DCSync は、攻撃者がドメイン コントローラー（DC）の動作をシミュレートし、ドメインのレプリケーションを通じてパスワード データを取得できるようにする攻撃です。DCSync の代表的な用途は、Golden Ticket 攻撃に先立つものとして使われる点で、KRBTGT ハッシュを取得するために利用できます。
具体的には、DCSync はオープンソースの Mimikatz ツールのコマンドです。これは Directory Replication Service Remote Protocol (MS-DRSR) のコマンドを使って、ドメイン コントローラーの動作をシミュレートし、他のドメイン コントローラーに情報のレプリケーションを依頼します。これは Active Directory にある、有効で必要な機能を悪用するものであり、その機能はオフにしたり無効化したりできません。
厳選した関連コンテンツ：
攻撃プロセス
DCSYNC 攻撃の仕組みは次のとおりです：
- 攻撃者は、複製を要求するためのドメイン コントローラーを特定します。
- を使用してユーザーの複製を要求しますGetNCChanges
- DC は、パスワード ハッシュを含むレプリケーション データを要求元に返します。
必要な権限
DCSync 攻撃を実行するには、非常に特権の高い権限が必要です。攻撃者がこれらの権限を入手するまでには通常ある程度の時間がかかるため、この攻撃はキルチェーンの後期段階の攻撃に分類されます。
一般に、Administrators、Domain Admins、Enterprise Admins には、DCSync 攻撃を実行するために必要な権限があります。具体的には、次の権限が必要です：
- ディレクトリ変更のレプリケーション
- すべてのディレクトリ変更を複製
フィルターされたセット内でディレクトリ変更を複製
Netwrix ソリューションが DCSync 攻撃を検知して阻止するのに役立つ方法
検知
Netwrix Threat Manager は、DCSync の兆候がないかすべてのドメイン レプリケーション トラフィックを監視します。イベント ログやネットワーク パケット キャプチャには依存しません。主な検知方法は、DCSync に一致する行動パターンを見つけることであり、ドメイン コントローラーとドメイン コントローラーではないマシン間でのレプリケーション活動も含まれます。
このソリューションは、疑わしいアクティビティの明確な要約に加えて、攻撃を実行したユーザー、標的となっているドメインとユーザー、そして攻撃を裏付ける証拠を示す可視化を提供します。同一ユーザーが複数の DCSync 攻撃を実行した場合も、この重要な情報があわせて含まれます。
対応
DCSync を実行するには、攻撃者に昇格された権限が必要です。そのため、攻撃を阻止する鍵は、すぐに privilege escalation をブロックすることです。ユーザーアカウントを無効化するという標準的なプレイブックの対応だけでは不十分な場合があります。というのも、攻撃が進行中だと気付いた時点で、攻撃者には他にも多数のリソースや選択肢が用意されている可能性が高いからです。
Netwrix Threat Prevention は、アカウントまたはワークステーションが追加のレプリケーションを実行することを防ぐブロックポリシーを提供します。これにより攻撃の進行を遅らせ、対応担当者が脅威を完全に排除するまでの時間をより多く確保できます。
Netwrix Threat Manager は、DCSync 攻撃の実行者、ソース、ターゲット、照会された（クエリされた）オブジェクトに関する詳細を提供することで、これらの対応手順をサポートします。
Netwrix Threat Manager を実際に見る
共有する
もっと詳しく
著者について
Kevin Joyce
プロダクトマネジメント担当ディレクター
Netwrix のプロダクトマネジメント担当ディレクター。Kevin はサイバーセキュリティに情熱を持ち、特に攻撃者が組織の環境を悪用するために用いる戦術や手法を理解することに注力しています。Active Directory と Windows のセキュリティに焦点を当てたプロダクトマネジメントでの 8 年の経験を通じて、その情熱を活かし、組織がアイデンティティ、インフラ、データを保護できるようなソリューションの構築を支援しています。