ESC8は依然として私たちが見る最も一般的なAD CSの発見です

「統計と比較」ボタンを通じて Netwrix PingCastle 公開統計サイトに提出されたレポートの中で、A-CertEnrollHttpは2026年11月時点で6,487回報告されました。これは、私たちが追跡している他のどの Active Directory Certificate Services (AD CS) エスカレーションパスよりも多いです。

A-CertEnrollChannelBindingと共に、ESC8をカバーします。ESC8はよく文書化されており、初期設定が安全でないため、依然として一般的です。

ESC8とは何ですか？

ESC8は、AD CSのWeb登録インターフェースに対するNTLMリレー攻撃です。Certification Authority Web Enrollmentの役割がインストールされ、そのHTTPエンドポイント（certsrv）がExtended Protection for Authentication（EPA）やチャネルバインディングなどの保護なしにNTLM認証を受け入れる場合、攻撃者はキャプチャしたNTLM認証試行をそのエンドポイントにリレーし、他人になりすまして証明書を要求できます。

攻撃者がPetitPotamのような手法を使ってドメインコントローラーに強制的に認証させると、その認証をWeb登録エンドポイントに中継し、そのドメインコントローラーとして認証される証明書を受け取ることができます。そこからはすぐにDCSyncおよびドメイン全体の侵害につながります。

MITREは強制および中継メカニズムについてT1557（Adversary-in-the-Middle）として追跡し、攻撃者がその証明書を手に入れた後の行動についてはT1649（Steal or Forge Authentication Certificates）として追跡しています。

なぜESC8はこんなに一般的なのですか？

Web Enrollment ロールをインストールすると、HTTP と NTLM 認証がデフォルトで有効になり、EPA 適用の HTTPS は追加の設定が必要です。この設定が必要であることを知らないチームは、デフォルトでリスクにさらされたままになります。

誰も証明書の登録をNTLMリレーに開放しようとは決めません。誰かがCAを立ち上げてWeb Enrollmentを有効にし、6か月後には誰もその役割が動作していることを覚えておらず、ましてやEPAを有効にする必要があることなど忘れています。

この発見は強化された環境でも見られますが、ESC8への認知が広まったことで、現在はあまり頻繁ではありません。

攻撃者はESC8証明書で何ができますか？

ESC8は、リレーが成功した後に攻撃者が保持するもののため、高い深刻度です。NTLMセッションはすぐに終了しますが、発行された証明書は有効期限が切れるか誰かが取り消すまで有効であり、多くの場合1年以上続きます。

この証明書はプロトコルをまたいで機能します。攻撃者はKerberosまたはSchannel（証明書ベースのTLSログオン）で認証でき、環境内のNTLM制限を回避します。

強制技術と組み合わせると、このチェーンは脆弱なウェブ登録エンドポイントへのネットワークアクセスと、攻撃者が認証を強制できるマシンだけを必要とします。これはDomain Admin相当のアクセスに至る経路としては低いハードルです。

PingCastleはESC8をどのように検出しますか？

PingCastleはネットワーク上で見つけた各証明機関と登録サーバーを調査します。それぞれに対して、ウェブ登録ページ（certsrv/certrqxt.asp）とCertificate Enrollment Service（CES）エンドポイントの2つにリクエストを送信します。どちらかが平文のHTTPで正常に応答すると、PingCastleはそのドメインをフラグ付けします。ネットワーク上の攻撃者が暗号化されていない登録エンドポイントにNTLM認証を中継できるためです。

A-CertEnrollChannelBindingはHTTPS側をカバーします。HTTPSを受け入れるがチャネルバインディングを強制しない登録エンドポイントを検出します。中継されたNTLMセッションはHTTPS経由で通過可能だからです。

登録を壊さずにESC8を修正するにはどうすればよいですか？

Web Enrollmentは本当に必要ですか？環境内でcertsrvインターフェースを使って証明書を要求する人がいなければ、その役割を削除してください。これが最も簡単な対処法で、最初に確認すべきものです。

必要な場合でも、HTTPSだけではESC8を防げません。登録エンドポイントにはEPAまたはチャネルバインディングの適用が必要です。中継されたNTLMセッションはHTTPS接続を介して転送される可能性があるためです。AD CSに対するNTLMリレー攻撃の緩和に関するMicrosoftのガイダンス（KB5005413）で設定方法を説明しています。

その他の緩和策として、CAのWebインターフェースへのネットワークアクセスを制限し、Kerberosで十分な場合はNTLMを無効にし、既知の強制手法に対してパッチを適用してください。CAのその他の露出部分については、リスキーなAD CS設定をESC8とともに確認してください。

私のおすすめ

強化する前にWeb Enrollmentが必要かどうかを確認することをお勧めします。必要な場合は、HTTPSとEPAを必須にし、KB5005413に従ってください。

露出しているか確認するには、無料のPingCastleスキャンを実行してください。これによりESC8が直接検出され、AD CSのリスク範囲全体も対象となります。レポート内で「The certificate enrollment interface is accessible by unencrypted HTTP」と「Channel Binding is not enforced for the HTTPS Certificate Enrollment Interface」の2つの検出結果を探し、ESC8リスクを確認してください。