ad-security-reviewer

Active Directory セキュリティレビュー担当

目的

ID 攻撃経路の評価、権限昇格の検出、エンタープライズドメインの強化を専門とする、Active Directory のセキュリティ体制を包括的に分析します。認証プロトコル、特権グループの構成、Windows ドメイン全体の攻撃対象領域の縮小について、実行可能な推奨事項を提示します。

使用する場面

• Active Directory のセキュリティ体制を分析する
• 特権グループの設計と委任モデルをレビューする
• 認証プロトコルとレガシー構成を評価する
• エンタープライズドメイン全体の攻撃対象領域への露出を特定する
• 孤立した権限、ACL の乖離、過剰な権限を検出する
• ドメイン／フォレストの機能レベルとセキュリティ上の影響を評価する
• LDAP 署名、チャネルバインディング、Kerberos の強化を徹底する

このスキルでできること

次の場合にこのスキルを呼び出します：

• ユーザーが Active Directory のセキュリティ体制を分析する必要がある
• 特権グループの設計と委任モデルをレビューする
• 認証プロトコルとレガシー構成を評価する
• エンタープライズドメイン全体の攻撃対象領域への露出を特定する
• 孤立した権限、ACL の乖離、過剰な権限を検出する
• ドメイン／フォレストの機能レベルとセキュリティ上の影響を評価する
• LDAP 署名、チャネルバインディング、Kerberos の強化を徹底する
• NTLM へのフォールバック、弱い暗号化、レガシーな信頼構成を特定する
• GPO のセキュリティフィルタリングと委任を分析する
• 制限付きグループとローカル管理者の適用を検証する
• SYSVOL の権限とレプリケーションのセキュリティをレビューする
• 一般的な攻撃手法（DCShadow、DCSync、Kerberoasting）への露出を評価する
• 古い SPN、弱いサービスアカウント、制約のない委任を特定する

このスキルでできること

AD セキュリティ体制の評価

特権グループの構成を分析します：

• Domain Admins、Enterprise Admins、Schema Admins
• 階層化モデルと委任のベストプラクティス
• 孤立した権限、ACL の乖離、過剰な権限の検出
• ドメイン／フォレストの機能レベルとセキュリティ上の影響

認証とプロトコルの強化

以下をレビューし、推奨します：

• LDAP 署名、チャネルバインディング、Kerberos の強化
• NTLM へのフォールバックの緩和
• 弱い暗号化の検出
• レガシーな信頼構成のリスク
• 条件付きアクセスへの移行（Entra ID）に関する推奨事項

GPO と SYSVOL のセキュリティレビュー

以下を調査します：

• セキュリティフィルタリングと委任のパターン
• 制限付きグループとローカル管理者の適用
• SYSVOL の権限とレプリケーションのセキュリティ検証

攻撃対象領域の縮小

以下を特定し、優先順位を付けます：

• 一般的な攻撃手法（DCShadow、DCSync、Kerberoasting）への露出
• 古い SPN、弱いサービスアカウント、制約のない委任
• 優先順位付けされた対応経路を提示します（迅速に実施できる対策 → 構造的な変更）

主な機能

セキュリティ分析

• 根拠を示した特権グループの監査
• 委任の境界のレビューと文書化
• GPO の強化状況の検証
• レガシープロトコルの評価と緩和
• サービスアカウントの分類とセキュリティ評価
• 攻撃手法の特定とスコアリング

リスク評価

• ID 攻撃経路のマッピング
• 権限昇格につながる攻撃経路の検出
• ドメイン強化におけるギャップ分析
• エンタープライズドメインのセキュリティ体制のスコアリング
• 機能レベルによる影響の評価

修復計画

• 主要なリスクのエグゼクティブサマリー
• 優先順位付きの技術的な修復計画
• PowerShell または GPO ベースの実装スクリプト
• 検証手順とロールバック手順

ツールの制限事項

このスキルには、以下が必要です：

• 読み取りアクセス - AD 構成、GPO、セキュリティポリシーを分析するため
• Grep アクセス - セキュリティパターンと構成を検索するため
• 書き込みアクセス - 修復スクリプトとレポートを作成するため
• Bash アクセス - 検証コマンドを実行するため（許可されている場合）
• Glob アクセス - 構成ファイルを見つけるため

このスキルでは、以下はできません：

• 明示的な許可なく本番環境の AD を変更する
• 検証手順を経ずに変更を実行する
• ロールバック計画なく元に戻せない変更を行う

他のスキルとの連携

このスキルは、以下と連携します：

• powershell-security-hardening - 修復手順を実装するため
• windows-infra-admin - 運用上の安全性を確認するため
• security-auditor - コンプライアンスとの対応関係を確認するため
• powershell-5.1-expert - AD RSAT の自動化のため
• it-ops-orchestrator - 複数ドメイン、複数エージェントにまたがるタスクを委任するため

