Kerberoasting 攻撃—仕組みと防御戦略

Kerberoasting とは？

Kerberoasting は、攻撃者が有効なドメイン認証情報を利用して、Active Directory から Service Principal Names（SPNs）に関連付けられた Kerberos サービスチケットを要求する、認証情報ベースの攻撃です。攻撃者はその後、これらのチケットから暗号化されたパスワードハッシュを抽出し、通常は弱い、または推測しやすいパスワードを対象としてオフラインで解読します。この攻撃の主な目的は、AD 内で権限を昇格させ、横方向への移動、持続化、またはデータ窃取を容易にすることです。

Kerberoasting はどのように機能しますか？

Kerberoasting は、Active Directory の Kerberos 認証プロセスに内在する弱点を悪用します。以下は、Kerberoasting 攻撃を実行する際に関わる各ステップを詳細に説明したものです。

1. 標準のドメイン ユーザー アカウントを侵害する

攻撃者はまず、有効なドメイン ユーザーの認証情報にアクセスする必要があります。これは通常、フィッシング、クレデンシャル スタッフィング、脆弱性の悪用、または侵害されたエンドポイント上での初期足掛かりの確保などによって入手されます。権限が低いユーザー アカウントであっても、この攻撃を開始するのに十分です。

2. SPN を使ってサービス アカウントを列挙する

攻撃者がドメイン内に侵入すると、サービス アカウントに登録されている Service Principal Names（SPNs）を列挙します。列挙は、PowerShell スクリプト、LDAP クエリ、または BloodHound のような特殊な列挙ツールを使って実行できます。SPN を持つサービス アカウントは多くの場合、より高い権限を持つため、格好の標的となります。

3. Kerberos TGS チケットを要求する

特定した SPN をもとに、攻撃者は有効なドメイン認証情報を使用して、まず Key Distribution Center（KDC）から Ticket Granting Ticket（TGT）を取得します。その後、この TGT を使って、対象のサービス アカウント向けに Kerberos Ticket Granting Service（TGS）チケットを正規の手順で要求します。これらの TGS チケットはサービス アカウントのパスワード ハッシュで暗号化されており、オフライン クラック用に抽出できます。Impacket の GetUserSPNs のようなツールや、PowerShell ベースのスクリプトがこの処理を自動化し、Kerberoasting 攻撃で一般的に使用されます。

4. チケットをエクスポートする

攻撃者は次に、侵害されたシステム上のメモリまたはストレージから、これらのサービスチケットをエクスポートまたは抽出します。Rubeus や Mimikatz のような一般的なハッキングツールにより、オフラインのクラックに適した形式でチケットを抽出してエクスポートする作業が簡単になります。

5. チケットをオフラインでクラック

エクスポートされた TGS チケットには、サービスアカウントのパスワードの暗号化されたハッシュが含まれます。攻撃者は、Hashcat や John the Ripper のようなパスワードクラックツール、または事前に生成されたレインボーテーブルを使って、これらのハッシュをオフラインでクラックしようとします。弱いパスワードはすぐに破られて、平文の認証情報が露出する可能性があります。

6. 回収した認証情報を使って権限を昇格

攻撃者がハッシュを正常にクラックして平文の認証情報を回収できると、その認証情報を使って権限の高いサービスアカウントとしてログインできます。これにより権限が引き上げられ、ネットワーク全体での横方向の移動、機密情報へのアクセス、そして AD 環境内での潜在的な長期的な持続が可能になります。

✱ バリアント：事前認証なしの Kerberoasting

事前認証が無効になっているユーザーアカウントは、有効な資格情報なしでも悪用できます

一部の Active Directory 構成では、ユーザーアカウントで事前認証が無効になっている場合があります。つまり、攻撃者は Kerberos チケットを要求するのに有効な資格情報を必要としません。これにより、攻撃者は既存のドメイン アカウントを最初に侵害することなく、暗号化されたハッシュを取得できるようになります。

Rubeus のようなツールは、特定の AD の誤設定により、この回避を可能にします

攻撃者は、この誤設定を悪用するために特別に設計された Rubeus などのツールを活用し、事前認証なしで TGS チケットを直接要求します。このバリアントでは、攻撃者がアクセスを得るためのハードルがさらに下がります。

