Active Directory インフラを強化するための主要戦略

Microsoft Active Directory (AD) は、世界中の 90% の組織で使われている中央の認証情報（資格情報）ストアです。業務アプリケーションとデータへの“門番”として、AD は単にあちこちにあるだけではなく、すべての基盤になっています！AD の管理は終わりのない作業であり、その保護はさらに難しくなります。Netwrix では、AD を管理し、保護するために当社のツールを使っている多くのお客様 と話をしています。そして長年の間に、攻撃に耐えるためにセキュリティを強化し、AD をハードニングするための重要な戦略が数多く出てきました。ここでは、Active Directory のセキュリティ に関する、環境で活用できる 10 個のハードニングのヒントを紹介します：

ヒント #1：古くなったオブジェクトを整理しましょう。

Active Directory には数千もの項目と、保護すべき多くの可動要素が含まれています。セキュリティを高めるための主要な方法の1つは、未使用のユーザー、グループ、マシンを削除して、散らかり（ク ラッタ）を減らすことです。古くなった AD オブジェクトは攻撃者に悪用され得るため、削除することで攻撃対象領域を小さくできます。

あまり使われていない項目が見つかることもあります。人事データを活用し、ビジネス側の関係者と連携して、それらのステータスを判断してください。たとえばユーザーアカウントであれば、そのユーザーのマネージャーを特定します。これには時間がかかりますが、次回の監査やコンプライアンス（法令・規程順守）の見直しの際に済ませておけるので、きっと役に立つはずです。

ヒント #2：ユーザーが安全なパスワードを選びやすくしましょう。

攻撃者がユーザーの認証情報を侵害してネットワークに侵入し、横方向に移動することを防ぐには、パスワードが解読（クラック）しにくい必要があります。しかし、ユーザーは複数の複雑なパスワードを自分だけで覚えたり管理したりすることは現実的にできません。そのため、スティッキーノートにパスワードを書き残す、または変更が必要になったときに末尾の数字を単に 1 つ増やす、といったようにセキュリティを弱める運用に頼ってしまいます。これが、セキュリティ専門家がパスワードの複雑性やリセット（再設定）に関する推奨を弱めることにつながりました。

しかし、企業向けの password management solution があれば、ユーザーが一意で非常に強力なパスワードを簡単に作成し、効果的に管理できるため、強力なパスワード要件を妥協する必要がありません。ユーザーは強力なパスワードを1つだけ覚えればよく、ツールが他のすべてを代わりに管理します。

ヒント #3：従業員が自分のワークステーションで管理者権限を持てないようにしてください。

攻撃者がユーザーアカウントを乗っ取ると（これは私たち皆がよく知っているとおり、かなり頻繁に起こります）、次のステップとして、横方向の移動を助けたり、他のアカウントを乗っ取ったりするために、ユーザーのワークステーションにハッキングソフトウェアをインストールすることがよくあります。侵害されたアカウントにローカルの管理者権限がある場合、その作業は簡単です。

しかし、ほとんどのビジネスユーザーは実際には、ソフトウェアを頻繁にインストールしたり、設定を頻繁に変更したりする必要はありません。そのため、管理者権限を付与しないことでリスクを減らせます。追加のアプリケーションが必要になった場合は、ヘルプデスクにインストールを依頼すればよいでしょう。忘れずに use Microsoft LAPS を使って、残っているすべてのローカル管理者アカウントのパスワードを強力なものにし、定期的なスケジュールで変更してください。

ヒント #4：サービスアカウントを厳格に保護してください。

サービス アカウントは、アプリケーションが AD に対して認証するために使用します。サービス アカウントは、監視されることがほとんどなく、権限が高く、通常は有効期限のないパスワードを使用しているため、攻撃者に狙われることが頻繁にあります。したがって、サービス アカウントをよく見直し、可能な限り権限を制限してください。サービス アカウントが Domain Admin’s のグループのメンバーになっている場合もありますが、通常はそのすべてのアクセス権が機能に必要というわけではありません。必要な正確な権限を把握するには、アプリケーション ベンダーに確認する必要があるかもしれません。

また、サービス アカウントのパスワードを定期的に変更して、攻撃者が悪用しにくくすることも重要です。これを手作業で行うのは大変なので、 group managed service account (gMSA) 機能（Windows Server 2016で導入）を使用することを検討してください。gMSA を使用すると、オペレーティング システムがサービス アカウントのパスワード管理を自動で処理します。

ヒント #5：セキュリティ グループにおける恒久的なメンバーシップをなくしましょう。

Enterprise Admin、Schema Admin、Domain Admin の各セキュリティ グループは Active Directory の“至宝”であり、攻撃者はそれらのグループにメンバーとして入るためにできる限りのことをします。管理者がこれらのグループに恒久的にメンバーとして所属している場合、攻撃者が管理者のアカウントの 1 つを侵害すると、その攻撃者はドメイン内で恒久的に特権が昇格したアクセス権を持つことになります。

