Active Directory は、強力なアクセスガバナンスに不可欠なアカウント管理、認証、認可のサービスを提供します。したがって、適切な Active Directory の監査は、サイバーセキュリティと、強力なアクセス管理を求める規制の遵守の両方にとって不可欠です。
たとえば insider threat を迅速に検知するには、新しいアカウントやセキュリティ グループの作成、既存のユーザーやグループの変更が行われていないかを、常に監視する必要があります。これらの変更によって、アカウント所有者やアカウントを侵害している攻撃者が悪用できる不当なアクセス権が付与される可能性があるためです。さらに、ログオン試行やディレクトリの変更などのユーザー活動を注意深く見守り、非アクティブなユーザーおよびコンピューター アカウントのようなセキュリティ上のギャップも特定する必要があります。
ただし、Active Directory は既定であらゆるセキュリティ イベントを監査しません。重要なイベントの監査を明示的に有効化して、Security イベント ログに記録され、監査レポートやアラートに含められるようにする必要があります。
本記事では、Netwrix Audit Policy Best Practicesを参考にして、Active Directory 環境で監査を設定するための推奨事項を紹介します。
厳選された関連コンテンツ
AD 監査の始め方
Active Directory（AD）監査とは、AD のオブジェクトと Group Policy に関するデータを収集し、分析するプロセスです。組織は AD 監査を行うことで、セキュリティを前もって強化し、脅威を迅速に検知して対応し、IT 運用を円滑に維持します。
Audit Policy の使用
どのシステム イベントとユーザー アクティビティを追跡するかを指定するには、Audit Policyの Active Directory Group Policyの設定を使用します。監査したいイベントの種類を指定し、それぞれに対する設定を選択します。たとえば、ユーザー アカウントが無効化された場合、または不正なパスワードが入力された場合に、すべてのイベントを記録できます。
他のGroup Policy settingと同様に、監査はGroup Policy Management Editor (GPME) ツールを使って、Group Policy Management コンソール (GPMC) で設定します。なお、ドメインに参加したデバイスの監査設定は、デフォルトで比較的低いレベルに設定されているため、必要に応じて見直して詳細化する必要があります。ドメイン コントローラー（DC）では監査がより堅牢なことが多いですが、それでも必要なレベルに達していない可能性があります。
Active Directory を監査するには、basic (local) security audit policy の設定、またはadvanced security audit policy の設定を使用できます。これにより、よりきめ細かな粒度が可能になります。Microsoft は、両方を使用すると“監査レポートで予期しない結果になる” につながる可能性があるため、両方の使用は推奨していません。多くの場合、詳細な監査（advanced auditing）を有効にすると、その後に詳細な監査を無効にしたとしても、基本監査（basic auditing）は無視されます。現在、監査を実行していない場合は、Advanced auditing の使用が推奨されます。
- 基本ポリシーは、次の場所に移動して設定できます：Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Audit Policy。
- 高度なポリシー設定は、コンピューターの構成 の下にあります> Policies > Windows Settings > Advanced Audit Policy Configuration > Audit Policies.
監査ポリシーのスコープ
監査ポリシーは、ドメイン全体と個々の組織単位（OU）の両方に対して定義できます。なお、OU レベルで構成された設定は、ドメイン レベルの設定よりも優先され、競合がある場合はそれを上書きします。最終的に適用されるポリシーは、auditpol コマンドライン ユーティリティで確認できます。
セキュリティ ログの設定
さらに、イベント ログのポリシー設定を使用して、セキュリティ ログの最大サイズやその他のプロパティも指定する必要があります。GPME で設定を変更するには、コンピューターの構成 > Policies > Windows Settings > Security Settings > イベント ログに移動し、ポリシー名をダブルクリックします。Microsoft によると、最新の OS バージョンで推奨される最大ログ サイズは 4Gb で、すべてのログの推奨される最大総サイズは 16Gb です。ログはイベント ビューアー（Event Viewer）で確認できます。
追跡すべき AD セキュリティ ログ イベント
効果的な監査の鍵は、どのイベントをログに記録するかを把握することです。イベントを多すぎるほど追跡すると、ログがノイズだらけになって分析しにくくなり、さらにすぐに上書きされてしまいます。しかし、重要なイベントを追跡できない場合は、悪意のある活動を検知したり、セキュリティ インシデントを調査したりすることができません。ここでは、適切なバランスを取るために追跡を推奨するイベントを紹介します。
アカウント ログオン イベントを監査する
ドメインへのログインに対する不正な試行を検出するには、成功・失敗の両方のログオン イベントを監査する必要があります。アカウント ログオン イベントを監査するでは、NTLM や Kerberos の認証などの認証イベントを追跡できます。これは ログオン イベントを監査するとは混同しないでください。後者は、以下で説明するように、コンピューターにログオンまたはログオフしようとするすべてのユーザーの試行に対する監査を定義します。