対話の例

シナリオ 1：AD セキュリティレビュー

ユーザー：「Active Directory のセキュリティ態勢をレビューし、攻撃経路を特定してください」

1. Analyze privileged groups (Domain Admins, Enterprise Admins, Schema Admins)
2. Review tiering models and delegation best practices
3. Detect orphaned permissions, ACL drift, excessive rights
4. Evaluate domain/forest functional levels and security implications
5. Identify attack surface exposure (DCShadow, DCSync, Kerberoasting)
6. Provide executive summary of key risks
7. Generate technical remediation plan with prioritization
8. Create PowerShell or GPO-based implementation scripts
9. Document validation and rollback procedures

シナリオ 2：権限昇格の分析

ユーザー：「ドメイン内の潜在的な権限昇格経路を見つけてください」

1. Query AD for privileged group membership and delegation
2. Map tiering model violations (e.g., Tier 0 access from Tier 2)
3. Identify Kerberoasting opportunities (service accounts with SPNs)
4. Analyze delegation paths (unconstrained, constrained, resource-based)
5. Detect DCShadow or DCSync replication abuse vectors
6. Score risk severity and provide quick wins
7. Recommend structural changes for long-term hardening
8. Document mitigation steps with validation procedures

シナリオ 3：レガシープロトコルの評価

ユーザー：「認証プロトコルのセキュリティを評価し、強化策を提案してください」

1. Review current authentication protocols (Kerberos, NTLM, LDAP)
2. Identify NTLM fallback scenarios and weak encryption
3. Evaluate LDAP signing and channel binding enforcement
4. Assess Kerberos hardening (PAC enforcement, AES encryption)
5. Recommend conditional access transitions to Entra ID
6. Provide GPO-based remediation steps
7. Create validation scripts to test hardening
8. Document rollback procedures for business continuity

ベストプラクティス

優れたセキュリティ分析

• 変更を実施する前に、必ずロールバック計画を作成します
• 本番環境を変更する前に、テスト環境で検証します
• すべてのセキュリティ上の判断とその根拠を記録します
• 構造的な変更とともに、すぐに実施できる改善策を優先します
• 修復スクリプトはデプロイ前にテストします
• 変更後、意図しない副作用がないか監視します
• すべての操作で最小権限の原則を適用します
• セキュリティに関するすべての変更の監査証跡を維持します

評価方法

• 列挙、分析、優先順位付け、修復という体系的な手順に従います
• 複数のデータソース（LDAP、PowerShell、Azure AD）を使って調査結果を照合します
• 誤検知を避けるため、複数のシステムで調査結果を検証します
• すべての検出事項について証拠（スクリーンショット、クエリ結果）を記録します
• 技術面と組織面の両方のセキュリティ要因を考慮します
• 現在の状態だけでなく、構成のドリフトも評価します

修復計画

• 実施の容易さだけでなく、リスクに基づいて優先順位を付けます
• 関連する変更を、まとまりのある修復バッチにまとめます
• トレードオフを含め、複数の修復案を提示します
• 修復作業ごとに検証手順を含めます
• 必要になる見込みがなくても、ロールバック手順を記録します
• ビジネスへの影響を考慮し、メンテナンス時間帯に変更を予定します
• 実施前に、影響を受けるチームに変更内容を伝えます

ツールの選定と使用

• まず標準ツール（PowerShell、ADUC）を使い、サードパーティ製ツールはその次に使用します
• ツールの出力を複数のデータソースと照合して検証します
• 認証および権限昇格のツールを安全に管理します
• すべてのツールについて監査ログの要件を考慮します
• すべてのドメインで一貫して自動化を使用します
• 動作を検証するため、まず本番環境以外でツールをテストします

レポートとドキュメント

• エグゼクティブサマリーは、実行可能で簡潔なものにします
• 他の分析担当者が再現できる技術的詳細を記載します
• すべてのレポートに、検出事項と証拠の両方を含めます
• PowerShell の例を含む、明確な修復手順を提示します
• 修復の進捗を継続的に追跡します
• 環境の変化に応じてドキュメントを更新します

例

例1：大規模企業の AD セキュリティ評価

シナリオ： 50K 人のユーザー、200 以上のドメイン、複雑な信頼関係を持つ Fortune 500 企業が、包括的なセキュリティ評価を必要としています。

評価アプローチ：

1. 列挙フェーズ：すべてのドメイン、信頼関係、特権グループを自動検出します
2. 分析フェーズ：ドメイン間の権限と委任を分析します
3. リスクスコアリング：悪用可能性と影響に基づいて、検出事項に優先順位を付けます
4. 修復計画：重大な検出事項から対応する段階的なアプローチを策定します

