Active Directory ランサムウェア攻撃

世界中の組織は Active Directory（AD）を主要なアイデンティティサービスとして利用しており、そのためランサムウェア攻撃の最優先ターゲットになっています。この記事では、攻撃者がランサムウェア攻撃の際に Active Directory をどのように悪用するのかを解説し、この現代的な脅威に対する防御のための戦略とツールを紹介します。

ランサムウェア攻撃の2つのフェーズ

ランサムウェア攻撃についてよくある誤解は、それがすぐに起こるというものです。つまり、誰かが感染したメール添付ファイルを開くか、感染した USB デバイスを差し込むと、数分のうちにネットワーク全体のデータが暗号化され、あらゆる画面に身代金の要求が表示される、という考え方です。

実際はまったく別です。現在のランサムウェア攻撃は、かなり高度で計画的な傾向があります。可能な限り多くの機密情報を暗号化し、結果として高額な身代金を受け取れる可能性を最大化するために、攻撃者は次の2つの段階で進めます。

1. 侵入経路（入口）を見つける — 最初のステップは、被害組織のネットワーク内に足場を築くことです。よくある戦略として、フィッシングやパスワード推測といった手口を用いて、ユーザーの Active Directory の認証情報を侵害する方法があります。
2. 支配範囲を広げる — 単なる一般的なビジネス用ユーザーアカウントだけでは、攻撃者の重要なシステムやデータへのアクセスは限定されます。したがって、攻撃者は権限を拡張するために悪用できる Active Directory の脆弱性を探します。手口の一つは、すでに支配しているアカウントを、より広範な権限を持つセキュリティグループに追加することです。空のグループは一般的な標的になりがちです。というのも、そうしたグループは慎重に管理されていない可能性が高く、新しいメンバーが追加されても気づかれないことがあるためです。もう一つの選択肢は、例えば、攻撃者がすでに支配しているエンドポイントにキャッシュされた管理者の認証情報を取得することで、すでに特権アクセス権限を持つ他のユーザーアカウントを侵害することです。

攻撃者が望みどおりのアクセス権を手に入れたら、ランサムウェアを実行して到達できるすべてのデータを暗号化します。これにはクラウドに保存されたコンテンツが含まれることもあります。多くの場合、攻撃者は暗号化の前にデータをコピーしておき、支払いを引き出すための追加のてこ（カード）として「公開すると脅す」ことができるようにします。さらに、被害者が身代金要求に応じやすくするため、バックアップデータを暗号化したり削除したりすることもよく試みます。

Active Directory を悪用するランサムウェア攻撃手法

サイバー犯罪者が Active Directory を悪用してランサムウェア攻撃を行った例をいくつか紹介します。

無効化された AD アカウントを使ってネットワークに侵入する

2021年の Colonial Pipeline への攻撃では、DarkSide と呼ばれる一団が、無効化された Active Directory アカウントを通じてネットワークにアクセスしました。彼らは、そのアカウントを、一般的なパスワードのリスト、またはダークウェブで入手できる侵害済みパスワードのダンプのいずれかを使って侵害しました。無効化されたアカウントは、アクティブなアカウントが侵害された場合よりも乗っ取りが気づかれにくいため、脅威の主体にとって手を付けやすい“格好の餌”になります。

Active Directory のグループ ポリシーを使ってランサムウェアを拡散する

グループ ポリシー は、管理者が Active Directory でセキュリティとユーザーの生産性を維持するために使用する強力な機能です。ランサムウェアの攻撃者は、グループ ポリシーを悪用してペイロードを拡散することがあります。

たとえば、Ryuk ランサムウェアは、攻撃者が改変または新規作成するグループ ポリシー オブジェクト（GPO）を通じて配布されることがよくあります。具体的には、Ryuk を Active Directory log のログオン スクリプトに挿入し、Active Directory サーバーにログオンするすべてのユーザーを感染させます。

Active Directory の SYSVOL 共有を介してランサムウェアを拡散する

ランサムウェアの攻撃グループが Active Directory を悪用する別の方法は、SYSVOL 共有を使うことです。SYSVOL にはドメインのパブリック ファイルが保存されており、認証されたすべてのユーザーが読み取れます。攻撃者が特権アクセス権を得ると、SYSVOL を改変して、端末を感染させるためのタスクをスケジュールし、さらにそれらを監視します。

SharePoint の脆弱性を悪用してアクセス権を得る

ランサムウェアの攻撃者やその他の脅威アクターも、未パッチの脆弱性を悪用することで AD 環境に足場を築くことができます。たとえば 2019 年、ハッカーは国連（UN）で使用されていた Microsoft SharePoint の脆弱性を悪用しました。Microsoft はその脆弱性のパッチをリリースしていたものの、UN はソフトウェアを適時に更新できていませんでした。この攻撃ではランサムウェアのリリースは行われなかったものの、国連職員約 4,000 人の個人データが侵害されました。

