Golden SAML 攻撃の究極ガイド

ゴールデン SAML 攻撃とは？

ゴールデン SAML は、Active Directory Federation Services (AD FS) のようなフェデレーション認証システムを狙うサイバー攻撃です。これは、攻撃者が、AD FS などのアイデンティティ プロバイダー (IdP) が SAML（security assertion markup language）トークンに署名するために使用している秘密鍵または証明書を盗むことで発生します。これにより、攻撃者は、接続されているすべてのサービスから完全に正当なものに見える偽の SAML トークンを作成できるようになります。

偽造した SAML トークンを使うことで、攻撃者は管理者を含む任意のユーザーになりすまし、Microsoft 365 のようなクラウド サービスにアクセスできます。偽造された SAML トークンは暗号学的に有効であるため、多要素認証（MFA）やパスワード チェックといった従来の認証方法を回避し、従来型のセキュリティ対策では効果が出なくなります。この手法は Kerberos Golden Tickets に似ていますが、フェデレーション ID システムを対象とします。

ゴールデン SAML 攻撃の主な目的は、アラームを発さずに、組織のネットワークおよびクラウド サービスに対して、ステルス性の高い長期的かつ高レベルのアクセス権を獲得することです。攻撃者は、任意のユーザーになりすまして認証を回避できる力を持つため、機微なデータを閲覧したり設定を変更したり、監視の目をかいくぐりながらシステム間を横方向に移動（lateral）できます。組織がパスワードのリセットやユーザー資格情報のローテーションを強制したとしても、攻撃者が盗み取った署名用の証明書または鍵を保持している限り、アクセスを維持できます。

フェデレーション認証システム：仕組みは？

連携認証（フェデレーテッド認証）により、ユーザーは一度ログインするだけで、オンプレミスとクラウドの両方にある複数のアプリケーションに、別々のパスワードを行き来せずにアクセスできます。通常の流れは次のとおりです：

1. ユーザーが Microsoft 365 のようなクラウドアプリにアクセスしようとします。
2. アプリは、AD FS や Okta などの組織のアイデンティティプロバイダー（IdP）にリクエストを転送（リダイレクト）します。
3. IdP はユーザーの認証情報を検証し、ユーザーの身元と権限を確認するデジタル署名付きの SAML トークンを発行します。
4. クラウドアプリはトークンの署名を確認し、有効であれば追加のログインを求めずにユーザーにアクセスを許可します。

攻撃者はそれをどのように悪用しますか？

Golden SAML の攻撃者は、署名ステップを狙います。IdP のトークン署名証明書と秘密鍵を盗むことで、見た目がまったく正当な SAML トークンを自分で作成でき、その結果、接続されているあらゆるアプリケーションにアクセスできるようになります。

Golden SAML 攻撃はどのように機能しますか？

Golden SAML 攻撃は一連のステップとして展開されます。特権アクセスの獲得から始まり、クラウドおよびオンプレミスのリソースを長期的かつステルスに制御するところで終わります。以下に攻撃の各フェーズを示します：

1. 管理者権限を取得する

攻撃者はまず、ネットワークに侵入して AD FS、またはその他の SAML のアイデンティティプロバイダー（IdP）サーバーに到達します。その後、ローカルまたはドメイン管理者権限まで権限を昇格させます。パッチ未適用の脆弱性を悪用したり、フィッシングやパス・ザ・ハッシュ（pass-the-hash）の手法で特権資格情報を盗んだり、権限昇格を可能にする誤った設定を悪用したりする可能性があります。

2. トークン署名証明書と秘密鍵を抽出する

管理者権限を掌握すると、攻撃者は ADFSdump、Mimikatz、および組み込みの PowerShell モジュールのようなツールを使用して、これらが配置されている場所に応じて、AD FS 構成データベース、Windows の証明書ストア、または Active Directory から次の内容を抽出します。

• トークン署名証明書とその秘密鍵：SAML トークンを発行するための「マスターキー（master key）」
• Distributed Key Manager（DKM）キー：複数サーバーの AD FS クラスタに保存された証明書データを復号するために必須
• 信頼できる依拠当事者（relying parties）のリスト：攻撃者に、偽造トークンでアクセスできるすべてのアプリケーションおよびサービスの全体像（ロードマップ）を示します

攻撃者が使用するツールは、ハードウェア セキュリティ モジュール（HSM）で保護されていない場合、秘密鍵の素材（private key material）を読み取ることができます。