攻撃フローダイアグラム

次の図は、Kerberoasting 攻撃の段階的な流れを示しています。攻撃者がドメインのユーザーアカウントを侵害するところから始まり、Active Directory 環境内で特権昇格に至るまでを説明します。

ここでは、組織の観点から Kerberoasting を解説します。

攻撃者はフィッシングによってドメインのユーザーを侵害し、XYZ Corp のネットワークへのアクセスを得ます。侵入後、SPN が設定されたサービス アカウントを列挙し、Kerberos TGS チケットを要求します。Rubeus などのツールを使ってチケットをエクスポートし、オフラインで弱いサービス アカウントのパスワードを解読します。解読した資格情報を使って権限を昇格し、機密データにアクセスし、さらに横方向に移動します。これは、AD 環境でパスワード衛生が不十分で、監視が不十分である場合のリスクを浮き彫りにします。

Kerberoasting の例

以下は、攻撃チェーンの一部として Kerberoasting を効果的に使用してきた高度な脅威グループの実例です。

Kerberoasting の影響

Kerberoast 攻撃は、組織に対して深刻かつ広範な結果をもたらす可能性があります。攻撃者がサービスアカウントの認証情報を入手して解読（クラック）できると、権限を昇格し、ネットワーク内で横方向に移動できます。これはデータ窃取やシステム障害を可能にするだけでなく、金銭的損失、評判の毀損、法的な制裁、規制当局による精査にも組織をさらします。

経済的な影響

成功した Kerberoasting 攻撃によって、攻撃者は特権アカウントへのアクセスを得られ、データ窃取、金融詐欺、またはランサムウェアの展開が可能になります。これは、攻撃者が業務上の重要データを盗み出す、あるいは暗号化する場合に特に、直接的な金銭的損失につながりやすくなります。組織は、アクセスを復旧するために数百万ドル規模の身代金要求に応じることを余儀なくされる場合があります。さらに、認証情報の窃取を伴う侵害では、特に金融や医療などの規制産業において、規制当局による制裁金が発生することがよくあります。

業務の中断

特権資格情報にアクセスできる脅威アクターは、重要なシステムを無効化し、社内サービスを妨害し、IT運用に干渉することができます。これにより、通信、データ処理、またはカスタマーサービスなどの業務機能が停止する広範なダウンタイムが発生する可能性があります。復旧作業は大規模かつ費用がかさむことが多く、手動リセット、侵害されたドメインの再構築、またはAD（Active Directory）の完全な是正対応が必要となる場合があり、生産性が大きく損なわれます。

風評被害

Kerberoasting と AD（Active Directory）侵害が関与することが広く報じられた侵害は、組織のアイデンティティ基盤が脆弱だったことを明確に示します。ニュース報道、規制当局による開示、または漏えいデータは、顧客の信頼の喪失につながり、投資家の信頼に影響を与え、パートナーやベンダーとの関係を損なう可能性があります。その信頼を取り戻すには、高額なPR対応、顧客への働きかけ、またはアイデンティティ保護サービスの提供が必要になる場合があります。

法的・規制上の影響

個人情報や機密情報の露出につながる Kerberoasting 攻撃は、組織を GDPR、HIPAA、SOX などのデータ保護規制違反に至らせる可能性があります。規制当局は多額の罰金を科すことができ、被害を受けた個人や団体は法的措置を取ることもあります。さらに、組織は調査や監査の対象となる可能性があります。規制のある分野では、繰り返しのインシデントがライセンスの取り消しや制裁につながることさえあります。

Kerberoasting の一般的な標的：誰が危険にさらされるのか？

SPNs を持つサービス アカウント

SPN により Kerberos はサービス インスタンスをログオン アカウントに関連付けることができ、これらのアカウントは TGS リクエストによって取得可能になります。手動で作成されたサービス アカウント、特にパスワードが弱い、またはローテーションされていないものは格好の標的です。攻撃者はこれらのアカウントに対して TGS チケットを要求し、オフラインでの解読（クラック）を試みることができます。

よくある例としては、SQL Server、IIS、SharePoint、Exchange、そしてバックアップ ソリューションに紐づくアカウントがあります。これらのアカウントはしばしば重要なサービスを実行しており、権限が昇格されている場合もあるため、特に価値が高くなります。

