dMSAs は新しい AD 権限昇格の標的です — 知っておくべきこと

はじめに

Windows Server 2025 は、サービス認証をデバイスの識別情報に結び付けることでセキュリティを強化するために、委任された管理サービスアカウント（delegated managed service accounts、dMSAs）を導入しました。 しかし攻撃者は、この新機能を危険な 権限昇格 手法にねじ曲げる方法をすでに見つけています。

BadSuccessor attack により、攻撃者は従来のアラートを発火させることなく、あらゆるユーザーになりすますことができます——ドメイン管理者でさえも。仕組み、なぜこれほどステルス性が高いのか、そして対策として何をすべきかを解説します。

dMSA を理解し、Active Directory における役割

dMSA は gMSA とどう違うのか

• dMSA (delegated managed service account) はサービスアカウントのように機能しますが、単一のマシンのアイデンティティに紐づけられています。複数のサーバーにまたがって実行でき、中央で管理される gMSAs と異なり、dMSA は作成されたデバイスの権限を継承します。

このようにスコープをより厳密にすることで、理論上はセキュリティが向上します。しかし、dMSA をレガシー アカウントから移行する際には、新たなリスクも生じます。

dMSA への移行について知っておくべきこと

dMSA は単独のアカウントとして作成できます。あるいは、移行によって、既存の従来のユーザー ベースのサービス アカウント（マネージド サービス アカウントまたは gMSA ではない）を置き換える形で作成することもできます。これは通常、Start-ADServiceAccountMigration PowerShell cmdlet を使用して行い、このコマンドが MigrateADServiceAccount の LDAP RootDSE 操作をトリガーします。このプロセスの一環として、2 つの重要な属性が設定されます:

• msDS-ManagedAccountPrecededByLink — 元のユーザー アカウントを指します
• msDS-DelegatedMSAState — 移行の状態を示します（例：ready または completed）

移行プロセスの終了時に、レガシーのサービス アカウントは無効化しますが、Active Directory に残しておく必要があります。削除すると、多くのサービスや設定が引き続き元のアカウントを参照するため、dMSA は機能しなくなります。攻撃者は BadSuccessor 技術でこれらの属性を狙うため、監視において非常に重要です。

攻撃者は Active Directory において dMSA を悪用して権限昇格を行う方法

従来の権限昇格テクニック

実世界の調査では、権限昇格は初期アクセスに続く攻撃の2段目であることが多いことが明らかになっています。攻撃者がユーザー アカウントの制御を得ると、最終的に Domain Admin 権限を獲得することを目標に、権限を計画的に段階的に引き上げられる経路を探します。

MITRE ATT&CK カタログに記載されている従来の権限昇格テクニックには、Kerberoasting、AS?REP Roasting、および Golden Ticket の作成があります。さらに、現在の攻撃者は、BloodHound のようなツールを使って権限昇格の経路をマッピングすることもよくあります。そこでは、誤った設定、継承された権限、または設計上の欠陥といった問題を悪用して、高い権限を獲得します。

dMSA を使用した権限昇格

dMSA を導入すると、dMSA が本質的に不安全だからというわけではありませんが、攻撃者が dMSA がレガシーのサービス アカウントとどのように関連付けられているかを悪用できるため、敵対者に対して権限昇格の別の選択肢が提供されます。msDS-ManagedAccountPrecededByLink のような属性を変更することで、dMSA を別のユーザーをなりすまし（impersonate）るように構成し、そのアカウントのアクセス権を継承させることができます。そのため、グループのメンバーシップを変更したり、追加の資格情報を侵害したりすることなく、これらの権限を悪用できます。その結果、従来のイベント ID の監視や権限付与の追跡にのみ依存している場合、たとえ高度なセキュリティ スタックであっても、この攻撃ベクトルを見逃す可能性があります。