このリスクを下げるには、これらの強い特権を持つグループすべてのメンバーシップを厳密に制限し、さらに make membership temporary ことが必要です。Enterprise Admin と Schema Admin の各グループは頻繁には使われないため、これらについては問題になりません。Domain Admin はより頻繁に必要となるので、一時的なメンバーシップを付与する仕組みを用意する必要があります。

ヒント #6: 可能な限り昇格（高い）権限を排除しましょう。

攻撃者が AD に対する攻撃を実行するために必要となる、比較的よくある権限が 3 つあります。Reset Password、Change Group Membership、Replication です。これらの権限は、日常業務で頻繁に使用されるため、保護するのがより難しくなります。

したがって、これらの権限を追加のユーザーに付与することになる、セキュリティ グループの権限またはメンバーシップのすべての変更を監視するべきです。さらに良い方法として、privileged access management (PAM) solution を導入し、これらの特権を just-in-time で一時的にプロビジョニングできるようにします。

ヒント #7: 多要素認証（MFA）を導入する

MFA は、ユーザーに対して、以下の認証要素タイプのうち少なくとも 2 つを提示して身元を確認することを求めることで、追加のセキュリティ層を提供します：

• パスワード、PIN、またはセキュリティ質問の回答など、本人が「知っている」もの
• 物理トークンのコードやスマートカードなど、本人が「持っている」もの
• 彼らが「誰であるか」— つまり指紋、虹彩、または顔のスキャンのような生体認証

ヒント #8：Active Directory を綿密に監査してください。

重要なのは Active Directory を監査することで、安全でない設定と疑わしい活動の両方を確認することです。とりわけ、定期的に リスク評価を実施して、セキュリティ上の不備を軽減し、異常なユーザーの動作を監視し、重要なシステムファイルにおける 設定ドリフトを迅速に特定できるようにする必要があります。疑わしいイベントを自動的に通知し、さらに脅威をブロックするために自動で対応できるツールに投資するのが理想です。

ヒント #9：DNS を保護してください。

DNS を保護することで、ドメインハイジャックや DNS スプーフィングなど、さまざまな攻撃をブロックするのに役立ちます。取るべき手順には DNSSEC の導入、セキュアな DNS サーバーの使用、そして定期的な DNS 設定の見直し があります。

ヒント #10：Active Directory を定期的にバックアップしてください。

Active Directory の最新バックアップを用意しておくことは、ランサムウェア攻撃や自然災害を含むサイバーインシデントからの復旧にとって非常に重要です。バックアップは安全に保管し、定期的にテストし、災害発生時に重要な AD 設定を復旧できる よう、すぐに利用できる状態にしておく必要があります。

結論

Active Directory は、アクセスを制御するための素晴らしいシステムです。しかし、それが「クリーン」で、理解されていて、適切に構成され、綿密に監視され、厳格に管理されている場合に限り、安全です。以下のヒントは、セキュリティを強化し、Active Directory をハードニングするための実践的な方法です。

よくある質問

Active Directory のハードニングとは何ですか？

Active Directory のハードニングとは、ディレクトリ サービスを保護し強化して、データ漏えいやダウンタイムのリスクを減らすプロセスです。これには、機密データへのアクセスを制御したり、不必要なオブジェクトを削除したり、パスワード ポリシーを適用したり、疑わしいアクティビティを監視したりすることが含まれます。

ドメイン コントローラーのハードニングとは何ですか？

ドメインコントローラーのハードニングとは、Active Directory を実行しているサーバーを強化し、無許可のアクセス、データ侵害、サービスの中断リスクを低減するためのプロセスです。不要なサービスを無効化し、セキュリティパッチやアップデートを展開し、ファイアウォールのルールを設定し、強力なパスワード運用を徹底することが含まれます。

ドメインコントローラーが侵害された場合、何が起こりますか？

ドメインコントローラーを侵害した攻撃者は、機密データへのアクセスから、ユーザーアカウントやその他の重要な AD オブジェクトの作成・変更・削除まで、大きな被害をもたらす可能性があります。

Active Directory をどのように保護すればよいですか？

Active Directory の保護は、複数の層から成るセキュリティ対策を含む継続的なプロセスです。特に、組織は強力なパスワードポリシーを導入し、ユーザーのアクセスを制限し、不審な活動を監視し、端末をパッチ適用および最新状態に保ち、ドメインコントローラーを保護し、追加の安全性として多要素認証（MFA）を使用し、さらに従業員に対してサイバーセキュリティのベストプラクティスと潜在的な脅威について教育する必要があります。