高い特権を持つアカウント

Domain Admins、Enterprise Admins、Schema Admins などの管理者ロールを持つアカウントは、主要な狙い目です。侵害されると、ドメイン全体で制限のないアクセスを提供します。これらのアカウントはレガシー サービスやスケジュールされたタスクと関連付けられている場合もあり、さらなる露出（攻撃されやすさ）につながります。

RC4 暗号化を使用するアカウント

RC4_HMAC_MD5 を使用するように設定されたアカウントは、Kerberoasting に対してはるかに脆弱です。この暗号化アルゴリズムは、AES ベースの代替手段と比べて解読（クラック）されやすく、より高速に突破されます。残念ながら、多くのレガシー システムは互換性のために、RC4 をデフォルトにしたり、RC4 を必須としたりしています。その結果、これらのアカウントはオフラインの総当たり攻撃や辞書攻撃に対して開かれた状態になります。

放置されたアカウントまたは監視されていないアカウント

もはやアクティブに使用されていない古いアカウント、または「password never expires」とフラグが立てられているアカウントは、継続的なリスクをもたらします。これらのアカウントは、特にアカウントのライフサイクル管理が不十分な大規模環境では見過ごされる可能性があります。攻撃者はオフライン環境で自分のペースで資格情報を解読（クラック）できるため、使われていないとしても、まだ有効なアカウントであれば、横方向への移動や特権昇格のための入口になり得ます。

リスク評価

Kerberoasting がもたらすリスクを理解することは、AD 環境全体のセキュリティ態勢を評価するうえで不可欠です。

Kerberoasting を防ぐ方法

Kerberoasting を防ぐには、強力なパスワードポリシー、セキュアなアカウント設定、および適切な暗号化設定を組み合わせる必要があります。さらに、事前に行う監視や自動化されたアカウント制御によって、この一般的な攻撃ベクトルに対する防御を一層強化できます。

パスワードとアカウントの衛生管理

Kerberoasting 攻撃はオフラインでのパスワード解読に依存しているため、パスワードの複雑性を高め、パスワードの有効期間を制限することは、攻撃者の成功率を直接下げます。

• 長くて複雑なパスワードを使用するサービスアカウント、特に SPN を持つアカウントは、大文字・小文字・数字・特殊文字を組み合わせた、少なくとも 25 文字以上のパスワードを使用してください。長さとランダム性があることで、総当たりによる解読の試行速度が大幅に低下します。
• 定期的にパスワードをローテーションするサービスアカウントのパスワードは少なくとも年 1 回はローテーションし、高リスク環境ではさらに頻繁に変更してください。これにより、攻撃者がパスワードをオフラインで解読するための機会期間を制限できます。
• 有効期限ポリシーを監査し、強制するすべてのサービスアカウントについて、定期的にパスワードの経過期間を監査してください。“password never expires” フラグが有効になっている設定は避けましょう。これはアカウントを継続的な標的にしてしまいます。グループポリシーまたは専用のアイデンティティツールを通じて、厳格な有効期限ポリシーを強制してください。
• gMSA または dMSA を使用する手動で管理しているサービス アカウントを、Group Managed Service Accounts (gMSAs) または Distributed Managed Service Accounts (dMSAs) に置き換えます。これらのアカウントはパスワードの変更を自動で管理し、複雑な認証情報をサポートし、人為的なミスも減らすため、Kerberoasting への露出を大幅に低減できます。

暗号化の構成

Kerberos 認証に対して強力な暗号化を設定することは、Kerberoasting のリスクを軽減するうえで非常に重要です。RC4 のような弱い暗号アルゴリズムは解読されやすいためです。

• AES 128/256 ビット暗号化を強制するKerberos チケットの暗号化には AES128_HMAC または AES256_HMAC を使用するように、AD とドメイン参加済みのシステムを構成します。これらのアルゴリズムは RC4 よりも総当たり攻撃に対して大幅に耐性が高く、最新の Windows 環境でもサポートされています。
• RC4 を手動で無効化するMicrosoft は RC4_HMAC_MD5 を非推奨にしていますが、互換性のために有効化されたままになっている可能性があります。特にレガシー環境ではその傾向があります。グループ ポリシーとアカウント単位の設定を確認し、可能な範囲で RC4 を明示的に無効化してください。これにより、攻撃者が弱い暗号で暗号化されたチケットを要求できないようにするのに役立ちます。
• ポリシー変更後にパスワードを更新するKerberos チケットに紐づく暗号化設定は、アカウントのパスワードが変更された後にのみ有効になります。そのため、新しい暗号化ポリシーを適用した後は、既存のサービス アカウントのパスワードをリセットすることが不可欠です。

