NTLMリレー攻撃：その脅威と対策

NTLMリレー攻撃：その脅威と対策

NTLMリレー攻撃とは

– NTLMリレー攻撃とは

NTLMリレー攻撃は、Windows Serverで使用されている認証システムの弱点をついた攻撃です。

Windows Serverでは、パソコンやサーバーにログインする際に、正しいユーザーかどうかを確認する仕組みが必要です。
この仕組みを認証と呼びますが、NTLMはこの認証を行うための古い方法の一つです。

NTLMリレー攻撃では、攻撃者はサーバーとパソコンなどの間に入り込み、認証に必要な情報を盗み見ます。

本来はパソコンからサーバーに送られるはずの情報が、攻撃者の手に渡ることで、攻撃者はあたかも正規のユーザーであるかのように振る舞うことができるようになります。

これは、ちょうど宅配便を例に例えるとわかりやすいでしょう。

本来、荷物は送り主から受け取り主へ直接届けられるべきですが、途中で誰かが荷物を横取りし、中身を盗み見した上で、受け取り主に届けたとします。

受け取り主は、荷物が途中で盗み見されていたことに気づかず、攻撃者は荷物の内容を知ることができてしまいます。

NTLMリレー攻撃もこれと同じように、本来やり取りされるべきではない情報が攻撃者に渡ってしまうことで、システムへの不正アクセスを許してしまう危険性があります。

攻撃の手口

– 攻撃の手口
コンピュータネットワークにおける攻撃の一例として、NTLMリレー攻撃と呼ばれる手法があります。

この攻撃では、まず攻撃者はサーバーとクライアント間の通信経路上に侵入し、あたかも中継地点のように位置します。そして、クライアントがサーバーに対して認証を要求する通信を、攻撃者は密かに傍受します。

認証の過程で、サーバーはクライアントに対して認証のための質問（チャレンジ）を送信します。攻撃者はこのやり取りを盗聴し、サーバーからのチャレンジの内容を把握します。

次に、攻撃者はクライアントになりすまし、盗み見たチャレンジに対する回答をサーバーに送信します。サーバーは、受け取った回答が正しいと判断すると、攻撃者を正当なクライアントだと誤認し、アクセスを許可してしまうのです。

このように、NTLMリレー攻撃は、攻撃者がサーバーとクライアント間の通信を中継し、認証情報を盗み見て悪用することで、不正なアクセスを実現する攻撃手法です。

具体的な攻撃例

– 具体的な攻撃例NTLMリレー攻撃は、その仕組み上、様々なバリエーションが存在し、攻撃者は状況に合わせて攻撃手法を変化させてきます。ここでは、代表的な二つの攻撃例を通して、その脅威を具体的に見ていきましょう。一つ目は、「PetitPotam攻撃」と呼ばれる攻撃手法です。この攻撃は、Windowsネットワークで広く利用されている機能の脆弱性を突くことで、攻撃者が正規のドメインコントローラになりすますことを可能にします。ドメインコントローラは、ネットワーク全体のユーザー認証やアクセス制御を一括管理する、いわばネットワークの心臓部です。攻撃者は、この重要拠点になりすますことで、システム全体を掌握しようと試みるのです。二つ目は、2023年に発見されたMicrosoft Outlookの脆弱性「CVE-2023-23397」を悪用した攻撃です。この脆弱性は、攻撃者によって悪用されると、ユーザーが気付かないうちにNTLMハッシュと呼ばれる認証情報を盗み出すことが可能になります。NTLMハッシュは、ネットワーク上のリソースへのアクセスに利用される重要な情報であり、これが盗まれると、攻撃者はユーザーになりすましてシステムに侵入できてしまいます。この脆弱性は、NTLMリレー攻撃と組み合わせることで、さらに危険度が増すことが懸念されています。このように、NTLMリレー攻撃は、単独でも脅威となりえますが、他の脆弱性と組み合わされることで、より深刻な被害をもたらす可能性があります。そのため、企業や組織は、常に最新のセキュリティ対策を講じることが重要です。

脅威と影響

– 脅威と影響NTLMリレー攻撃が成功した場合、企業は様々な脅威にさらされる可能性があります。攻撃者は、盗み出した認証情報を悪用し、機密情報へのアクセス、システムの改ざん、サービスの妨害といった悪質な行為を実行することが可能になります。特に、企業ネットワークにおいては、ドメインコントローラが攻撃対象となるケースが非常に危険です。ドメインコントローラは、ネットワーク全体のユーザー認証やセキュリティポリシーの管理などを一手に担う重要なサーバーです。もしも攻撃者によってドメインコントローラが乗っ取られてしまうと、企業ネットワーク全体が攻撃者の支配下に置かれ、機密情報の大量窃取やシステムの完全な掌握といった、甚大な被害が発生する可能性があります。具体的な被害としては、顧客情報や財務データなどの機密情報の漏洩、業務システムの改ざんによる業務妨害、ランサムウェアによるシステムの暗号化などが考えられます。これらの被害は、企業の評判失墜、多額の金銭的損失、業務の長期停止など、深刻な影響をもたらす可能性があります。NTLMリレー攻撃は、その仕組み上、攻撃が成功しやすいという特徴があります。そのため、企業は、NTLMリレー攻撃に対する対策を早急に講じる必要があります。具体的には、NTLM認証の無効化、多要素認証の導入、ネットワークのセグメント化などの対策を検討する必要があります。これらの対策を組み合わせることで、NTLMリレー攻撃のリスクを大幅に低減することができます。

対策

– 対策

NTLMリレー攻撃から大切な情報を守るためには、いくつかの対策を組み合わせることが重要です。

まず、攻撃者が悪用するNTLM認証の使用を止めることが重要です。
その上で、Kerberosなど、より安全な認証方法に移行することが推奨されます。
Kerberosは、NTLMよりも強力な暗号化方式を使用しており、リレー攻撃を受けにくいためです。

認証方法の変更に加えて、ネットワークを分割し、重要なシステムを隔離することも有効な手段です。
ネットワークを分割することで、仮に攻撃者が一つの区画に侵入したとしても、他の区画へのアクセスを制限することができます。

さらに、ファイアウォールを適切に設定し、不正なアクセスを遮断することも重要です。
ファイアウォールは、ネットワークの境界に設置され、外部からの不正アクセスを防ぐ役割を担います。

これらの対策に加えて、一つのIDとパスワードだけでなく、複数の認証要素を組み合わせる多要素認証の導入も有効です。
多要素認証は、パスワードに加えて、スマートフォンアプリや専用端末などで生成されるワンタイムパスワードなどを要求することで、セキュリティを強化します。

最後に、システムやソフトウェアのアップデートは常に最新の状態に保つことが重要です。
古いシステムやソフトウェアには、攻撃者に悪用される可能性のある脆弱性が含まれている可能性があります。

これらの対策を総合的に実施することで、NTLMリレー攻撃のリスクを大幅に低減し、システムと情報の安全性を確保することができます。