AD 攻撃 - ローカル管理者のマッピング
攻撃者があなたの Active Directory（AD）ドメインで足場を固めると、ファイルサーバー上やデータベース内の機密データへのアクセス、ランサムウェアの拡散、あるいは IT インフラの停止といった形で、最終的な目的を達成する方法を探し始めます。そのためには、まず追加のアクセス権を獲得する必要があります——理想的には、Domain Admins のような強い特権を持つグループのメンバーになることです。
BloodHound Active Directory は、そのために必要な経路を見つけるのに役立ちます。この Web アプリケーションは、攻撃パス（攻撃者が権限を高めることを可能にする、戦略的な横方向への移動の連なり）を発見し、可視化します。ツールが提示する攻撃パスに沿って行動することで、攻撃者は多くの場合、通常のユーザーアカウントから Active Directory の支配へ素早く移行できます。
組織は、BloodHound を防御ツールとしても使用できます。これにより、IT 環境において重要なアカウントやコンピューターを侵害できる現実的な経路が存在しないことを確認できます。
厳選した関連コンテンツ：
BloodHound AD の仕組み
裏側では、BloodHound のセキュリティツールは PowerSploit と Invoke-UserHunter コマンドに依存して攻撃パスを構築します。まず、BloodHound は Active Directory のドメイン：
- まず、企業内で誰がどのコンピューターにアクセスできるかのような、関係性の情報マップを構築します。これはローカル管理者（Local Administrators）グループのメンバーシップに焦点を当てます（Local Admin mapping）。
- 次に、BloodHound は、ドメイン参加済みのコンピューター全体でアクティブなセッションとログオン中のユーザーを列挙します。こうして収集されたデータにより、誰がどのシステムにアクセスしているのか、そしてそれらのシステムにどのユーザー資格情報が保存されているのかが分かり、メモリから盗み出す準備が整います。
BloodHound の攻撃データを収集する
データ収集を行うには、攻撃者は次の PowerShell コマンドを実行できます。このコマンドは情報を収集し、CSV ファイルに書き込みます:
別の方法として、次の SharpHound コマンドを使用してデータを収集することもできます:
C:> SharpHound.exe
次の情報がドメイン コントローラーから収集されます。
- セキュリティ グループのメンバーシップ
- ドメインの信頼関係
- Active Directory オブジェクトに対する悪用可能な権限
- グループポリシー リンク
- OU ツリー構造
- コンピューター、グループ、ユーザーオブジェクトのいくつかのプロパティ
- SQL 管理者リンク
BloodHound データを可視化してクエリする
次に、Bloodhound のサイバーセキュリティツールがデータを分析し、ドメイン内の攻撃経路を可視化します。攻撃経路の例を以下に示します：
BloodHound AD でクエリを実行する
BloodHound は、Google マップを使ってロードトリップを計画するのと同じくらい簡単に、ドメインへの攻撃計画を立てられるようにします。下のリストにあるように、Domain Admins グループを侵害するための最短経路を見つけるクエリを含め、いくつかの事前に用意されたクエリが用意されています：
また、独自のソースとターゲットを指定することもできます。この場合、BloodHound は以下のように考えられる攻撃経路をすべてマッピングします：
図 1. ソースおよびターゲットとなるマシンの指定
図 2. BloodHound がマッピングした攻撃パスを表示する
BloodHound を使った攻撃への防御
BloodHound AD は、ドメイン内の脆弱性をマッピングするうえで非常に役立ちます。これらの脆弱性を減らす良い方法は、サーバーへの特権アクセスを厳格に制御することです。たとえば、Microsoft Windows は、特権アクセス戦略のベストプラクティスを提供しています Active Directory のセキュリティ について、エンタープライズ アクセス モデルと 迅速な近代化計画（RaMP） を使用します。
さらに、不審な認証やログインの活動を監視することで、攻撃パスを悪用しようとする試みを明らかにできます。
Netwrix が支援できること
ドメインを包括的に保護する方法をお探しなら、Netwrix Active Directory Security Solution をご覧ください。これにより、次のことができます：
- AD 環境におけるセキュリティ上のギャップを特定するために、定期的なリスク評価を実施します。
- 最も価値のあるデータやその他の IT リソースへのアクセスを特定し、制限します。
- Domain Admin のような特権グループのメンバーシップを厳格に固定します。
- 不審なアクティビティを早期に検知して、重大なセキュリティ侵害を防ぎます。
共有する
もっと詳しく
著者について
Jeff Warren
チーフ・プロダクト・オフィサー
Jeff Warren は Netwrix のプロダクトポートフォリオを統括しており、安全に重点を置いたプロダクトマネジメントおよび開発の分野で10年以上の経験を持ちます。Netwrix に入社する前、Jeff は Stealthbits Technologies にてプロダクト組織を率いていました。そこで彼はソフトウェアエンジニアとしての経験を活かし、革新的でエンタープライズ規模のセキュリティソリューションの開発に取り組みました。手を動かす実践的なアプローチと、難しいセキュリティ課題を解決するのが得意な点を強みに、Jeff は「実際に機能する」実用的なソリューションの構築に注力しています。彼はデラウェア大学（University of Delaware）で情報システム（Information Systems）の学士号を取得しています。