performing-active-directory-compromise-investigation

Active Directory 侵害調査の実施

概要

Active Directory（AD）の侵害調査は、攻撃者がドメインサービスへどのようにアクセスしたか、どのような永続化の仕組みを設置したか、そして認証情報侵害の範囲を特定することに主眼を置く、重要なインシデント対応の機能です。侵害の88%が漏えいした認証情報を伴う（Verizon 2025 DBIR）ことから、AD は企業全体を狙う攻撃の主要な標的となっています。調査担当者は、攻撃チェーンを再構築し、侵害の全体範囲を特定するために、NTDS.dit データベースの整合性、Kerberos のチケット発行活動、グループポリシーの変更、レプリケーションのメタデータ、特権グループのメンバーシップ変更を分析する必要があります。

使用するタイミング

• 能動的 Directory の侵害調査を伴うセキュリティ評価を実施する場合
• 関連するセキュリティイベントに対してインシデント対応手順に従う場合
• 定期的なセキュリティテストまたは監査活動を実施する場合
• 実地テストを通じてセキュリティ管理策を検証する場合

前提条件

• インシデント対応の概念およびツールに関する知識があること
• 安全に実行するためのテスト環境またはラボ環境にアクセスできること
• 必要な依存関係をインストールした Python 3.8 以降の環境があること
• テスト活動に対する適切な承認を得ていること

主な調査領域

1. NTDS.dit データベース分析

NTDS.dit ファイルは、ドメインアカウントのすべてのパスワードハッシュを含む中核的な Active Directory 認証情報データベースです。攻撃者は一般的に、ntdsutil、secretsdump.py、または Mimikatz による DCSync 攻撃などのツールを使用してこのファイルを持ち出します。

検知の指標:

• Event ID 4662: レプリケーション権限を持つディレクトリサービスオブジェクトへのアクセス
• Event ID 4742: ドメインコントローラー上のコンピューターアカウントの変更
• ドメインコントローラー上でのボリュームシャドウコピーの作成（Event ID 8222）
• 通常と異なる ntdsutil.exe または vssadmin.exe の実行
• DC 以外のソースからのレプリケーショントラフィック（DCSync の検知）

2. Kerberos 攻撃の検知

ゴールデンチケットの指標:

• 異常に長い有効期間を持つ TGT（既定値は 10 時間）
• 暗号化タイプ 0x17（RC4）が AES の代わりに使用された Event ID 4769
• 対応する Event ID 4768（AS-REQ）がない状態で発行された TGT
• 存在しないアカウントまたは無効化されたアカウントを参照する Kerberos チケット

シルバーチケットの指標:

• 対応する TGT 要求がないサービスチケット
• 通常と異なるサービス名を含む Event ID 4769
• 偽造された PAC データを含むチケット

Kerberoasting の指標:

• サービスアカウントに対する Event ID 4769 の大量発生
• AES をサポートしているアカウントに対する RC4 暗号化要求
• 通常そのサービスにアクセスしないワークステーションからの要求

3. グループポリシーの悪用

• 新たな権限を付与する GPO の変更（Event ID 5136）
• GPO 経由のスケジュールタスクの配布
• ドメインに追加されたソフトウェアインストールポリシー
• ログオンスクリプトの変更
• 永続化のためのレジストリベースのポリシー変更

4. 特権グループの列挙

以下の重要なグループへの変更を追跡します:

• Domain Admins、Enterprise Admins、Schema Admins
• Account Operators、Backup Operators
• DnsAdmins（DC 上で任意の DLL を実行できる）
• Group Policy Creator Owners
• Protected Users グループのメンバーシップ変更

5. 信頼関係の分析

• 新規に作成されたフォレスト／ドメイン間の信頼（Event ID 4706）
• 権限昇格のための SID 履歴の注入
• 信頼チケットの偽造の指標
• ドメイン間認証の異常

調査手法

フェーズ 1: 範囲の特定と証拠の収集

1. Identify potentially compromised domain controllers
2. Collect Security, System, Directory Service event logs
3. Extract AD replication metadata using repadmin
4. Capture ntdsutil snapshots for offline analysis
5. Collect DNS server logs and zone transfer records
6. Export Group Policy Object configurations
7. Document current privileged group memberships

フェーズ 2: 認証ログの分析

1. Parse Event ID 4624/4625 for logon patterns
2. Identify pass-the-hash indicators (Event ID 4624 Type 3 with NTLM)
3. Analyze Event ID 4768/4769/4771 for Kerberos anomalies
4. Review Event ID 4776 for NTLM authentication failures
5. Cross-reference logon events with known compromised accounts
6. Map lateral movement paths through authentication chains

フェーズ 3: 永続化とバックドアの検知

1. Enumerate AdminSDHolder ACL modifications
2. Check for SID History abuse on accounts
3. Verify krbtgt account password age
4. Audit DSRM password configuration
5. Check for skeleton key malware indicators
6. Review AD Certificate Services for rogue certificates
7. Validate DNS records for poisoning

フェーズ 4: 修復計画の策定

1. Double-rotate krbtgt password (wait replication between rotations)
2. Reset all compromised account passwords
3. Remove unauthorized privileged group members
4. Revoke rogue certificates if AD CS compromised
5. Rebuild domain controllers from clean media if needed
6. Implement tiered administration model
7. Enable Protected Users group for privileged accounts

AD 調査で重要なイベント ID

イベント ID	ソース	説明
4624	Security	ログオン成功
4625	Security	ログオン失敗
4648	Security	明示的な資格情報によるログオン
4662	Security	AD オブジェクトに対する操作
4768	Security	Kerberos TGT の要求
4769	Security	Kerberos サービスチケットの要求
4771	Security	Kerberos の事前認証に失敗
4776	Security	NTLM 資格情報の検証
5136	Security	ディレクトリオブジェクトの変更
5137	Security	ディレクトリオブジェクトの作成
4706	Security	信頼関係の作成
4707	Security	信頼関係の削除
4742	Security	コンピューターアカウントの変更
8222	System	シャドウコピーの作成

AD 調査用ツール

ツール	目的
BloodHound	攻撃経路のマッピングと権限昇格の分析
Pingcastle	AD のセキュリティ評価とリスクスコアリング
Purple Knight	Semperis による AD の脆弱性スキャン
ADRecon	Active Directory データの収集
Mimikatz	資格情報の抽出と Kerberos の分析
Impacket	DCSync の検出と NTLM リレーの分析
Velociraptor	リモートでのフォレンジックアーティファクトの収集
Timeline Explorer	イベントログのタイムライン分析

MITRE ATT&CK マッピング

テクニック	ID	関連性
DCSync	T1003.006	NTDS.dit の資格情報抽出
Golden Ticket	T1558.001	Kerberos TGT の偽造
Silver Ticket	T1558.002	サービスチケットの偽造
Kerberoasting	T1558.003	サービスアカウントのハッシュ抽出
Pass-the-Hash	T1550.002	NTLM ハッシュの再利用
グループポリシーの変更	T1484.001	GPO による永続化
アカウント操作	T1098	特権グループの変更
SID-History インジェクション	T1134.005	権限昇格

参考資料

• CISA：Active Directory の侵害の検出と緩和
• Microsoft：ID 全体の侵害に関するインシデント対応の教訓
• Semperis：Active Directory の主なリスク 10 選
• Fidelis：Active Directory 侵害への対応