gMSA の悪用攻撃と Golden gMSA 攻撃の解説

gMSA 攻撃とは？

Group Managed Service Account（gMSA）攻撃は、攻撃者が gMSA の資格情報を侵害または算出して、サービスへの不正アクセスを取得し、Active Directory 環境全体で権限を昇格させる侵入です。

gMSA は、Windows サービス、IIS アプリケーション プール、SQL Server サービス、スケジュール タスク、バックアップ サービスなど、サービスが自動的に管理されるドメイン資格情報を必要とするその他の自動化されたサービス ID に使用されます。gMSA の悪用は攻撃対象面を大きく広げます。なぜなら、gMSA を取得したり gMSA で実行したりすることが許可されたすべてのシステムやサービスが、攻撃者にとっての潜在的な侵入口になり得るからです。攻撃者は gMSA のパスワードを読み取り、これらのアカウントを悪用することで、サービス ID をなりすまし、ドメイン内を横方向に移動し、検知や対応が難しい持続的な侵入状態を維持できます。

攻撃者は gMSA の悪用に、主に次の手法を用います：

• Read msDS-ManagedPassword: 攻撃者は、SYSTEM/許可されたアクセス権を用いてホストまたはアカウントを侵害し、Active Directory から gMSA の msDS-ManagedPassword 属性を読み取ります。この属性には gMSA の現在のパスワードと過去のパスワードが含まれているため、属性の値を読み取ることで、攻撃者は実際に gMSA のパスワードを読み取ることになります。
• Golden gMSA (KDS root key abuse): 対抗者は KDS（Key Distribution Service）のルートキー属性（CN=Master Root Keys,CN=Group Key Distribution Service,CN=Services,CN=Configuration,DC=domain,DC=com に格納）を取得し、それを使用して、ドメインコントローラに接続することなくオフラインで gMSA パスワードを計算します。有効な認証情報を偽造することで、攻撃者はいつでもそれらのサービスアカウントとして認証できます。

Golden gMSA attacks

Here are the key characteristics of a Golden gMSA attack:

• 初期の侵害には、高レベルの権限（例：ドメインコントローラ上の Domain Admin または SYSTEM アカウント）が必要です。これにより、KDS ルートキーの素材を読み取ったり、エクスポートしたりできます。
• KDS のルートキー属性（KDS root key attributes）を入手すると、攻撃者は次のことができます。
  • ドメイン コントローラーに接続せずに、現在および将来の gMSA パスワードを計算できるため、DC 上に認証ログは生成されません。
  • ドメイン内の任意の gMSA に対して認証情報（credentials）を考案（作成）できます。
  • 初期の侵害が検知された後でも、永続的なアクセスを維持できます（ルートキーはデフォルトで最大 10 年間有効です）。
• 概念的には、Golden gMSA 攻撃は Golden Ticket 攻撃と類似しています。どちらも、偽造または派生した認証情報（credentials）を作成する点で共通しているためです。

ツールの使用

次のツールとスクリプトは、Golden gMSA の悪用を容易にします：

• クレデンシャル・ダンピング（credential-dumping）ユーティリティは、攻撃者が権限を昇格したり、横方向に移動したりできるように、ホストから認証情報（credential）または認証情報の素材を抽出するために使用されます。対象には、認証トークン/NTLM ハッシュが存在するメモリ、キャッシュされた認証情報、認証情報ストアのバックアップ コピーが含まれます。
• AD 列挙（AD-enumeration）ユーティリティは、Active Directory のオブジェクト、権限、および関係をマッピングし、攻撃者が機密のキー/オブジェクトがどこに存在するかを特定できるようにします（gMSA の場合：KDS ルート キー、msDS-ManagedPassword オブジェクト、サービス バインディング）。それらは、グループのメンバーシップ、ACL、属性を調査します。
• 概念実証（proof-of-concept）ユーティリティおよびカスタム スクリプトは、KDS ルート キーとオブジェクト メタデータから gMSA のパスワードを導出する数学/暗号学的ロジックを実装しています。

gMSA 攻撃はどのように機能しますか？

gMSA の悪用（exploitation）攻撃は段階的な手順をたどります。攻撃者はまず gMSA がどこで使用されているかを特定し、その後、持続的でステルス性の高い方法で横方向の移動を行い、権限を昇格します。攻撃のフェーズは次のとおりです：