以下は、高度なアカウント ログオン イベントを監査する ポリシーの推奨設定です。
- 資格情報の検証を監査: 失敗
- Kerberos 認証サービスを監査: 成功、失敗
- Kerberos サービス チケットの操作を監査: 失敗
- その他のアカウントのログオン イベントを監査: 成功、失敗
ログオフ イベントは、特定の DC に実際にログインしている場合を除き、ドメイン コントローラーでは追跡されない点に注意してください。
ログオン イベントの監査
このポリシーでは、ドメイン アカウントまたはローカル アカウントのいずれであっても、ローカル コンピューターへのログオン／ログオフに関する、すべての成功および失敗の試行を記録できます。この情報は、侵入者の検出やインシデント後のフォレンジックに役立ちます。Microsoft では、記録できる さまざまなイベント ID について説明が提供されています。
最低限推奨される詳細設定は次のとおりです:
- アカウント ロックアウトの監査：成功、失敗
- グループメンバーシップの監査：成功
- ログオフの監査：成功、失敗
- ログオンの監査：成功、失敗
- 特権ログオンの監査：成功、失敗
アカウント管理
ユーザーアカウントに対するすべての変更を注意深く監視することで、業務の中断やシステムの利用不可につながるリスクを最小限に抑えることができます。
少なくとも、基本の Audit account Management ポリシーを「Success」に設定することを推奨します。高度な監査ポリシーを使用している場合は、次の設定を使用してください。
- Audit Application Group Management: Success, Failure
- Audit Computer Account Management: Success
- Audit Distribution Group Management: Success
- Audit Other Account Management Events: Success
- セキュリティ グループ管理の監査: 成功
- ユーザー アカウント管理の監査: 成功、失敗
厳選した関連コンテンツ
ディレクトリ サービスへのアクセス
OU など、独自のシステム アクセス制御リストを持つ AD オブジェクトに誰かがアクセスしたときに、そのタイミングを確認する必要がある場合にのみ、この項目を監視してください。その場合、次の設定を構成することを推奨します:
- ディレクトリ サービス アクセスの監査: 成功、失敗
- ディレクトリ サービスの変更の監査: 成功、失敗
オブジェクト アクセス
この監査は、誰かが特権を使ってファイル サーバー上のファイルにアクセス、コピー、配布、変更、または削除を行ったタイミングを確認する必要がある場合にのみ有効にしてください。この設定を有効にすると大量のセキュリティ ログ エントリが生成されるため、収集したデータを特定の用途に利用する場合に限って使用してください。推奨する詳細設定は次のとおりです:
- 詳細なファイル共有の監査: 失敗
- ファイル共有の監査: 成功、失敗
- その他のオブジェクト アクセス イベントの監査: 成功、失敗
- リムーバブル ストレージの監査: 成功、失敗
ポリシーの変更
グループ ポリシー オブジェクト（Group Policy object, GPO）を不適切に変更すると、セキュリティ インシデントやデータ プライバシーに関する義務違反につながる可能性があります。リスクを減らすために、次の高度な設定を構成してください：
- 監査ポリシーの変更: 成功、失敗
- 認証ポリシーの変更を監査: 成功、失敗
- MPSSVC ルール レベル ポリシーの変更を監査: 成功、失敗
- その他のポリシー変更イベントを監査: 失敗
特権の使用
ユーザー権限が使用される各インスタンスを追跡したい場合にのみ、この設定を有効にしてください。このポリシーを有効にすると、セキュリティログに大量のエントリが生成される可能性があります。そのため、そのデータを特定の用途に使う場合に限って有効化してください。このポリシーを有効にするには、次の設定を行います。
- 機密性の高い特権の使用を監査: 成功、失敗
プロセスの追跡（場合によっては詳細な追跡とも呼ばれます）
この設定は高度な監査ポリシーでのみ利用可能で、プロセスの作成、プロセスの終了、ハンドルの重複、間接オブジェクトへのアクセスなど、プロセス関連の監査イベントに焦点を当てています。インシデントの調査に役立つ場合がありますが、セキュリティログに大量のエントリが生成される可能性があるため、データを特定の用途で使用する場合にのみ有効にしてください。推奨される設定は次のとおりです。
- PNP アクティビティを監査: 成功
- プロセス作成の監査: 成功
システム
コンピューターの起動、シャットダウン、または再起動を試みるすべての試行、および悪意のあるソフトウェアがコンピューター上の設定を変更しようとするなど、プロセスやプログラムが権限を持たない処理を実行しようとするすべての試行を記録することが賢明です。推奨される詳細設定は次のとおりです:
- セキュリティ状態の変更の監査: 成功、失敗
- その他のシステム イベントの監査: 成功、失敗
- システム整合性の監査：成功、失敗
- セキュリティシステム拡張の監査：成功
厳選した関連コンテンツ
AD 監査のベストプラクティスフォーム上部
Active Directory を監査することで、深くネストされたグループや、攻撃者が悪用してネットワーク リソースへのアクセスを得ることができるような、直接割り当てられた権限といった「有害な」状態を特定して是正することで、セキュリティ リスクを低減できます。次のベストプラクティスは、AD 監査をより効果的にするのに役立ちます：
AD 環境を徹底的に理解しましょう。
まず、次の質問に答えることから始めましょう：