3. SAMLトークンの偽造

盗まれた秘密鍵を使って、攻撃者は ADFSpoof のようなツールを用い、IdP が正当に発行したように見える不正な SAML アサーションを生成します。アサーションの中に任意のユーザー名やグループのメンバーシップを設定できるため、この方法で攻撃者は自分に対してグローバル管理者、または root レベルのアクセス権を付与できます。

4. フェデレーションされたアプリケーションへのアクセス

攻撃者は、偽造した SAML トークンを使って、IdP（認証情報プロバイダー）を信頼するクラウド サービス（Microsoft 365、Microsoft Entra、AWS、Salesforce など）またはオンプレミスのアプリケーションにサインインするだけで済みます。トークンは暗号学的に有効であるため、これらのサービスは確認のための追加プロンプトなしでそのまま受け入れ、パスワードや MFA のプロンプトを求めることなく、メール、ストレージ、管理ポータルへの完全なアクセス権を付与します。

5. 持続性を維持する

この攻撃はパスワードではなく盗まれた署名証明書に依存しているため、通常のパスワード リセットや MFA の変更では攻撃者のアクセスを遮断できません。攻撃者が新たな偽造トークンを発行できないようにするには、侵害された証明書を置き換える必要があります。

攻撃のフローダイアグラム

ゴールデン SAML 攻撃は、予測可能な一連の出来事に従います。ここでは、例となる攻撃シナリオを見て、攻撃段階を視覚化することで、攻撃者が最初の侵害からどのようにしてクラウドまたはオンプレミスのアプリケーションへ自由にアクセスできるようになるのかを理解しましょう。

中規模の金融サービス企業は、不審なネットワークスキャンの動きを検知しますが、深刻な兆候はありません。その数週間後、攻撃者はフィッシングメールで特権を持つ IT 管理者をおびき寄せ、AD FS サービスアカウントの認証情報を盗み取ります。

これらを使って、攻撃者はリモートで AD FS サーバーにアクセスし、トークン署名証明書をエクスポートしたうえで、それを利用してグローバル管理者を装う自分たち独自の SAML アサーションを作成します。こうして偽造したトークンを使えば、パスワードや MFA を必要とせずに Microsoft 365 と AWS にログインでき、機密性の高い顧客データをダウンロードしたり、持続性を維持するための隠れたメール転送ルールを作成したりできます。

侵入は、会社が説明のつかないメールボックス転送に気づき、それを異常なトークン発行のパターンと関連付けるまで、見えないまま続きます。

Golden SAML 攻撃の例

これらのよく知られた事例は、Golden SAML 攻撃が現実の場面でどのように展開されるのかを理解するのに役立ちます。

Golden SAML 攻撃の影響

Golden SAML 攻撃が成功すると、その影響は組織全体に広がり波及します。直ちにセキュリティが損なわれるだけでなく、業務の継続性、財務の安定性、規制の遵守、そして長期的なステークホルダーの信頼までも脅かします。

Golden SAML 攻撃のよくある標的：誰が危険にさらされるのか？

Golden SAML 攻撃は、シングルサインオン（SSO）とクラウドのアイデンティティプロバイダーを利用している組織を狙います。彼らは、フェデレーション署名証明書を盗むことで、広範囲かつ長期的なアクセスが可能になることを知っています。以下のグループは特に攻撃者にとって魅力的です。

リスク評価

Golden SAML攻撃は、SSO とフェデレーション認証を支えるまさにその信頼モデルを悪用するため、高い影響を及ぼす脅威です。発生可能性、想定される被害、技術的な複雑さ、そして既存のセキュリティギャップを理解することで、組織はリスクへの露出度を評価し、防御策を構築できます。

