A Risk-Based Framework for Hardening Active Directory Infrastructure Against Credential Theft and Privilege Escalation

多くの大規模組織のデジタルな心臓部には、あらゆるものへのマスターキーとして機能する中央システムが存在します。それは誰がログインできるか、どのファイルを開けるか、そしてどのコンピュータを制御できるかを管理しています。Active Directoryとして知られるこのシステムは、Windowsベースのネットワークにおけるアイデンティティの基盤です。それは「王国の鍵」を握っているため、攻撃者にとって最も価値のある標的でもあります。悪意のある者がパスワードを盗んだり、システムを欺いて過剰な権限を与えたりすると、彼らはコンピュータ間を静かに移動し、機密データを盗んだり、会社全体を自社のシステムから締め出したりすることができます。長年、セキュリティチームはこのシステムを守るために、パスワードの変更や特定の構成設定の有効化といった、個別の修正策の長いリストを適用しようとしてきました。しかし、これらの取り組みは、それらがどれほど上手くいっているかを測定する方法や、どの修正策が最も重要かを判断するための明確な計画に欠けていることがよくありました。

独立した研究者チームは、この問題に対する新しい考え方を提案しました。それは、単なるチェックリストから脱却し、構造化されたリスクベースのアプローチへと移行することです。彼らは、セキュリティ対策を5つの明確な領域に整理するフレームワークを開発し、このデジタル・アイデンティティ・システムの保護を、一度限りのタスクではなく継続的なプロセスとして扱いました。コントロールを、権限管理、パスワード保護、中央サーバーの保護、不審な活動の監視、および復旧準備といったカテゴリにグループ化することで、研究者たちは組織が実際にどれほど安全であるかをスコアリングする方法を作り上げました。彼らの研究は、これらのスコアを、変更を加える前と後で測定することで、企業は自社の防御がどれほど向上したかを正確に把握でき、最も危険な弱点を優先的に対処できることを示唆しています。

研究者たちはまず、攻撃者がこれらのシステムに侵入する最も一般的な方法を特定することから始めました。彼らは、犯罪者がキャッシュされたパスワードや、他人のふりをするための秘密のデジタルチケットを盗むことから始まることが多いことを発見しました。これらの資格情報を手に入れた後、彼らはシステム内の弱点、例えば、あまりにも多くのコンピュータにアクセスできる管理者アカウントや、不要な権限を持つサービスアカウントなどを探します。これにより、彼らは権限の梯子を登り、一般ユーザーからフルシステム管理者へと移動し、最終的にはネットワーク全体を管理する中央サーバーの制御を奪うことができます。脅威はそこで止まりません。攻撃者はまた、ネットワークを横方向に移動して他のマシンに感染させ、さらに、もし会社が復旧を試みてもできないように、バックアップシステムを標的にすることもあります。研究者たちは、災害後の復旧に関する明確な計画がなければ、組織は業務を麻痺させる長期の停止に直面する可能性があると指摘しました。

これらの危険に対処するため、チームは「リスクベースActive Directory硬化フレームワーク（Risk-Based Active Directory Hardening Framework）」と呼ばれるフレームワークを導入しました。このシステムは、ネットワークのセキュリティ強化の作業を5つの特定のドメインに分割しています。第1のドメインは、管理権限を持つ者を統治することに焦点を当てています。研究者たちは、システムを管理する必要がある全員が常にフルコントロールを持つべきではないと主張しています。代わりに、彼らはこれらの権限を異なるレベルに分離し、最も強力なアカウントは最も重要なマシンでのみ使用され、日常的なワークステーションでは決して使用されないようにすることを提案しています。第2のドメインは、パスワードやデジタルキーなどの実際の資格情報を保護することを扱います。これには、強力でユニークなパスワードの使用、機密性の高いタスクに対する二要素認証の要求、および人間ではなくソフトウェアプログラムが使用するアカウントの慎重な管理が含まれます。