- アカウントやグループは全部で何個ありますか？
- どのような GPOS や、その他の重要な Active Directory オブジェクトをお持ちですか？
- DC と OU へのアクセス権限を持っているのは誰ですか？
取り組みの優先順位を決めましょう。
組織がよく最初に着手するのは、次の3つです：
- 特権のある AD アクセス — GPO のような重要なオブジェクトを確認します。
- 大規模グループ — Domain Users や Everyone のような大規模グループへのアクセスを評価します。
- 特権ユーザーのアクセス — Domain Admins のような強力なグループへのメンバーシップによる場合、または入れ子のグループ メンバーシップのような、より間接的な方法による場合のいずれでも、権限が昇格しているユーザーを特定します。
適切なステークホルダーを巻き込みましょう。
どのビジネスユーザーが「誰に何のアクセス権が必要か」を理解しているかを特定します。たとえば、特定部門のマネージャーは、チームメンバーが業務を行うためにどの IT リソースへのアクセスが必要か、また権限がなぜそのように設定されているのかを把握している可能性が高いでしょう。
グループのメンバー構成を定期的に見直してください。
まず、Domain Admins と Enterprise Admins のメンバーが、適切なユーザーだけで構成されていることを確認します。これらのグループへのメンバー追加を厳格に制限することで、不正な管理者が特権アクセスを悪用するリスクを下げられます。さらに重要なのは、攻撃者が侵害して即座にドメインを掌握するために悪用できるアカウント数を最小化できることです。
次に、ビジネスオーナーに、各グループに適切なメンバーが含まれていること、そしてそのグループが必要なリソースにのみアクセスできることを確認してもらいます。
これらのレビューを定期的に繰り返してください。
AD監査プロセスを継続的に改善する
AD監査における最優先事項を実装したら、次の領域に進みましょう。たとえば、グループメンバーシップの定期的なレビューを確立したら、ADパスワードの変更の監査を開始します。
次のステップ
正しい監査ポリシーを設定することは大きな第一歩です。ただし、それは戦いの半分にすぎません。収集したデータを分析できる必要もあります。残念ながら、現代の IT 環境は複雑で忙しすぎるため、ログが大きすぎて効果的にふるい分けられないことがよくあります。また、監査ログが自分自身で上書きされてしまうことさえあります。単一目的のソフトウェア ツールは特定の作業には役立ちますが、寄せ集めのソリューションでは データセキュリティに必要な包括的な可視性は提供できません。
Netwrix Active Directory Security Solution を使って、Active Directory を最初から最後まで確実に保護できます。次のことが可能になります:
- Active Directory に潜むセキュリティリスクを特定し、対策（緩和）の優先順位を明確にできます。
- IT インフラ全体にわたってセキュリティ設定を強化します。
- DCSync のような高度な脅威であっても、いち早く検知して封じ込めます。たとえば DCSync 、 NTDS.dit extraction および Golden Ticket attacks です。
- 自動化されたアラートのオプションにより、既知の脅威に即座に対応します。
- 迅速な Active Directory の復旧で、ビジネスの中断を最小限に抑えます。
よくある質問
AD オブジェクトの監査を有効にするにはどうすればよいですか？
Active Directory オブジェクトの監査を有効にするには、次のいずれかを行います。
- ドメイン コントローラーで監査ポリシーを構成し、すべてのユーザーの指定したイベントをログに記録します。
- 特定のオブジェクトに対して監査 ACL（SACL）を設定し、それらに加えられる特定の変更を監視します。
どのように ドメイン コントローラーの監査ポリシー設定を構成しますか？
- グループ ポリシー管理コンソールを開きます。
- 「Default Domain Controllers Policy」を右クリックして、「Edit」を選択します。
- コンピューターの構成 > ポリシー > Windows の設定 > セキュリティの設定 > 高度な監査ポリシーの構成 > 監査ポリシー に移動します。
- 監視したい各イベント カテゴリの監査設定を指定し、変更を保存します。
- ポリシーが自動的に更新されるのを待つか、DC で gpupdate を手動で実行して、ポリシーをすぐに更新します。
Windows イベント ビューアー（Windows Event Viewer）を使用して、キャプチャされたイベントを表示します。
特定の AD オブジェクトに対して監査を設定するにはどうすればよいですか？
- 「Active Directory Users and Computers」を開きます。
- モニターしたいオブジェクトに移動し、それを開きます。
- 「セキュリティ(Security)」タブに移動します。
- 詳細(Advanced) ボタンをクリックします。
- 「監査(Auditing)」タブに移動します。
- 追加(Add)。
- 監視したいプロパティを選択します。
- それぞれのウィンドウを閉じるには OK をクリックし、メインの ADUC 画面に戻るまで繰り返してください。
共有する
もっと詳しく
著者について
Jeff Melnick
システムエンジニアリング ディレクター
Jeff は Netwrix における Global Solutions Engineering の元ディレクターです。彼は長年にわたり Netwrix のブログ執筆者であり、講演者、プレゼンターとしても活躍しています。Netwrix のブログでは、Jeff がシステム管理の体験を大きく改善できるライフハックや、役立つヒント、ちょっとしたコツを共有しています。