Golden SAML攻撃を防ぐ方法

Golden SAML攻撃を防ぐには、署名鍵を保護し、特権アクセスを厳格化し、攻撃者が ID 基盤を悪用できる可能性を減らすことが重要です。

• 署名証明書と秘密鍵を定期的にローテーションする： トークン署名証明書および関連する秘密鍵を頻繁にローテーションするように計画してください。こうすることで、盗まれた認証情報が攻撃者にとってすぐに無用になります。
• AD FS のプライベートキーを安全に保管する： トークン署名証明書とプライベートキーを、強力なアクセス制御と暗号化が施された場所に保管してください。これにより、攻撃者がシステムに部分的にアクセスできたとしても、それらをコピーされるのを防げます。
• 鍵保護にはハードウェア セキュリティ モジュール（HSM）を使用する： 簽名キーを HSM 内に配置し、安全なハードウェアの外に一切出さないようにします。これにより、攻撃者が証明書をエクスポートしたり悪用したりするのが難しくなります。
• AD FS の管理アクセスを制限する： AD FS を管理できる対象を絞り、最小権限の原則を徹底し、すべての管理アクションを監視することで、証明書の窃取機会を減らします。
• ID プロバイダーに対して厳格なパッチ適用とハードニングを行う： AD FS やその他のフェデレーション サーバーを常に完全にパッチ適用した状態に保ち、不要なサービスは削除してください。組織は、管理者レベルへの権限昇格を可能にし得る脆弱性を塞ぐために、ハードニングのベストプラクティスも実装する必要があります。
• どこでも MFA を有効化する： ID システムの管理者を含む、すべての特権アカウントおよびユーザー アカウントに対して MFA を有効化してください。MFA はそれ自体では Golden SAML 攻撃を防げませんが、少なくとも初期侵害や横方向の移動を大幅に難しくします。

推奨するセキュリティツール

次のセキュリティツールは、署名証明書の窃取やトークンの偽造を試みる行為を検出して阻止するのに役立ちます：

• エンドポイント検知と応答（EDR）： EDR ツールは、サーバーとワークステーションをリアルタイムで監視し、資格情報のダンプを試みる行為、AD FS の改ざん、または秘密鍵の持ち出しといった疑わしい挙動を検知します。EDR からの迅速な対応により、攻撃者がアイデンティティ基盤に到達する前に攻撃を止められます。
• Privileged access management (PAM)： PAM ソリューションは、管理者アカウントを厳密に制御・監視し、just-in-time アクセスを強制するとともに、特権セッションを記録します。これにより、攻撃者がトークン署名証明書を抽出するために必要な資格情報を盗む機会を制限できます。
• セキュリティ情報・イベント管理（SIEM）： SIEM プラットフォームは、アイデンティティプロバイダー、クラウドサービス、エンドポイントからのログを集約し、相関付けます。異常な認証パターン、証明書のエクスポート、想定外の管理者アクティビティをフラグ付けすることで、Golden SAML 攻撃の前に行われる横方向の移動（lateral movement）や特権昇格（privilege escalation）を明らかにできます。

Netwrix ができること

Netwrix は、継続的な監査、Privileged Access Management、証明書とキーのセキュリティ、異常検知を組み合わせることで、Golden SAML およびその他のアイデンティティ（Identity）ベースの脅威を防止、検知、対応するための包括的な防御を提供します：

Netwrix Privilege Secure

Privilege Secure は、just-in-time アクセス、セッション監視、そして安全な認証情報ボールト（secure credential vaults）を使うことで、常時の特権を削減するのに役立ちます。攻撃者が持続的な管理者の認証情報やアクセスを保持できない場合、署名用証明書を盗むことははるかに難しくなります。

Netwrix Identity Manager（SaaS ベースの IGA）

アイデンティティのライフサイクル（入社者、異動者、退職者）を自動化し、特権権限が見直されることを義務付け、最小権限と職務分離を徹底することで Identity Manager 誰も必要以上のアクセス権を持たないようにするのに役立ちます。高リスクのロールや権限の不整合を検出し、攻撃者に足がかりを与えかねない過剰な権限を持つアカウント、または使用されていないアカウントを見つけることができます。

Netwrix Auditor

Auditor は、Active Directory（AD FS 関連の設定を含む）の変更、グループメンバーシップの変更、特権アカウントの変更、およびログオンのパターンに関する可視性を提供します。適切な監査が行われていれば、異常または未承認の変更（例：証明書のエクスポート、変更された特権）をより早く検出できます。

Netwrix Identity Threat Detection and Response (ITDR)

Netwrix ITDR は、Golden SAML のようなアイデンティティベースの攻撃がエスカレートする前に検出して阻止するのに役立ちます。リアルタイムの脅威検出に、プロアクティブなリスク低減と自動化されたレスポンスを組み合わせることで、ITDR はセキュリティチームが Active Directory と Entra ID にまたがって、異常な認証挙動、特権の不正使用、トークンの悪用を迅速に特定できるようにします。

継続的な監視と行動分析により、ITDR は不審な活動を早期に検出し、攻撃者の移動を制限するための自動化された封じ込めアクションを実行します。Privileged Access Management および Directory Management のセキュリティ制御と連携することで、トークンの偽造攻撃の可能性を低減しつつ、攻撃者の滞在時間と全体的な影響を最小限に抑えます。

