vSphere Active Directory セキュリティ：リサーチレポート

vSphere Active Directory セキュリティ：包括的なリサーチレポート

管理者が Active Directory の認証情報を使って VMware vSphere に認証する際、パスワードが検証された後に忘れ去られることを、当然ながら当然のように期待します。しかし現実は、はるかに複雑です。

この独立したセキュリティ調査では、ESXi 7 および 8 から vCenter Server 7 および 8 まで、vSphere 環境のあらゆる層にわたって AD 認証情報を追跡します。調査結果は、デフォルト設定によって、平文の LDAP 送信、誰でも読み取れる keytab、そして持続的な Kerberos チケットキャッシュを通じてパスワードが露出することを明らかにしています。AD に参加しているスタンドアロンの ESXi ホストでは、どの管理者でも他のユーザーのキャッシュされた認証情報にアクセスでき、さらにドメイン コントローラー VM がホスト上で実行されている場合、ESXi Admin ロールは機能的に Domain Admin と同等になります。

vCenter Server は、SAML トークンの分離やきめ細かなロールベースのアクセス制御によって、より強力な認証を提供します。ただし、LDAPS または SPNEGO 認証を使用するよう意図的に設定した場合に限ります。デフォルトの AD-over-LDAP のアイデンティティ ソースは、ネットワーク層で最悪の認証情報の露出を再現してしまいます。

このレポートでは、パケットキャプチャ、メモリダンプ、機能的な攻撃チェーンを用いてすべての脆弱性を記録し、その後に vSphere の AD 統合を強化するための優先順位付きの推奨事項を提示します。

このガイドでは、次の方法を学びます。

• vSphere 環境において、ネットワーク、ディスク、メモリ層で AD 認証情報がどこに露出しているかを特定します。
• スタンドアロンの ESXi を AD ドメインに参加させることで、修復できないアーキテクチャ上のセキュリティ上の弱点が生じる理由を理解します。
• LDAPS または SPNEGO を使用して平文パスワードの送信をなくすために、vCenter のアイデンティティソースを設定します。
• AD グループのメンバーシップがハイパーバイザの root アクセスを直接制御するため、ESXi 管理者グループは Domain Admins と同じ厳格さで保護します。
• ESXi および vCenter のコンピューターアカウントで AES のみの暗号化を強制し、Kerberos のダウングレード攻撃を防止します。
• ドメイン コントローラー VM（Domain Controller VMs）を実行しているホストへの ESXi 管理者アクセスを制限し、オフラインでの ntds.dit 抽出やスナップショット ロールバック攻撃を防止します。
• DC イベント 2889 の監視とファイル アクセスの監査により、資格情報の窃取試行を検知します。

このガイドをダウンロードする理由

• デフォルトの vSphere ドキュメントでは開示されない資格情報のフローを可視化します。
• スタンドアロンの ESXi 管理と vCenter によって管理される環境の間にあるセキュリティ上のトレードオフを理解します。
• 検証済みの攻撃チェーンに基づいて、優先順位を付けた強化（ハードニング）の推奨事項を実装してください。
• ESXi Admin 権限を適切な機密性として扱うことで、ドメイン侵害リスクを低減してください。
• パスワードのリセットに加えて証明書の失効（revocation）を行うよう、インシデント対応手順を強化してください。