Active Directoryへの脅威：PetitPotamとは

Active Directoryへの脅威：PetitPotamとは

はじめに

– はじめに

今日のビジネスにおいて、企業ネットワークは欠かせない存在となっています。そして、そのネットワークを支える重要な技術の一つに、Active Directory（AD）があります。ADは、社内のユーザー情報やコンピュータ情報を一元管理し、アクセス権限の制御や認証を行うことで、円滑な業務遂行を陰ながら支えています。

しかし、その重要性ゆえに、ADはサイバー攻撃者にとっても格好の標的となっています。もしADが攻撃を受けてしまうと、企業の情報資産が盗まれたり、システムが正常に動作しなくなったりするなど、甚大な被害が発生する可能性があります。

近年、PetitPotamと呼ばれる新たなサイバー攻撃手法が確認され、セキュリティ関係者の間で注目を集めています。PetitPotamは、ADの脆弱性を悪用し、本来は信頼できる通信経路を装って不正なアクセスを可能にする、非常に巧妙な攻撃手法です。この攻撃により、攻撃者は企業の機密情報にアクセスしたり、システムを乗っ取ったりすることができてしまいます。

本稿では、PetitPotamによる脅威の実態とその対策について詳しく解説していきます。企業が安全なネットワーク環境を構築し、サイバー攻撃から貴重な情報資産を守るためには、PetitPotamのような新たな脅威に対する理解を深め、適切な対策を講じることが不可欠です。

PetitPotamの概要

– PetitPotamの概要PetitPotamは、2021年に発見された、Windows Serverにおけるセキュリティの欠陥であり、悪用されると攻撃者がドメインコントローラーになりすますことを可能にしてしまいます。PetitPotam攻撃では、Microsoft Windowsの持つ、MS-EFSRPCと呼ばれる、ファイル配信サービスの遠隔通信に関する機能の脆弱性を突かれます。攻撃者はこの脆弱性を悪用し、NTLM認証のリレー攻撃を行います。NTLM認証とは、Windowsネットワークにおける認証方式の一つです。リレー攻撃とは、認証要求を本来の送信先ではないサーバーに転送することで、認証を突破しようとする攻撃です。具体的には、攻撃者はまず、標的のサーバーになりすまして、MS-EFSRPCを使って、ドメインコントローラーに対して認証要求を行います。ドメインコントローラーは、だまされて攻撃者のサーバーに対して認証応答を返します。攻撃者はこの応答を盗聴し、本来の標的サーバーになりすまして認証を突破します。その結果、攻撃者はドメイン管理者権限を取得できてしまいます。これは、企業ネットワーク全体を管理する権限を意味するため、攻撃者にネットワーク全体を掌握されてしまう可能性があります。PetitPotamは、広く利用されているWindows Serverの機能を悪用するため、影響範囲が広く、極めて危険な脆弱性と言えるでしょう。

攻撃の手口

– 攻撃の手口

「PetitPotam攻撃」は、巧妙な手段を用いて企業ネットワークの支配を狙う危険な攻撃です。攻撃者は、まず、ネットワーク内に侵入するための足掛かりを築きます。これは、セキュリティの脆弱な機器を見つけ出し、そこを突破口として利用することによって行われます。

侵入に成功すると、攻撃者は次の段階として、ネットワークの中核を担う「ドメインコントローラー」に狙いを定めます。ドメインコントローラーは、ネットワーク上のユーザーや機器の認証情報を管理しており、いわばネットワーク全体の「鍵」を握る重要な役割を担っています。

攻撃者は、侵入した機器から、特殊な細工を施したリクエストをドメインコントローラーに向けて送信します。このリクエストは、一見すると正規の通信のように見えるため、ドメインコントローラーは悪意のあるものだと気付かずに応答してしまいます。

そして、これが攻撃の核心部分ですが、ドメインコントローラーはリクエストへの応答として、本来秘匿すべき重要な情報である「NTLM認証情報」を送信してしまいます。攻撃者は、まんまと手に入れたこの認証情報を悪用し、あたかも正規のユーザーであるかのようにドメインコントローラーになりすますことで、ネットワーク全体へのアクセス権を奪取してしまうのです。

PetitPotamの脅威

– PetitPotamの脅威PetitPotam攻撃は、Windowsのネットワーク認証プロトコルであるNTLM認証のリレーに悪用される脆弱性を突いた攻撃です。この攻撃が成功すると、攻撃者は正規のユーザーになりすまして、標的のシステムにアクセスできるようになってしまいます。PetitPotam攻撃によって引き起こされる被害は深刻です。攻撃者は、機密データの盗難、システムの改ざん、ランサムウェアの拡散など、様々な悪意のある行為を行うことが可能になります。特に、ドメインコントローラーは企業ネットワークの中枢を担っているため、そのセキュリティが侵害されると、企業全体に壊滅的な被害をもたらす可能性があります。PetitPotam攻撃からシステムを守るためには、いくつかの対策を講じることが重要です。まずは、NTLM認証のリレー攻撃を防止するために、可能な限りKerberos認証などのより安全な認証プロトコルを使用するように設定を変更する必要があります。また、ネットワークセグメンテーションを実施することで、仮に1つのシステムが侵害された場合でも、被害を最小限に抑えることができます。さらに、最新のセキュリティパッチを適用して、システムを常に最新の状態に保つことも重要です。PetitPotam攻撃は、企業ネットワークに深刻な被害をもたらす可能性のある危険な攻撃です。企業は、この攻撃の脅威を認識し、適切な対策を講じることで、システムやデータを守ることが重要です。

対策

– 対策
PetitPotam攻撃からシステムを守るためには、いくつかの有効な対策が存在します。これらの対策を組み合わせることで、より強固な防御体制を築くことができます。

まず、マイクロソフトが公開しているセキュリティパッチを速やかに適用することが重要です。このパッチはPetitPotam攻撃の脆弱性に対処するために作られており、システムを最新の状態に保つことで攻撃のリスクを大幅に減らすことができます。

次に、NTLM認証の使用を制限することが有効です。PetitPotam攻撃はNTLM認証の脆弱性を突くため、Kerberos認証など、より安全な認証プロトコルへの移行を検討する必要があります。

さらに、ネットワークのセグメンテーションも重要な対策です。これは、ネットワークを複数の区画に分割することで、仮に一部が攻撃を受けた場合でも、他の区画への影響を最小限に抑えることができます。

加えて、多要素認証の導入も有効な対策となります。これは、パスワードに加えて、スマートフォンアプリなどで生成されるワンタイムパスワードなど、複数の要素を組み合わせて認証を行うことで、仮にパスワードが漏洩した場合でも、不正アクセスを防ぐことができるようにするものです。

これらの対策を講じることで、PetitPotam攻撃のリスクを大幅に低減し、システムを安全に保つことができます。