Active Directory に対するランサムウェア攻撃への対策方法

身代金を単に支払うことを前提にした計画は、現実的なランサムウェア戦略とは言えません。復号鍵を実際に受け取れる保証はなく、再び狙われる可能性も高まります。しかし、ランサムウェア感染のリスクを下げ、万一発生した場合の被害を最小限に抑えるための効果的な戦略はあります。ここでは、最重要のベストプラクティスを紹介します。

AD アカウントとグループを整理する

各ユーザーが職務を遂行するために必要な権限のみを持つようにしてください。不要になった AD アカウントやセキュリティ グループを削除し、残った各グループには、グループの権限とメンバーシップを定期的に見直す必要がある指定の所有者（または所有者）を置くようにします。

特権アカウントを最小限にする

ランサムウェアのギャングを含む悪意ある攻撃者は、高度に特権化されたアカウントを侵害したときに最も大きな被害を与えることができます。したがって、すべての特権グループのメンバーシップを厳格に制限することが不可欠です。特に、Enterprise Admins、Domain Admins、Schema Admins のような非常に強力なグループはなおさらです。

さらに良いのは、privileged access management（PAM）を導入して、常時の特権アカウントを just-in-time、just-enough access で置き換えられるようにすることです。

ソフトウェアを速やかに更新する

ソフトウェア企業は、製品内の脆弱性に対処するためにパッチを頻繁にリリースし、セキュリティを高める更新版も定期的に提供しています。Windows Server のOSやその他のソフトウェアシステムが常に最新の状態（パッチ適用済み）に保たれていることを確認し、サポート期限が切れていてセキュリティ更新が提供されなくなったソフトウェアは絶対に実行しないでください。

Zero Trust と多要素認証（MFA）を導入する

Zero Trust のセキュリティモデルを MFA と組み合わせることで、攻撃者がネットワークに侵入しようとする場合だけでなく、横方向に移動して権限を昇格しようとする場合にも、その試みを阻止するのに役立ちます。MFA により盗まれたパスワードは無価値になり、Zero Trust では、ユーザーが認証を完了した後であっても、不審またはリスクの高い行為には追加の認証要求が提示されます。

高度な脅威検知と対応に投資する

前述のとおり、ランサムウェアの攻撃者は、より強力な資格情報や価値のある資産を探して、ネットワーク内を移動しながら時間を費やすことが一般的です。環境内の不審な活動を常に監視することが不可欠です。さらに、最新のミスディレクション技術によって、ハニーポットのような手法を用いて攻撃者が自分自身を明らかにするよう誘導されます。

すべてのユーザーを教育する

Active Directory を保護するための最も効果的なアプローチの1つは、組織内のすべてのユーザーに対して、フィッシングメールに悪意のあるリンクや添付ファイルが含まれているといった、攻撃者がランサムウェアを仕込むために用いる手口（戦術）を教育することです。頻繁にトレーニングを実施し、「フィッシングに似たメール」といったテストでその有効性を評価してください。

ランサムウェア発生に備える

ランサムウェア攻撃への対応手順（playbooks）を用意しておくことで、迅速かつ効果的な対応を確実にするのに役立ちます。既知の脅威が検出された場合に、特定のアクションを自動で実行できるソリューションもあります。さらに、Active Directory をバックアップし、ランサムウェアの届かない場所にデータを保存し、復旧プロセスを定期的に演習してください。

Netwrix Directory Manager で Active Directory を保護する

Active Directory セキュリティ のベストプラクティスを導入するのは、複雑で時間のかかる作業です。Netwrix Directory Manager は、作業を簡素化し自動化する包括的な ID およびアクセス管理ソリューションです。たとえば Netwrix Directory Manager を使うと、次のことができます。

• AD のセキュリティ グループのメンバーシップを自動的に最新の状態に維持する
• 各グループに所有者がいることを確認し、複数の所有者を割り当てることも可能
• ユーザーが自分のパスワードを安全にリセットし、アカウントのロックを解除できるようにする
• 多要素認証を導入する
• パスワードの複雑性要件を導入する
• ディレクトリの健全性を報告する

よくある質問

ランサムウェアは Active Directory を暗号化しますか？

はい、ランサムウェアは Active Directory のファイルを暗号化できます。

ハッカーはなぜ Active Directory を攻撃するのでしょうか？

Active Directory は、アイデンティティとネットワーク リソースへのアクセスを管理するうえで中心的な役割を担っており、そのため攻撃者にとって魅力的な侵入口になります。

Active Directory 攻撃とは何ですか？

Active Directory の攻撃には、ユーザー資格情報の侵害、セキュリティ グループのメンバーシップと権限の操作、グループ ポリシー オブジェクト（Group Policy）の変更などが含まれます。

Active Directory は脆弱性がありますか？

はい。Active Directory は複雑なシステムであり、多くの場合、権限が過剰なアカウント、設定ミスのあるセキュリティポリシー、その他の攻撃者が悪用できる脆弱性が存在します。