか監査します。

欺瞞（Deception）メカニズムを導入する

• ハニーポット アカウントやデコイの DC オブジェクトを配置するなどの欺瞞技術を用います。
• Canarytokens や ADDecoy などのツールを使って、不正なアクセスを検出します。

階層型の管理モデルを導入する

権限レベル（Tier 0、1、2）ごとに職務を分離します。

• Tier 0：ドメイン コントローラーへの直接アクセス
• Tier 1：サーバー管理
• Tier 2：ワークステーションのサポート

高度な監査（Enhanced Auditing）を有効化

• 高度な監査ポリシー構成を有効にします。
• ディレクトリ サービスへのアクセス、特権の使用、オブジェクトの変更を追跡します。

安全なレプリケーション プロトコル

• 可能な範囲で、DC 以外のデバイスからのアウトバウンド RPC トラフィックをブロックします。
• ファイアウォール ルールを使用して、複製通信を既知の DC 間に限定します。

業界別の影響

DCSync 攻撃の影響は、規制要件、データの機微性、インフラの複雑さの違いによって、業界ごとに大きく異なります。金融、医療、政府、テクノロジーのいずれの分野でも、DCSync 攻撃が成功すると、認証情報の窃取、データ侵害、コンプライアンス違反、業務の混乱につながる可能性があります。

攻撃の進化と今後のトレンド

DCSync 攻撃手法は、現代の対抗者（攻撃者）のツールキットにおける重要な構成要素へと進化しています。防御策が改善されるにつれて、DCSync の戦術も適応を続けており、ネイティブのシステム機能へのより深い統合を進めると同時に、新たに出現する脆弱性を活用して最大限の効果を狙います。

Living-off-the-Land (LotL)

攻撃者は、外部バイナリを導入せずに DCSync 攻撃を実行するために、ネイティブの Windows ツールと組み込みの Active Directory 機能にますます依存しています。DRSR のような標準プロトコルでレプリケーション権限を悪用することで、脅威アクターは通常のネットワーク挙動に紛れ込むことができます。この Living-off-the-Land（LotL）アプローチにより、フォレンジック上の痕跡が減少し、従来のシグネチャベースの検知メカニズムが悪意ある活動を特定しにくくなります。

ツールセットの拡張

Mimikatz は DCSync を実行するための最もよく知られたツールであり続けていますが、secretsdump.pyExpand（Impacket からのもの）や、台頭しているレッドチームのフレームワークによって、攻撃者の手札は広がっています。これらのツールは、多くの場合モジュール化されており、オープンソースで、頻繁に更新されます。そのため、検知やブロックがより困難です。現在のバリアントには、従来の EDR ソリューションを回避し、更新されたセキュリティ制御にも適応する難読化やスクリプト作成機能が含まれるようになっています。

高度な検知回避

高度な攻撃者は、DCSync を単に悪用するだけでは終わりません。現在は、痕跡を隠すための高度な戦術を実装しています。これには、Windows イベント ログの無効化または改ざん、暗号化またはトンネル化された通信チャネルの使用、そして DCSync を他のステルス手法と連鎖させることが含まれます。中には、ディスクへの書き込みを避け、エンドポイント監視ツールを回避するために、メモリ上から直接 DCSync に似た機能を実行する攻撃者もいます。

トレンドウォッチ

DCSyncの威力は、特権昇格（privilege escalation）の脆弱性と組み合わせるとさらに増幅されます。Zerologon（CVE-2020-1472）や PrintNightmare（CVE-2021-34527）のようなエクスプロイトにより、攻撃者はドメインレベルの特権へアクセスを迅速に引き上げることができ、その結果、長期的な横方向への移動（lateral movement）を必要とせずにDCSyncの前提条件を満たせます。今後の悪用チェーンでは、ゼロデイのAD設定ミスやサプライチェーン上の欠陥に依存して、DCSyncをより素早く、かつより秘匿にトリガーする可能性があります。

主要な統計情報とインフォグラフィック

2024年には、公開された報告の中で DCSync の手法に関連付けられた高度な脅威アクターが十数組以上確認されました。

たとえば2024年12月、Arctic Wolf Labsは、Fortinet FortiGate ファイアウォール装置を標的とする洗練されたサイバー攻撃キャンペーンを特定しました。脅威アクターは疑われるゼロデイ脆弱性を悪用して、装置の管理インターフェイスに不正にアクセスしました。その結果、ファイアウォール設定を変更し、DCSyncを使って資格情報（credentials）を抽出できるようになりました。

DCSync 関連インシデントの影響が最も大きい業界

上の棒グラフは、影響を最も受けた業界を示しています：

• 政府と金融が上位に挙がっており、高価値データを保有していること、また AD 環境が一般に複雑であることを反映しています。
• ヘルスケアと製造業も、レガシーシステムやセグメンテーションの制限があることが原因で、目立ったリスクにさらされている可能性があります。
• 教育分野とテクノロジー分野もますます標的にされており、これは多くの場合、オープンなネットワークと研究 IP の価値が高いことが理由と考えられます。

DCSync 関連 APT 事件のタイムライン（2024 年）

折れ線グラフは、1年間を通じたインシデント頻度を示しています：

• インシデント件数は第2四半期と第3四半期に大きく増加し、8月（4件）がピークでした。
• 4月、7月、10月のスパイクは、権限昇格のエクスプロイト（例：Zerologon のようなレガシー脆弱性）を含むことが知られている APT キャンペーンの期間と一致しています。
• この季節性の傾向は、予算サイクルや地政学的な出来事の際に戦略的に標的を絞っていることを示唆しています。

最後に

DCSync 攻撃は、Active Directory 環境に対する依然として強力な脅威です。攻撃者はドメイン コントローラーを偽装し、マルウェアを展開したりドメイン コントローラーへ直接アクセスしたりすることなく、機密性の高い認証情報を抽出します。正当なレプリケーション（複製）プロトコルを悪用することで、攻撃者はこっそりとパスワード ハッシュを収集し、横移動、権限昇格、および継続的なアクセスを可能にします。これらのリスクを軽減するために、組織はレプリケーション権限を厳格に監査し、最小権限の原則を徹底し、異常なレプリケーション活動に対する継続的な監視を実装する必要があります。