よくあるリスク要因の一つは、組織単位（OU）に対する制御の委任が不適切であることです。攻撃者が、OU に対して CreateChild または WriteProperty の権限を持つユーザー アカウントを侵害すると、その OU からドメイン レベルの特権を継承する dMSA を作成できる可能性があります。 Akamai によると、分析した環境の 91% では、この手法を悪用するのに十分な権限を持つユーザー アカウントが存在する OU が少なくとも 1 つありました。

BadSuccessor 攻撃と、その危険性の大きさ

BadSuccessor は、dMSA の移行属性を悪用する新しい攻撃ベクトルです。msDS-ManagedAccountPrecededByLink 属性を変更することで、攻撃者は dMSA に特権アカウントをなりすまし（impersonate）させることができます。

その後 Kerberos Key Distribution Center は、dMSA が だった かのようにチケットを発行します。つまり、グループ変更はなく、目立ったログオン イベントもありません。言い換えれば、攻撃者は完全に正当なものに見える管理者レベルのアクセスを得ます。

事態をより深刻にするのは、BadSuccessor 攻撃は検知が非常に難しいことです。グループの変更はなく、また、なりすまし元のユーザー アカウントからのログオン アクティビティもありません。Microsoft は現在、Windows 2025 スキーマ（バージョン 91）で関連する属性変更のログを提供していますが、ほとんどの監査ツールはまだそれらをフラグするように設定されていません。つまり、この手法は、検知ツールが Kerberos チケット要求における異常な dMSA 構成やなりすまし（impersonation）動作を特に探していない限り、見過ごされる可能性が高いということです。さらに、dMSA の名前が、その dMSA が動作している適切な特権レベルを反映していない場合があるため、フォレンジック調査も難しくなります。

BadSuccessor 攻撃は特権昇格を可能にするだけでなく、攻撃者が環境に対する長期的なアクセスを獲得できるようにし、これは persistence（永続性）として知られています。永続性は高度持続的脅威（APT）アクターにとって重要です。AD では、高度な永続化手法とは、パスワードのリセット、リブートの繰り返し、標準的な是正（remediation）作業を経ても生き残る技術のことです。BadSuccessor 攻撃は間違いなくこれに該当します。dMSA がマイグレーション モードで succeeded アカウントとともにセットアップされ、Kerberos チケットが発行されると、元のアカウントが無効化されても、そのまま動作を継続できます。つまり、このように悪用された dMSA は「バッジ付きバックドア（backdoor with a badge）」を提供します。すなわち、正当なものに見えるアカウントで、通常のサービス アカウントと同様に Kerberos チケットを要求し、定義された権限の範囲内で動作するアカウントです。

dMSA の悪用に対する防御のベストプラクティス

特権昇格のために dMSA が悪用されることに対する堅牢な防御には、予防と検知の両方をカバーする多層的な戦略が必要です。主なベストプラクティスは以下のとおりです：

• 権限を見直してください。 すべての OU で、CreateChild、WriteProperty、WriteDACL（Modify Permissions）、Generic All（Full Control）、WriteOWner（Change Owner）の権限を誰が持っているかを定期的に監査し、最小権限の原則 を厳格に適用して攻撃対象領域を減らしてください。
• チームを教育してください。 すべての AD 管理者が dMSA の仕組みとそれがもたらすリスクを理解していることを確認してください。
• 最新情報を把握してください。 Microsoft が dMSA 機能を継続して強化する中で、セキュリティチームは、新たに生じるリスクを理解するために、公式ドキュメントやコミュニティの調査に継続的に関与する必要があります。たとえば Microsoft’s dMSA documentation と SpecterOps on BadSuccessor mitigations に関する最新の分析は、貴重な指針を提供します。
• 変更を監視してください。 ログオン失敗のような従来の侵害の兆候（IoC）だけでは、BadSuccessor のような dMSA 攻撃を見つけるには不十分です。組織には、dMSA 関連属性の変更を検知して警告できるリアルタイム監視ツールが必要です。堅牢なアプローチには以下が含まれます：
  • 正当な dMSA と、その想定される挙動のベースラインを確立する
  • dMSA の予期しない作成または変更を監視する
  • dMSA に対する Kerberos チケットの発行を監視する
  • dMSA の移行ログを確認する — 最近の Windows Server ビルドで利用可能です。 dMSA イベント ログ記録に関する Microsoft のガイド
• Zero Trust 戦略を採用しましょう。 より広く言えば、dMSA のセキュリティをより大きな Zero Trust イニシアチブに統合します。dMSA を単なるインフラ アカウントではなく、高い価値を持つアイデンティティとして扱ってください。最小権限を厳格に適用すること、認証アクティビティを分析すること、行動を継続的に監視することなど、管理アカウントに対して行うのと同じ統制を実装します。

