パスワード1つでも大きなリスクに

Active Directoryで見過ごされがちなセキュリティの問題

Active DirectoryはWindowsコンポーネントの中でも過小評価されがちだが、確実に手を打っておきたいセキュリティ問題も存在する。

公開 2009年06月03日 07時30分

更新 2012年09月04日 18時04分

著者

Kevin Beaver

[TechTarget]

印刷する

　Active Directoryは、Windowsの中で最も過小評価され、見過ごされがちなコンポーネントの1つだ。多くの管理者がこれを「ただそこにあって手を掛けなくていいもの」と見なし、セキュリティ面でも大した注意を払わない。だが、確実に手を打っておきたいActive Directoryのセキュリティ問題も存在する。

　わたしが最も気にするのは、ビジネスリスクを最低限に抑えるために使う技術について記した、最低限のセキュリティ手順と基準に関する文書が存在しないことだ。これはActive Directoryにも当てはまる。しかしこの点には、高いレベルの監査を受ければ指摘される以上の問題がある。管理者全員が職務や責務を問わず、それぞれ平等なシステムへのアクセス権を持っているケースを、わたしは数多く見てきた。

　セキュリティ部門を通じてActive Directoryの責任を代表する者がほとんどあるいはまったくいなければ、担当者間の職務分担に関してかなり深刻な問題が発生しかねない。陣容1、2人の小さな部門なら問題にならないかもしれないが、複数の担当者やチームがかかわるような規模の大きい組織の場合、こうした責任の不在があらゆる種類のビジネスリスクにつながる可能性のあることは、想像に難くない。

　個々のフォレスト（Active Directoryの最上位の管理単位）間における片方向の信頼関係を最小限にしか利用していない問題もある。例えば最初は小規模だったネットワークがだんだん大きくなっていった場合、さかのぼって設定をやり直す時間が誰にもないこともある。こうしたケースで、信頼できないDMZフォレストがローカルのフォレストと信頼関係を結んでいると、悪影響が出かねない。中枢的な内部ネットワーク（例えば研究開発部門や法務部門のネットワークなど）が、それよりも大きなActive Directory構造と共存している状況をわたしは目の当たりにしてきた。このような状況では、もしもネットワークの一部がパッチ不在や設定ミス、弱いパスワードなどによって不正アクセスされた場合、すべてが危険にさらされる。

　パスワードと言えばもう聞き飽きたと思うかもしれないが、これについてはセキュリティ上、真剣に考える必要がある。管理者権限を持ったアカウントに脆弱なパスワードが1つあれば、社内の全ユーザーベースを制御できてしまう。そして、そこで入手した情報を使ってリモート攻撃を仕掛ければ、ドメインコントローラーのメモリに保存されているほかのActive Directoryパスワードハッシュをすべて収集できる。Proactive Password Auditorなどの検査ツールを悪用すれば、これが簡単に実行できてしまう。内部の攻撃者がハッシュを入手すれば、その人物がすべてのパスワードをクラッキングするのは時間の問題だ。Active Directoryに保存されているLAN Manager（LM）ハッシュは特に簡単にクラッキングできる。わたしが自著の「Hacking For Dummies」で解説したレインボークラッキング（※1）の手口を使えばなおさらだ。

※1　ハッシュ化されたパスワードを解析する攻撃手法。パスワードに使われる膨大な文字列のハッシュ値と比較することでパスワードを割り出そうとする。

　そのほか一般的なActive Directoryのセキュリティ上の弱点としては、内蔵のMicrosoftコンポーネント機能を超えたセキュリティ管理支援のためのサードパーティー製ツールが最小限にしか利用されていないという問題がある。これは直接的な脅威にはならないが、仕事を効率的にこなすための適切なツールを活用できない問題が生じる可能性がある。Active Directoryに特化してさまざまな分野で役に立ってくれるツールは多数ある。例を挙げると次のようなものだ。

バックアップと復旧（ScriptLogicの「Active Administrator」）
監視とリポート（NetVisionの「Audit for Active Directory」）
変更管理（NetIQの「Change Guardian for Active Directory」）
クリーンアップ（Special Operations Softwareの「Active Directory Janitor」）
セキュリティ分析（Visual Click Softwareの「DSRazor for Windows」）
リアルタイムのセキュリティ管理・調査（IS Decisionsの「UserLock」）

　興味深いことに、ロックアウト用の最もベーシックなGroup Policy Objects（GPO）でさえも、最低限にしか使われていないのが現状だ。Windows環境をさらに効率的に管理するために、監査ポリシーからパスワードポリシー、無線ポリシーに至るまで、あらゆるものが活用できる。これが見過ごされているのは、Windows管理者が火を消すことばかりに忙し過ぎて、時間とリソースが足りないのが原因だとわたしは思う。これはまた、米ネットセキュリティ団体Center for Internet Security（CIS）の「Windows Server 2003 Domain Controller benchmark」や米国防総省の「Active Directory Security Technical Implementation Guide」（PDF文書）といったWindowsのセキュリティ基準が、限定的にしか採用されていない結果でもあると思う。わたしは基準強化とベストプラクティスさえあればActive Directoryを守れると固く信じているわけではないが、それらが役に立つのは確かだ。

　わたしは多くのネットワーク上の「主要な」Active Directoryシステムと、ベーシックなNTLM認証（※2）を使ったWebサイトやアプリケーションに関係する付属的なActive Directoryが結び付いていない例も見てきた。管理を担当する開発者も、最初に設定をした管理者も、メンテナンスについて完全な責任を担っていないため、管理とメンテナンスの両方が後手に回りがちになる。

※2　Windows NT 4.0で採用されていたユーザーログオン時の認証方式。

　最後に、監査や侵入テストの実施者が、信頼できないユーザーとして（例えばログオンせずに）Windowsシステムを調べているのをよく見掛ける。管理者としてログオンし実行するQualysGuardやGFI LANguardといった脆弱性スキャンツールは、非常に重宝することは知っておきたい。

　Windowsドメインコントローラーの脆弱性をテストするのは、ほかのシステムとそれほど変わりないが、これらシステムをできるだけ深く掘り下げる（理にかなう範囲で）意味は確実にある。考えてもみなかった、あるいは悪用されて取り返しのつかないことになった後に発見されていたであろうActive DirectoryやほかのWindowsコンポーネントの問題が見つかるのは確実だ。

本稿筆者のケビン・ビーバー氏は、米Principle Logicの情報セキュリティコンサルタント。講演や監査も手掛ける。専門は独立した立場からのセキュリティ評価。『Hacking For Dummies』『Hacking Wireless Networks For Dummies』（Wiley）など、情報セキュリティに関する7冊の著書および共著書がある。情報セキュリティについてのオーディオブック『Security on Wheels』の制作も手掛け、ブログではIT専門家向けにセキュリティ関連の知識を提供している。

印刷する