第3のドメインは、研究者が最も重要な資産と呼ぶ、中央サーバー自体の硬化（ハーデニング）を中心としています。これらのサーバーは、最新のセキュリティパッチを適用し続け、誰がログインできるかについての厳格なルールを持ち、不要な接続をブロックするファイアウォールによって保護される必要があります。第4のドメインは、監視と検知についてです。安全なシステムは、その内部で何が起きているかを見ることができなければなりません。フレームワークは、ユーザーが設定を変更したり、通常とは異なる場所からログインしたりするたびに高度なロギングを行い、これらの記録を中央システムに送信して、不審な行動に対して即座にセキュリティチームへ警告を発することを推奨しています。最後のドメインは、復旧準備です。これは、最悪の事態が発生した場合に、組織がテスト済みの安全なバックアップを持ち、侵害された部分に頼ることなくアイデンティティシステムを再構築するための明確な計画を持っていることを確実にします。

このアプローチが機能するかどうかをテストするために、研究者たちは各5つのドメインを1から5のスケールで評価するスコアリングモデルを作成しました。スコアが1ということは、コントロールが欠落しているか一貫性がないことを意味し、スコアが5ということは、それらが自動化され、測定され、絶えず改善されていることを意味します。彼らは、ある組織が脆弱なセキュリティ体制から強力なものへとどのように移行できるかを示すために、このモデルを仮定のシナリオに適用しました。この例では、組織は監視やアカウントガバナンスなどの領域で低いスコアからスタートしました。管理者アカウントの分離や高度なロギングの有効化といったフレームワークの推奨事項を実施した後、彼らのスコアは大幅に向上しました。最大の改善が見られたのは監視の領域であり、組織は、何が起きているかに対する可視性がほとんどない状態から、不審な活動を早期に捉えられる堅牢なシステムへと移行しました。

この研究は、最大の改善はしばしば、ネットワーク上で何が起きているかを単に知ることから得られることを強調しています。多くの組織は限定的な可視性で運営されており、攻撃者がすでにコンピュータ間を移動したり、重要な設定を変更したりしていることに気づいていません。スコアリングモデルを使用することで、セキュリティチームは自らの弱点がどこにあるかを正確に特定し、そこに努力を集中させることができます。例えば、復旧準備のスコアが低い場合、チームは直ちにバックアップの復元プロセスをテストする必要があると分かります。もし特権アカウントガバナンスのスコアが低い場合は、システムへのフルコントロールを持つ人数を減らす必要があると分かります。この手法は、抽象的なセキュリティのアドバイスを、具体的で測定可能な行動へと変えるものです。

研究者たちは、このフレームワークは魔法の解決策ではなく、改善のためのガイドであることを認めています。彼らは、パスワード規則の厳格化や古い通信方法の無効化といった一部のセキュリティ対策が、それらに依存している古いソフトウェアに問題を引き起こす可能性があると指摘しています。したがって、彼らは、これらの変更を段階的に展開し、関係者全員と明確にコミュニケーションを取ることを提案しています。また、スコアは、その背後にある証拠に基づいている場合にのみ意味を持つことも強調しています。チームは単にスコアを推測すべきではなく、設定ファイル、監査レポート、バックアップテストの記録などの証拠を示し、コントロールが実際に機能していることを証明する必要があります。

結局のところ、この研究は、デジタル・アイデンティティの保護を、混沌としたタスクのリストから、規律ある測定可能なプログラムへと変容させる方法を提供しています。セキュリティの取り組みを明確なドメインに整理し、シンプルなスコアリングシステムを使用することで、組織は時間の経過とともに進捗を追跡し、どこにリソースを投入すべきかについて情報に基づいた決定を下すことができます。このフレームワークは、実用的なセキュリティ作業を確立された標準に適合させ、企業が単なる設定の集合体ではなく、現代のサイバー脅威による絶え間ない圧力に耐えうる回復力のあるシステムを構築できるよう支援します。著者らは、将来の研究において、データを収集するためにこのモデルを現実世界の環境に適用すべきであると考えていますが、現在の知見は、最も重要なデジタル資産を強化しようとしているあらゆる組織に対して明確な道筋を示しています。