gMSA の使用状況を把握する

攻撃者はまず、環境内で gMSA がどこに展開（デプロイ）されているかを洗い出します。彼らは Active Directory とエンドポイントをスキャンして、gMSA の ID で実行されているサービス、アプリケーション プール、スケジュール済みタスク、またはデータベース／バックアップ プロセスを特定します。このマッピングができると、コード実行を獲得したり NT AUTHORITY\SYSTEM への権限昇格につながったりする可能性のある、悪用可能な脆弱性（たとえば Web サーバーの RCE、未パッチのサービス不具合、脆弱なサービス設定）を、そのホストに対して調査（プロービング）します。

gMSA のパスワードにアクセスする

侵害されたホストで SYSTEM 権限を持つ場合、または十分な Active Directory の権限を備えたアカウント経由で、攻撃者はツールや API（例: DSInternals を使った PowerShell、またはディレクトリの読み取り）を用いて msDS-ManagedPassword 属性を取得します。次に攻撃者は、資格情報ブロブ（credential blob）を平文（または NTLM ハッシュ）にデコードしますが、多くの場合 PowerShell の関数 ConvertFrom-ADManagedPasswordBlobを使用します。これらの平文、またはそこから導出された資格情報を使うことで、攻撃者はサービス アカウントとしてログインし、サービスを実行し、到達可能なあらゆるリソースにアクセスしたうえで、大した手間をかけずに他のシステムへ移動できます。

Golden gMSA 攻撃

Golden gMSA のシナリオでは、攻撃者は Active Directory が gMSA パスワードを導出（derive）するために使用する KDS ルート キー属性（msKds-RootKeyData、msKds-KDFParam、および関連する KDF パラメーターなど）を抽出します。GoldenGMSA のようなツールやカスタム スクリプトを使うことで、オフラインで現在および将来の gMSA パスワードを計算できます。このようにして、これらの gMSA に依存する任意のサービスに対して認証を行えます。

横方向への移動（lateral movement）または特権昇格（privilege escalation）

攻撃者が gMSA の資格情報（直接読み取ったものでも、KDS キーから計算したものでも）を手に入れたら、それを使って次のことができます。

• gMSA を受け入れるデータベース、管理インターフェイス、ファイル共有、またはその他のサービスに認証します。
• サービスの身元を信頼する別のホストへピボットします。
• 権限を昇格するために、Silver Ticket または Golden Ticket の手法、またはトークンの悪用と組み合わせます。
• 機密データを流出させます。
• 永続化（持続性）を導入するか、新しい特権サービスアカウントを作成します。

gMSA の下で実行されるサービスは通常、昇格された権限と広範な接続性で動作するため、攻撃者が悪用できる広い攻撃対象領域（攻撃面）を提供します。

攻撃フロー図

こちらは、gMSA 攻撃における一連の出来事（イベントの連鎖）を説明するフロー図と、攻撃を理解するために組織の視点から見た例示のストーリーです。

攻撃者は、脆弱なプラグインを通じて組織の顧客向け Web サーバを侵害し、Web シェルを設置したうえで、そのホスト上で SYSTEM へ権限を昇格し、サービスの認証情報（クレデンシャル）を抽出します。ダンプした KDS root key と KDF パラメーターを使用して、gMSA パスワードをオフラインで計算し、ドメイン コントローラーに接続せずにバックエンド サービス（データベースおよびファイル共有）へ認証します。48 時間以上の間に、攻撃者は機微な顧客レコードを流出させます。

gMSA 攻撃の例

公開されているレポートや侵害の開示情報の中に、攻撃者が実環境で gMSA または Golden gMSA 攻撃を使用したとするものはありません。とはいえ、この手法が実在し、現実的であることを示す広範な研究、PoC、ツール、ベンダーのガイダンスがあります。以下は、実世界の証拠の要約です。

gMSA 攻撃の影響

IT チームは、自動化された高い権限でのアクセスのために gMSA を使用します。それらが盗まれるとインシデントが拡大し、ステルス性の高い横方向への移動、長期間にわたるアクセス、広範なデータ露出が可能になります。これは、深刻な金銭的・業務的・評判的・法的な影響につながり得ます。

gMSA 攻撃のよくあるターゲット：誰が危険にさらされるのか？

大まかに言うと、サービス（SQL、IIS、Exchange、バックアップ）のために多数の gMSA を用いて複雑な Active Directory 環境を運用している大企業、政府機関、金融機関は、gMSA 攻撃の最も一般的なターゲットの一つです。技術的な観点から見ると、IT インフラにおいて次のコンポーネントが最もリスクが高くなります。