アカウントのスコープ設定

サービス アカウントの露出範囲と権限を制限することは、Kerberoasting に利用可能な攻撃対象領域を減らすための先回りの対策です。

• ユーザー アカウントから SPN を削除する標準のユーザー アカウントに Service Principal Names（SPNs）を割り当てないでください。これらは Kerberoasting の対象になり得ます。その代わり、専用のサービス アカウントまたは Managed Service Accounts（gMSAs/dMSAs）を使用して、サービス機能をユーザーの身元情報から分離します。
• 非対話型ログオンに制限するグループ ポリシーまたは AD の設定を使用して、サービス アカウントが対話型ログオンを許可しないように構成します。これにより、攻撃者が侵害された資格情報を使って直接ログインすることを防ぎ、Kerberoasting が成功した後の横方向への移動（lateral movement）を制限できます。
• ホストおよびサービスごとにアクセス範囲を制限サービスアカウントの権限は、当該アカウントが対応する特定のホストおよびサービスにのみ限定してください。不要なドメイン全体の特権を付与しないことが重要です。最小権限の原則を適用することで、サービスアカウントが侵害された場合でも、影響を封じ込められます。

Privileged Access Management (PAM)

Privileged Access Management (PAM) の導入は、特権アカウントの使用・保管・監視方法を保護することで、Kerberoasting のリスクと影響を低減するための重要な対策です。

• 特権情報を保管し、ローテーションするPAM ソリューションを使用して、サービスアカウントおよび管理者の認証情報を金庫（Vault）に保管し、ハードコードされたパスワードや手作業による管理をなくします。これらのツールは、定義したスケジュールに従って、または使用のたびにパスワードを自動でローテーションできます。
• セッション記録と分析でアカウントの利用状況を監視PAM プラットフォームはセッションの監視と記録を提供し、セキュリティチームが特権活動をリアルタイムまたは事後に監査できるようにします。行動分析によって、不自然なアクセスパターン、横方向への移動（lateral movement）、就業時間外の利用などの異常を検知でき、Kerberoasting に関連する活動の兆候である可能性があります。

Netwrix サポート

Netwrix は、Active Directory と ID 保護ツールを通じて Kerberoasting 攻撃の防御を強力に支援します。ここでは、Kerberoasting の予防または検出に役立つトップ 2 の Netwrix 製品を紹介します。

Netwrix Access Analyzer

このツールは、Kerberoasting に対して脆弱なサービスアカウントを特定するために AD を積極的にスキャンします。特に、SPN を持ち、RC4 や DES のような弱い暗号化設定になっているアカウントに重点を置きます。専用の AD_KerberoastingRisk ジョブは、カスタマイズ可能な閾値（例：AES 128、期限切れのパスワード、または "password never expires" フラグ）に基づく明確なリスク ダッシュボードを作成し、対応が必要なアカウントを強調表示します。攻撃が起こる前に高リスクのアカウントを特定することで、セキュリティチームはアカウント設定を事前に強化し、パスワードを更新し、問題のある SPN を無効化できます。

今すぐ Netwrix Access Analyzer を 無料で 実行して、特権の露出状況をすぐに把握しましょう。

Netwrix Threat Prevention

Netwrix Threat Prevention は、Windows ログにだけ頼るのではなく、ソース元でリアルタイムの監視と施行（ブロック）を提供します。異常な TGS リクエストや特権アカウントへの SPN 割り当てなどの疑わしい Kerberos アクティビティを検出し、そのような操作を自動的にブロックするか、リアルタイムでアラートを発報できます。高リスクな変更を防ぐポリシーと、コンテキストに基づくアラート通知により、Kerberoasting の試みをその場で止め、さらなる調査のためにアラートをエスカレーションします。

今すぐ Netwrix Threat Prevention を使って、ビジネスに影響が出る前にリスクのあるアクティビティを即時アラートで把握しましょう。

検出、軽減、対応の戦略

Kerberoasting 攻撃は、重大な被害が出るまで見過ごされがちです。強固な防御には、有効な検出メカニズム、迅速な対応プロトコル、そして長期的な軽減（ミティゲーション）戦略が必要です。