検知、軽減、対応の戦略

Golden SAML 攻撃は見つけにくいものです。組織は、注意深い監視、厳格な証明書管理、そして迅速な対応計画を組み合わせることで、それらを検知し、封じ込め、予防する必要があります。

検知

Golden SAML 攻撃は、偽造された SAML トークンがまったく正当なものに見えるため、捕捉（検知）するのが難しいです。 ただし、連携（federation）サーバーと関連ログを注意深く監視すれば、異常なアクティビティを見つけるのに役立ちます。

連携（federation）およびクラウド認証ログを監視する

ユーザーが AD FS 経由でクラウド アプリにサインインすると、通常は次の 2 つが発生します:

• AD FS は、そのユーザーに対して SAML トークンを発行したことを示すログ エントリを記録します。
• クラウド アプリは、そのトークンを使って行われたユーザーの成功したサインインをログに記録します。

クラウド サービスに記録されたログインに対応する AD FS 認証イベントが見当たらない場合、または 2 つのログを結び付けるはずの Correlation ID がトークンに含まれていない場合は、そのトークンが AD FS から発行されたものではないことを示唆します。この不一致は、SAML トークンを偽造（Golden SAML 攻撃のようなケース）してクラウド アプリにアクセスした人物がいる可能性がある、危険信号となり得ます。

証明書と信頼の変更を追跡する

AD FS で詳細な監査を有効にし、証明書のエクスポート試行や、フェデレーションの信頼設定への不正な変更を監視してください。以下の Windows および AD FS のイベント ID は、Golden SAML の試行を示唆する可能性のある怪しい証明書アクティビティを見つけるのに役立ちます。

• イベント ID 70（AD FS サーバー）：AD FS のトークン署名またはトークン復号用証明書がエクスポートまたはバックアップされたときに記録されます。予期しないエクスポートは、誰かが秘密鍵を盗もうとしていることを意味する場合があります。
• イベント ID 1007（AD FS サーバー）：署名証明書の追加または削除、信頼関係の変更など、AD FS の構成に対する変更を示します。不正な変更によりトークンの偽造が可能になる場合があります。
• イベント ID 4662（ドメイン コントローラー）： 特定の権限でディレクトリ オブジェクトにアクセスされたときに生成されます。AD FS サービス アカウントまたは証明書ストアを参照している場合、秘密鍵を読み取ったりコピーしたりしようとする試みを示している可能性があります。
• イベント ID 18（AD FS サーバー）： AD FS の実行ファイル以外の任意のプロセスから、WID データベースへの名前付きパイプ接続が発生した場合にトリガーされます。これを検出するには、Sysmon を適切にインストールし、設定しておく必要があります。

異常なトークン発行と管理者のアクティビティを検出する

トークン発行の時刻、IP アドレス、地理的位置を通常のユーザーの行動と関連付けて、異常を示します。さらに、予期しない権限昇格、異常なサービスプリンシパルの使用、AD FS サーバーへの不審なログイン、または AD FS サービス アカウントからの不審なログインといった疑わしい管理者アクションも監視してください。

基盤レベルのシステム異常に注意する

AD FS データベースへの想定外の named-pipe アクセス（Sysmon イベント ID 18）や、その他の不審なシステム活動を調査してください。

named pipe は、Windows がプロセス同士の通信に用いる特殊な通信チャネルです。通常の状態では、AD FS とその関連サービスのみが、これらのパイプを通じて AD FS データベースへアクセスするはずです。Sysmon イベント ID 18 は、プロセスが named pipe に接続したときに記録されます。想定外のプロセスが AD FS データベースのパイプにアクセスしているのを確認した場合、攻撃者がそこに保存されているトークン署名キーを読み取ろう、またはコピーしようとしている可能性があります。

即時対応

Golden SAML の侵害が疑われる場合は、攻撃者のアクセスを遮断し、新しい署名資格情報を確保したうえで、徹底的に調査するために迅速に行動してください。

封じ込めと調査

• 影響を受けた AD FS または identity-provider サーバーを直ちに隔離し、これ以上の改ざんを防いでください。
• メモリのキャプチャ、現在のネットワーク接続、実行中のプロセスなどの揮発性の証拠を保存してください。
• 署名証明書または秘密鍵にどのようにアクセスされたのかを把握し、横方向への移動（lateral movement）があったかどうかを特定するために、詳細なフォレンジック分析を開始してください。