リスク評価

gMSA 攻撃のリスクを評価するには、次の 3 つの重要な要素を考慮してください。攻撃によって想定される被害の大きさ、攻撃の実行の難しさ、そして発生する可能性です。これらを合わせて考えることで、なぜ gMSA に強力な保護と監視が必要なのかが明確になります。

gMSA 攻撃の防止方法

強力な技術的コントロールと適切な管理手法を導入することで、組織は gMSA の悪用攻撃によるリスクを低減できます。

技術的対策

次の技術的対策は、gMSA および Golden gMSA の攻撃を防ぐのに役立ちます：

• KDS のルート キーにシステムのアクセス制御リスト（SACL）を設定し、msKds-RootKeyData 属性を読み取ろうとする試行をすべて記録します。これにより、攻撃者が gMSA のパスワードを導出するために使用されるシークレットにアクセスしようとした場合に、セキュリティ チームへ通知されます。
• gMSA のメンバーシップに対して最小権限を徹底します。これを行うには、gMSA の msDS-GroupMSAMembership 属性に、どのアカウントやグループを登録するかを制限します。本当に gMSA を必要とするサービスだけがアクセスできるようにしてください。不要なメンバーシップを削除すると、潜在的な悪用経路を塞ぐのに役立ちます。
• gMSA を管理および使用する権限を持つ人を定期的に確認します。セキュリティ チームは、権限の変更や利用パターンを監査して、不正なアクセスや権限昇格の試みを示唆する可能性がある疑わしい活動を検知できるようにします。
• ManagedPasswordIntervalInDays 設定の値を下げて、gMSA のパスワードがより頻繁に更新されるようにしてください。これにより、攻撃者が侵害された認証情報を再利用できる機会の期間が制限されます。

管理上のベストプラクティス

管理上のベストプラクティスとして、組織は gMSA のライフサイクルおよび鍵管理を厳格に管理する必要があります。

• 定期的に新しい KDS ルート キーを作成し、アクティブな gMSA に再割り当てしてください。これにより、古い、または潜在的に侵害されたキーが使用されて、有効な gMSA パスワードが導出されるのを防止できます。
• ディレクトリ オブジェクトへのアクセス試行を記録するイベント ID 4662 を監視してください。gMSA 属性に関してこのイベントを特に監視することで、不正なアクセスや疑わしいクエリの検出に役立ちます。
• 使用されなくなった gMSA を先回りして無効化し、旧サービスに残っている孤立権限を削除します。これにより、攻撃者が悪用できるアカウント数が減り、全体的な攻撃対象領域を最小化できます。

Netwrix はどのように支援できるか

Netwrix’s Identity Threat Detection & Response (ITDR) スイートは、オンプレミスおよびハイブリッド環境において、組織が疑わしい活動を特定し、アイデンティティ基盤を保護できるよう支援します。gMSA の防御に関連する可視化、アラート、対応、および復旧の機能を提供します。

以下に、その主要な機能と、gMSA に関連するリスクの予防または軽減にどのように対応するかを示します：

脅威の検出

Netwrix ITDR 製品（例: Threat Manager および Threat Prevention）は、Active Directory における通常ではない、または未承認の変更など、アイデンティティ基盤に関連する疑わしいアクティビティを検知できます。AD 内のオブジェクトおよび属性レベルでの変更とアクセスを監視することも可能です（例: msDS-ManagedPassword および msKds-RootKeyData 属性への未承認の読み取り）。さらに、リスクの高い構成変更や特権グループのメンバーシップ変更についてアラートを出すことができます。