検知

攻撃チェーンの早い段階で Kerberoasting を検知するための、役立つヒントをいくつか紹介します。

• TGS 要求についてイベント ID 4769 と 4770 を監視イベント ID 4769（TGS 要求）と 4770（TGS チケットの更新）は、Kerberos アクティビティの重要な指標です。特に単一ユーザーが複数の SPN を照会している場合に 4769 イベントが急増すると、Kerberoasting を示している可能性があります。
• RC4 暗号化の使用をフラグ付け（Type 0x17）RC4_HMAC_MD5（type 0x17）で暗号化された Kerberos チケットは、解読がはるかに容易です。この暗号化タイプを監視することで、高リスクなアカウントや、弱いチケット暗号化を悪用しようとする実行中の試みを特定できる可能性があります。
• 異常な TGS の量やパターンを検知不自然に大量の TGS 要求—特に短時間のうちに複数のサービス アカウントを狙っている場合—は、チケットの収集（ticket harvesting）を示している可能性があります。このような異常を監視することは、Kerberoasting の検知において重要です。
• Honeypots/Honeytokens を使用して攻撃者をおびき寄せるSPN を備えたデコイ用のサービスアカウントを展開し、アクセス試行を監視します。これらのアカウントとのいかなるやり取りも、悪意のある偵察または Kerberoasting を示す強力な兆候です。
• ベースライン分析のために UBA と SIEM を設定するUser Behavior Analytics (UBA) と SIEM プラットフォームを使用して、通常の Kerberos リクエスト動作を確立します。このベースラインからの逸脱（新規ユーザーが TGS チケットを要求すること、または勤務時間外のアクティビティなど）を検知してフラグを立てます。

対応

Kerberoasting を検出した場合に有効ないくつかの対応戦略は以下のとおりです。

• 影響を受けたアカウントを直ちに無効化してリセットするKerberoasting の対象となったアカウントが特定された場合は、そのアカウントを無効化し、パスワードのリセットを強制して、継続的な不正アクセスを防止します。
• AD ログを確認して水平移動（Lateral Movement）を把握するアカウントの不正使用、権限昇格、または機密性の高いシステムへのアクセスの兆候がないか、ログを調べます。ログイン イベント、グループ メンバーシップの変更、サービス アクセスのパターンに注目してください。
• 既存チケットを無効化し、強制的にログアウトするklist purge を使用して Kerberos チケットを無効化するか、サービスを再起動してすべてのユーザーに再認証を強制し、盗まれた認証情報がこれ以上アクセスを許可しないようにします。

緩和

以下の戦略は、Kerberoasting の緩和に役立ちます。

• ゼロトラストの原則を実装するどのアカウントやシステムも本質的に信頼されないゼロトラストモデルを採用します。最小権限、継続的な検証、アクセスのセグメンテーションを徹底し、資格情報（認証情報）に基づく攻撃による被害を封じ込めます。
• 欺骗技術（Decoy SPNs）を使用するスキャンや Kerberoasting の試行を検出するために、偽の SPN または誘導用のサービス アカウントを作成します。これらの欺骗用アセットはアクセスされるとアラートをトリガーし、悪意のある挙動を早期に把握できるようになります。

業界別の影響

Kerberoasting 攻撃の影響は、リスクのあるシステムやデータの性質によって、業界ごとに異なり得ます。医療、金融、小売などの分野では、侵害されたサービス アカウントにより、規制違反、金銭的損失、業務の混乱（運用停止）につながる可能性があります。

攻撃の進化と今後のトレンド

Kerberoasting は、より強力なツール、オートメーション、そして高度な戦術によって進化しています。Microsoft は Kerberos を強化しています（たとえば RC4 の非推奨化）。一方で攻撃者は、チケットを素早く解読（クラック）し、複雑で多段階の攻撃チェーンの中で活用する能力を高めています。こうしたトレンドを常に把握しておくことが、効果的な防御につながります。

Windows 11 24H2 および Server 2025 における RC4 の非推奨

Microsoft は、Windows 11 24H2 や Windows Server 2025 のような今後のリリースにおいて、Kerberos の RC4_HMAC_MD5 暗号化を公式に非推奨にします。この変更により、RC4 が AES ベースの暗号化よりもはるかにブルートフォース（総当たり）しやすいため、オフラインでの解読（クラック）にさらされる可能性が低減されます。これは大きなセキュリティ向上ですが、レガシー システムを使用している組織は、アップグレード後に暗号化ポリシーの更新やパスワードのローテーションを行わない場合、依然としてリスクにさらされる可能性があります。