効果的な検出と防御のためのツール

Netwrix Identity Threat Detection & Response Solution は、統合されたセキュリティ ツールが連携して脅威を評価し、未然に防ぎ、検知できるようにすることで、dMSA ベースの権限昇格攻撃に対する包括的な保護を提供します：

Netwrix が BadSuccessor 攻撃を阻止する方法

• リスクの高い OU を素早く見つける： Netwrix PingCastle ユーザーが危険な dMSA 作成権限を持っている場所を特定するため、攻撃者が仕掛ける前に修正できます。
• リアルタイムで悪用（エクスプロイト）をブロック： Netwrix Threat Prevention dMSA 属性への不正な変更を阻止し、BadSuccessor 攻撃を発生源で遮断します。
• 他社が見落とすものをキャッチ： Netwrix Threat Manager Kerberos チケット発行と dMSA 移行を監視し、なりすまし（impersonation）の兆候を検知します。攻撃者が権限をさらに昇格させる前に通知します。

これらのツールを組み合わせることで、可視性、制御、そして自動化された防御 を、BadSuccessor のようなステルス型の権限昇格手法に対して実現できます。

結論

委任されたマネージド サービス アカウント（delegated managed service account）は、セキュリティと管理性の両方を改善できる Windows Server の強力な新機能です。しかし、攻撃者は dMSA を Active Directory における権限昇格（privilege escalation）に悪用する可能性があります。実際、BadSuccessor の発見は、強力なセキュリティ態勢と迅速な脅威検知の両方を確実にするために、実績のあるツール群を用意することを含め、新しい機能を慎重かつ適切に（due diligence）導入する必要性を裏付けています。

Active Directory における権限昇格（Privilege Escalation）目的での dMSA に関する FAQ

BadSuccessor 攻撃とは何ですか？

BadSuccessor は、Active Directory での権限昇格のために dMSA を悪用する手法です。攻撃者が制御するアカウントが、特権ユーザーを含む Active Directory 上の他のユーザーになりすますことを可能にします。

BadSuccessor 攻撃はどのように機能しますか？

攻撃者は dMSA を作成または変更し、その移行（migration）属性を特権ユーザーを参照するように設定します。その結果、KDC が Kerberos チケットを発行し、dMSA にその昇格された権限を付与するため、ステルスななりすましが可能になります。

なぜこれほど多くの環境が脆弱なのでしょうか？

Akamai によると、実際の AD 環境の 91% には、少なくとも 1 つの組織単位（OU）があり、その OU では特権を持たないユーザーに CreateChild または Write の権限が付与されていました。これは BadSuccessor の手法を実行するのに十分な条件です。

組織がリスクを軽減するためにできることは何ですか？

リスクを軽減するためのベストプラクティスには、組織単位に対する CreateChild および Write 権限を制限すること、dMSA 属性の変更を継続的に監視すること、そして危険な設定を事前に特定して修正することが含まれます。

Microsoft はこの問題をパッチする予定がありますか？

Microsoft は、Active Directory で権限昇格に dMSA を使用することに関する問題を中程度の重大度として分類しています。パッチが開発される可能性はありますが、組織は直ちに堅牢な脅威の予防および検知戦略を導入するのが賢明です。