リアルタイム監視とアラート

Netwrix ITDR は、重要な Active Directory イベントや異常なアクセスパターンについてリアルタイムのアラートを提供します。これには、機密性の高い KDS 属性へアクセスしようとするドメインコントローラー以外のアカウント、機密性の高いグループのメンバーシップ、特権属性の変更の監視が含まれます。これらの監視機能により、gMSA の悪用を検知することができます。

迅速な対応

Netwrix ITDR は、侵害が検知された場合に、アカウントの無効化、アラートの生成、望ましくない変更のロールバック、フォレンジック調査の開始など、完全自動または半自動のインシデント対応アクションをサポートします。gMSA 攻撃のシナリオでは、疑わしいアクティビティが検知されたときに、gMSA を無効化したり権限を取り消したりするなど、迅速に対応できることを意味します。

セキュリティ監査とレポート

Netwrix Auditor は、詳細な監査ログ（audit trails）、AD 変更における「変更前／変更後」の値、リスク評価レポート、ダッシュボード、ならびにコンプライアンス報告を提供します。これらは、gMSA の権限変更の追跡、時間の経過に伴う使用状況の把握、誤設定（ミスコンフィグ）の特定に役立ちます。

検知、軽減、対応の戦略

gMSA に関連する攻撃から防御するには、早期検知、予防的な軽減（ミティゲーション）、そして効果的な対応を一体として捉えた、先を見越したアプローチを採用する必要があります。以下は、KDS root key と gMSA の侵害に対する防御を強化するための実用的な手順です。

検出

gMSA 攻撃をいち早く検出するには、チームは次の実践を行う必要があります：

msDS-ManagedPassword や msKds-RootKeyData などの重要な属性に対する、未承認の読み取りを監視します

これらの属性は gMSA のパスワード取得およびオフラインでのパスワード生成に直接関係しており、通常のドメイン コントローラーの動作以外ではほとんど参照されません。これらに対する異常なクエリは、資格情報の収集（credential harvesting）を試みている可能性があります。これを検出するには、管理者が Active Directory でディレクトリ サービスの監査を有効にし、Advanced Security Auditing を構成してディレクトリ サービス アクセス（Directory Service Access、イベント ID 4662）をログに記録できるようにします。

DC 以外のアカウントが機密性の高い KDS 属性にアクセスしていないか確認します

KDS root key データとやり取りすべきなのは、ドメイン コントローラーのみです。想定外のアカウントによるアクセスを監視すると、特権の悪用や横方向への移動（ラテラルムーブメント）の試みを見つけられる可能性があります。

監視と分析を組み合わせる

機密属性に対する読み取りを絞り込み、それらをアカウント種別（たとえば非 DC アカウント）と関連付けることで、セキュリティ チームは不審なクエリを検出できます。さらに、これらのログを SIEM プラットフォームに統合して、イベント間の相関分析、異常検知、リアルタイム通知を行うと効果的です。

サービスおよびサーバ全体での正常な gMSA 利用状況の基準線を設定する

これにより、gMSA が想定された範囲外でアクセスされた場合（例：SQL gMSA が Web サーバで使用されている場合）に異常検知が可能になります。

緩和

IT チームは、緩和を、攻撃者の現在のアクセスを遮断するだけでなく、防御を強化して将来の侵害の可能性を最小限に抑えるための、連携した多層的な取り組みとして進めるべきです。重要な緩和ステップについては、以下で説明します。

侵害の疑いがある場合は、新しい KDS root key に対して gMSA を再作成する

新しい root key を生成することで、攻撃者がこれまでに露出したアーティファクトからパスワードを導き出す能力を遮断し、管理対象アカウントへの信頼を回復できます。

次を実行して gMSA パスワードをロールする：Test-ADServiceAccount

パスワードの更新を強制することで、たとえ資格情報が侵害されたとしても、攻撃者が有効なシークレットにアクセスできなくなります。

セグメンテーションを適用し、スコープを強制する

ネットワークおよびサービスのセグメンテーションを実装して、gMSA を使用できる場所を制限します。こうすれば、1つの層が侵害されたとしても、攻撃者が他の機密領域へ簡単に移動できなくなります。

是正プレイブックを定期的にテストする

KDS のキー ローテーションと gMSA のリカバリをシミュレーションするテーブルトップ演習および技術演習を実施し、手順が有効であり、プレッシャー下でも確実に機能することを確認します。