トークン署名証明書を置き換えます

• 侵害された証明書を直ちに無効化してください。攻撃者がトークンを発行（mint）する能力を断つための唯一の方法です。
• 新しい署名証明書を再発行し、すべての依拠当事者（Microsoft 365、AWS、Salesforce などのクラウドサービスを含む）が新しい証明書のみを信頼するように再設定してください。
• 稼働中のすべての SAML セッションを監査し、不審なトークンは取り消すか無効化してください。
• すべてのフェデレーションの信頼関係とキーをローテーションしてください。
• 侵害されたサービスアカウントの認証情報を無効化するか、ローテーションしてください。

連絡して復旧する

• 影響を受けたクラウド/サービス プロバイダーに通知し、進行中の偽造セッションを取り消す、または無効化するために協力を依頼してください。
• 社内の関係者、法務/コンプライアンス チーム、および（必要に応じて）規制当局に連絡してください。
• インシデント対応チームに警告し、封じ込め手順を開始してください。
• 封じ込め後は、徹底的な根本原因分析を実施し、インシデント対応計画を更新してください。

長期的な緩和

Golden SAML 攻撃の可能性を減らし、全体的なアイデンティティのセキュリティを強化するには、攻撃者の機会を制限し、可視性を高める戦略を採用してください。

• 最小権限のアクセスを徹底し、安全な鍵の保管や定期的なパッチ適用などを含めて AD FS/IdP サーバーを強化してください。
• 不審な認証アクティビティに対して、強化されたリアルタイム監視とアラートを実装してください。
• AD FS、証明書サービス、Sysmon 全体で包括的かつ高い詳細度の監査を有効化し、ログを SIEM に転送してください。
• SIEM で AD FS とクラウドプロバイダーの認証ログを相関付け、定期的に脅威ハンティング（Threat-hunting）演習を実施してください。
• トークン署名証明書を定期的にローテーションし、すべての依拠当事者を更新してください。

Golden SAML 攻撃を防ぐ方法 のセクションにあるガイダンスは、有効な長期的な緩和策として役立ちます。

業界別の影響

Golden SAML 攻撃は、フェデレーション ID とシングルサインオンに依存するあらゆる分野を標的にできますが、影響（結果）は業界によって異なります。データ漏えい、規制違反、そして各業界特有のリスクに結び付いた財務的損失などが含まれる可能性があります。

攻撃の進化と今後のトレンド

より多くの組織がハイブリッドおよびマルチクラウド構成へ移行するにつれ、攻撃者は AD FS のようなフェデレーション（連携）インフラをますます標的にするようになっています。彼らは手口を洗練させ、新たな標的を探しているため、組織が Golden SAML 攻撃がどのように進化しているのかを理解することが不可欠です。

主要な統計情報とインフォグラフィック

このセクションでは、Golden SAML の脅威の規模と影響を把握できる重要な数値とビジュアルを紹介します。

1. 世界経済フォーラム（World Economic Forum）の Global Cybersecurity Outlook 2023 report によると、サイバーセキュリティの専門家の 93% 以上、ビジネスリーダーの 86% が「今後2年のうちに、広範かつ壊滅的なサイバー事象が起こる可能性が高い」と考えています。
2. SolarWinds と米国政府の報告によれば、最大 18,000 件の SolarWinds 顧客が侵害された Orion アップデートをダウンロードし、潜在的にそれらがさらされる可能性がありました（完全なレポート こちら を参照）。複数の権威ある分析およびアドバイザリでは、Golden SAML が SolarWinds 攻撃で脅威アクターが使用した、注目すべき侵害後の手法の 1 つであるとされています。

年別の Golden SAML 攻撃インシデントを示す棒グラフ

Golden SAML の手法は、CyberArk によって 2017 年に初めて報告されました。SolarWinds のインシデントは、この手法が実環境で使用されたと知られる最初のケースを示しています。

最も頻繁に標的とされた業界を示す円グラフ

まとめ

Golden SAML 攻撃は、現代の企業セキュリティにおける重大な脆弱性を明らかにします。つまり、デジタル ID を守るために用意されたまさにその仕組みが、間違った手に渡れば強力な武器になり得るということです。

組織がクラウド サービスやリモート アクセスに対して連合認証（federated authentication）をますます依存するようになっている今、アイデンティティ基盤を確実に保護することが不可欠です。組織は、堅牢な証明書管理、SAML トークンの継続的な監視、AD FS またはその他のアイデンティティ プロバイダーのセキュリティ強化といった、高度な防御策を実装する必要があります。

「アイデンティティが新しい境界（perimeter）になる」時代において、連合システムを守ることは、私たちのデジタル生態系全体を守ることです。