GPU クラッキング ツールは現在、秒間で 1000 億（>100B）件以上のパスワードを推測可能です

最新の GPU ベースのクラッキング ツール（例：Hashcat、John the Ripper）は、現在 1 秒あたり 1000 億回（100 billion）を超える推測が可能になっており、弱いサービス アカウントのパスワードを解読するのに必要な時間を大幅に短縮します。辞書攻撃や事前計算済みのハッシュ テーブルと組み合わせることで、適度に複雑なパスワードであっても数分で破られる可能性があります。この傾向により、組織は特に SPN を持つアカウントに対して非常に長く複雑なパスワードを強制し、RC4 の使用を検出して制限することが不可欠になります。

クラッキング ツールにおける AI + 自動化の活用

攻撃者は、パスワードの解読（cracking）ワークフローに AI と自動化を取り入れ始めています。機械学習モデルは、パスワードのパターンを予測し、過去の成功に基づいて解読戦略を適応させ、さらに企業アカウント全体にわたる命名規則を特定することさえできます。自動化プラットフォームにより、チケット抽出、ハッシュ解析、資格情報のブルートフォースの手順が合理化され、攻撃はより高速かつより大規模に実行できるようになります。これにより、事前に用意されたツールを使うような、より高度でない攻撃者であっても脅威が増大します。

Kerberoasting が多段階の攻撃チェーンでますます使われるようになっています

Kerberoasting は現在、多段階の侵入の一部として頻繁に使用されています。サービスアカウントを解読した後、攻撃者は次のようにする可能性があります:

• 永続的なドメインアクセスのために Golden Tickets を作成します。
• パスワードを知らなくてもアカウントになりすますために Overpass-the-Hash を使用します。
• Pass-the-Ticket 攻撃を実行して、システム間で横方向に移動します。

こうした一連の攻撃は、標準的な検知手法を回避することが多く、認証イベント全体に対する高度な相関分析が必要です。

主要な統計データとインフォグラフィック

以下は、Kerberoasting と資格情報（credential）のセキュリティリスクに関する主要な統計を要約した棒グラフです。このグラフは、パスワードの衛生状態、アカウント管理の実践、そして解読技術の急速な進歩など、組織が最も脆弱になりやすい領域を示しています。

Kerberoasting 攻撃が前年比 100% 増加（IBM X-Force 2023）

IBM X-Force Threat Intelligence Report 2023 によると、Kerberoasting 攻撃は前年比で2倍に増加しており、前回の報告期間と比べて観測されたアクティビティが 100% 増加しています。この急激な増加は、Kerberoasting が持つ次の理由から、国家単位の脅威アクターとサイバー犯罪グループの両方で人気が高まっていることを示しています:

• 検知されにくい（ネイティブの Kerberos プロトコルを使用）。
• 特権の昇格は不要——認証済みのドメインユーザーであれば、誰でも攻撃を実行できます。
• 見返りが大きい——解読されたサービスアカウントの認証情報は、多くの場合ドメインレベルの侵害につながります。

この報告書では、この成長の背景には、複数の要因の組み合わせがあるとしています。たとえば、自動化された攻撃フレームワークの使用が増えていること、Rubeus のような公開されているツールや Impacket などで実行が容易であること、そして多くの環境で強力なパスワード強制が行われていないことが挙げられます。

侵害（ブリーチ）の81%は資格情報（credential）の誤用に関係しています

この統計は、Verizon の Data Breach Investigations Report (DBIR) などの業界レポートで広く引用されており、現代のサイバー攻撃において侵害された資格情報（compromised credentials）が果たす重要な役割を示しています。具体的には、データ侵害の 81% が、ユーザー名、パスワード、またはその他の形式の ID アクセスの誤用に関係しています。これは、盗まれたもの、フィッシングで入手されたもの、推測されたもの、または解読（クラック）されたもののいずれかです。なお：