対応

gMSA 攻撃が疑われる場合、または確認された場合は、組織は脅威を封じ込め、被害を抑え、再発を防ぐために、決断をもって行動しなければなりません。

影響を受けたシステムを隔離する

侵害されたホストを隔離し、攻撃者によるさらなる横方向への移動や、侵害された gMSA 資格情報の継続的な悪用を防ぎます。msKds-RootKeyData やその他の重要な属性への疑わしいアクセスが検出された場合は、攻撃者がディレクトリ サービスに永続化できないように、ドメイン コントローラーも隔離する必要があります。

侵害された gMSA を無効化する

侵害された gMSA を直ちに無効化し、攻撃者がそれを認証や悪意のある活動に悪用するのを防ぎます。

関連するすべての認証情報をローテーションし、影響を受けるサービスを更新します。

gMSA、サービス アカウント、管理者アカウントを含む関連するすべての認証情報をローテーションします。次に、影響を受けるサービスを更新し、ローテーション後の新しい gMSA でスムーズに再認証できるようにします。

フォレンジックの成果物を保全し、フォレンジック調査を開始します。

フォレンジック調査により、インシデントの範囲と根本原因を特定できます。不可逆な復旧の変更を行う前に、ログや NTDS スナップショットなどのドメイン コントローラーおよび Configuration NC データを必ず取得してください。攻撃を止めることの緊急性と、分析のために証拠を保持する必要性のバランスを取ることが重要です。次：

• イベントログ、SACL のアラート、そして身元（identity）に関連する異常を確認してください。
• 事後分析のために、影響を受けたシステムから揮発性データ（メモリダンプや認証ログなど）を取得してください。
• 侵害の過程で導入された可能性のある、永続化（persistence）機構（スケジュールされたタスク、変更された ACL、またはシャドー管理者アカウントなど）に注意してください。

これらの手順により、攻撃の仕組みを特定し、セキュリティ上のすき間を埋めることができます。

業界別の影響

gMSA 攻撃の影響は、すべての業界で同じではありません。業界ごとの影響を理解することで、組織は最も価値の高い資産に基づいて防御の優先順位を付けられます。

攻撃の進化と今後の動向

組織がセキュリティを強化し、パスワード管理を簡素化するために gMSA を導入する一方で、攻撃者はこれらのアカウントを悪用するための手法を着実に進化させています。以下のトレンドでは、攻撃者が gMSA の弱点をどのように悪用しているのか、また脅威の状況がどこへ向かっているのかを示します。

主要な統計データとインフォグラフィックス

gMSA は強力なセキュリティ機能を備えるように設計されていますが、KDS root key を狙う攻撃者はこれらの保護を回避できます。裏付けとなる事実や統計をいくつか見ていきましょう：

• gMSA は認証情報の露出を抑えるため、30 日ごとにパスワードをローテーションします。しかし攻撃者が KDS root key を盗むと、彼らは いつでもオフラインで gMSA のパスワードを計算できます。これにより、ローテーションによる保護が事実上無効化されます。
• ドメイン内のすべての gMSA は、パスワード生成に同じ KDS root key を利用しています。そのため、この root key が侵害されると、ドメイン内のすべての gMSA に影響が及ぶ可能性があります。これは、単一障害点からドメイン全体に広がるリスクを生み出します。

次の棒グラフは、意図されたセキュリティの猶予期間（30 日のローテーション）と、実際の攻撃者のアクセス可能期間（KDS が侵害されている場合は無期限）を比較しています。

まとめ

結局のところ、gMSA は両刃の剣です。正しく管理すればサービス認証が簡素化され、セキュリティも強化されますが、悪用されると「王国への鍵」になり得ます。攻撃者が Golden gMSA を偽造すると、単にパスワードを盗むだけではありません。インフラストラクチャのマスターキーを継承し、システムやサービス間を静かに移動できる力を手に入れます。危険なのは、その不可視性にあります。企業全体がリスクにさらされるまで、気づかれないままじわじわと進行してしまうのです。KDS ルートキーの保護、疑わしい gMSA アクティビティの監視、そして強力なドメインコントローラーのセキュリティの実装は、Active Directory 環境を守るための不可欠なセーフガードです。