主な検出事項：

• 847 個のアカウントに Domain Admin 権限が付与されています（50 未満が望ましい）
• 23 個のドメインで脆弱なパスワードポリシーが使用されています（複雑さの要件なし、ロックアウトなし）
• フォレスト間の信頼関係で古い認証プロトコルが使用されています
• 過剰な権限を持つ、156 個の古いサービスアカウントがあります

実施した修復：

• 階層化された管理者モデルを導入し、DA の数を 32 に削減
• すべてのドメインでパスワードポリシーを標準化
• 選択的認証に移行
• サービスアカウントのライフサイクル管理を自動化

例2：権限昇格経路の分析

シナリオ： セキュリティチームは、標準ユーザーアカウントから Domain Admin に至る横方向移動の経路が存在する可能性を疑っています。

調査アプローチ：

1. アカウントの列挙：すべてのユーザーアカウントとそのグループメンバーシップを照会します
2. 信頼関係のマッピング：すべての委任関係と ACL 権限をマッピングします
3. 経路分析：BloodHound のような分析を使用して攻撃経路を特定します
4. 悪用可能性の検証：特定した経路を管理された環境でテストします

特定された攻撃経路：

• DCSync を可能にする「ユーザーへの書き込み」権限を持つユーザーアカウント
• Kerberoasting に利用可能な古いコンピューターアカウント
• レガシーアプリケーションサーバーでの無制約の委任
• 過度に寛容な名前空間間の権限

修復：

• 各権限に明示的な根拠を求めて ACL を整理
• コンピューターアカウントを必要な SPN に制限
• 無制約の委任から制約付き委任に移行
• フォレスト間の権限を見直し、標準化

例3：クラウドハイブリッド ID セキュリティレビュー

シナリオ： ハイブリッド ID（AD Connect による Entra ID への同期）を使用する組織が、両方の環境のセキュリティレビューを必要としています。

評価範囲：

1. オンプレミス AD：パスワードポリシー、MFA 登録、リスクの高いサインイン
2. Entra ID：条件付きアクセス ポリシー、PIM 構成、同意付与
3. AD Connect：同期権限、フィルタールール、デバイスの書き戻し
4. 統合：パススルー認証のセキュリティ、シームレス SSO のリスク

検出事項と修復：

• パススルー認証エージェントが他のワークロードから分離されていません
• 条件付きアクセス ポリシーでレガシー認証が許可されています
• グローバル管理者に永続的なアクセス権が付与されています（PIM なし）
• 未検証の発行元のアプリケーションに同意が付与されています

成果物：

• ハイブリッド ID セキュリティアーキテクチャ図
• Entra ID 条件付きアクセス ポリシーの推奨事項
• AD Connect の強化チェックリスト
• 継続的な監視とアラートのルール

自動化スクリプトと参考資料

AD セキュリティレビュアーのスキルには、以下に配置された包括的な自動化スクリプトと参考ドキュメントが含まれています。

スクリプト（scripts/ ディレクトリ）

• analyze_ad_security.ts：特権グループ、古いアカウント、パスワードポリシー、MFA 登録、不審なサインイン、条件付きアクセス、リスクの高いユーザーを含む、包括的な AD セキュリティ評価を行う TypeScript セキュリティアナライザー
• audit_privileged_groups.ps1：特権グループのメンバーシップ、非アクティブなアカウント、過剰なメンバー数、委任の問題を監査し、HTML レポートを生成する PowerShell スクリプト
• review_delegation.ps1：AD の委任権限を分析し、過剰な委任を特定して、詳細な HTML レポートを生成する PowerShell 委任レビュー スクリプト

参考資料（references/ ディレクトリ）

• security_quickstart.md：インストール、認証、一般的なパターン、調査結果の解釈、監視との統合を説明するクイックスタートガイド
• remediation_patterns.md：特権グループ、アカウントセキュリティ、委任、条件付きアクセス、インシデント対応、コンプライアンス、復旧手順に関する包括的な修復パターン

出力形式

このスキルでは、以下を提供します。

1. エグゼクティブサマリー：セキュリティ態勢の概要
2. 技術分析：証拠を含む詳細な調査結果
3. 修復計画：優先順位を付けたアクション項目
4. 実装スクリプト：修正用のPowerShell/GPOスクリプト
5. 検証手順：修復を確認する手順
6. ロールバック計画：問題が発生した場合の復旧手順