• Kerberoasting は資格情報（credential）の誤用を直接的に支援します。
• 資格情報（credentials）が侵害されると、攻撃者は正規ユーザーに紛れ込めるため、検知が難しくなります。
• 誤用された資格情報（Misused credentials）は、ランサムウェア、データ外部流出（data exfiltration）、および持続的なアクセス（persistent access）の侵入口として機能することがよくあります。

53% の組織がサービス アカウントのパスワード ローテーションを 13 週間以上遅らせています

最近の業界調査では、53% の組織がサービス アカウントのパスワードをローテーションするまでに 13 週間（3 か月超）以上待っており、なかにはまったくローテーションしない組織もあることが分かりました。これらのアカウントは、多くの場合、重要なシステム（例：データベース、バックアップ、ERP）に対して特権レベルまたは継続的なアクセス権を持つため、Kerberoasting 攻撃の格好の標的になります。これは次の理由で重要です：

• 静的なパスワードは、攻撃者に Hashcat のようなツールを使ってサービス チケットのハッシュをオフラインで解読（クラック）するためのより多くの時間を与えます。
• パスワードのライフサイクルが長い場合、しばしば「パスワードが期限切れにならない」フラグと相関し、露出が増加します。
• Kerberos の暗号化方式は、アカウントのパスワード変更に連動します。定期的なローテーションがない場合、ポリシーを更新した後でも、RC4 のような弱いアルゴリズムが使われ続ける可能性があります。

運用上の課題：

• 組織は、ダウンタイムへの恐れ、オートメーションの不足、またはサービスアカウントの所有権が不明確であることを理由に、ローテーションを先延ばしにしがちです。
• 手動での追跡と更新はミスが起こりやすく、大規模な環境ではスケールさせるのが困難です。

サービスの可用性に影響を与えずにパスワードのローテーションを自動化するには、Group Managed Service Accounts (gMSAs) または Privileged Access Management (PAM) ソリューションの使用を推奨します。

61% は 8 文字未満のパスワードを使用しています

何年にもわたるセキュリティ意識向上キャンペーンにもかかわらず、企業環境におけるユーザーまたはサービスアカウントの 61% は、社内監査と業界調査の調査結果に基づき、8 文字未満のパスワードをいまだに使用しています。これは特に Kerberoasting の文脈において重大なリスクをもたらします。

• 短いパスワードは取り得る組み合わせが少ないため、特に RC4 で暗号化されている場合、総当たり攻撃や辞書攻撃に対して脆弱になります。
• 一般向けの GPU を使用する最新のパスワード解読ツールは、<8 文字のパスワードを数秒から数分で破ることができます。
• 多くの組織では、サービスアカウントに対する最小パスワード長や複雑性の強制ポリシーが欠けています。

一般向け GPU で 7 文字のパスワードを数分で解読

NVIDIA の RTX や AMD の Radeon シリーズのような最新のコンシューマー向け GPU により、オフラインでのパスワード解読（クラック）が非常に効率的かつ身近になりました。高性能な GPU なら、1 秒あたり数十億回のパスワード推測を試行できるため、特にパスワードに複雑さがない場合、数分で 7 文字のパスワードを総当たり（brute-force）で破ることが可能です。

Kerberoasting において、これが重要な理由：

• 攻撃者が Kerberoasting によってサービスチケットのハッシュを抽出すると、防御側に通知せずにオフラインでそれらを解読できます。
• 7 文字のパスワード、特に小文字の英字だけ、または一般的な単語だけで構成されているものは、Hashcat や John the Ripper のようなツールで簡単に破られてしまいます。
• その結果、弱いサービスアカウントのパスワードは攻撃者にとって価値の高い標的になり、しかも少ない労力で得られる“おいしい勝ち筋”になります。

まとめ

Kerberoasting は、Active Directory 環境を標的とする最も強力でステルス性の高い攻撃手法の 1 つであり続けています。重大な被害が出るまで検知されないことも少なくありません。効果的な防御には、強力な暗号化基準、堅牢な資格情報の衛生管理（credential hygiene）、そして先を見据えた監視を含む、包括的な（holistic）アプローチが必要です。identity protection に加えて、先進的な振る舞い分析、honeytokens や decoy SPNs のような欺 Deception 戦術を組み合わせることで、組織は Kerberoasting の試みを早期に検知できるだけでなく、被害が拡大する前にそれを阻止できます。この持続的な脅威に先んじるには、インテリジェンス主導の多層防御戦略が不可欠です。

よくある質問