Zerologon：ドメインコントローラを脅かす脆弱性

Zerologon：ドメインコントローラを脅かす脆弱性

Zerologon：ドメインコントローラを脅かす脆弱性

セキュリティを高めたい

『Zerologon』って、何だか怖い名前だけど、どんなものなの？

情報セキュリティ専門家

そうだね、『Zerologon』はコンピューターのセキュリティの穴と言えるもので、悪用されると大変危険なんだ。簡単に言うと、鍵のかかっていないドアから侵入するようなものかな。

セキュリティを高めたい

鍵のかかっていないドア？ということは、誰でも侵入できてしまうの？

情報セキュリティ専門家

そうなんだ。この『Zerologon』という穴があると、本来入る権利のない人でも、コンピューターの中に入って、重要な情報を見たり、操作したりできてしまう可能性があるんだ。

Zerologonとは。

「Zerologon」っていう言葉は、コンピューターのセキュリティにおいて、２０２０年に発見されたウィンドウズの弱点のことを指します。この弱点は、「Netlogon」っていう、ウィンドウズがネットワーク上で情報をやり取りするときに使う仕組みの中に見つかりました。悪意のある人がこの弱点を利用すると、「ドメインコントローラー」っていう、ネットワークの管理を行う重要なコンピューターに不正に侵入できてしまうんです。そして、そのコンピューターになりすまして、ネットワーク上の他のコンピューターにも自由にアクセスできてしまう危険性があります。実際に、この「Zerologon」を使った攻撃が確認されていて、様々な組織が注意を呼びかけています。この問題は、「Netlogon」で使われている暗号の仕組みに欠陥があったことが原因で、本来ならば秘密裏に行われるべき通信内容が盗み見られてしまったり、本来は許可されていない人がシステムに侵入できてしまったりする可能性があります。「EarthLusca」や「FIN7」、「WizardSpider」といった、高度な技術を持った攻撃者集団がこの「Zerologon」を悪用していることが分かっています。

脆弱性概要

– 脆弱性概要

2020年に発見されたZerologon（CVE-2020-1472）は、Windowsの重要な機能であるActive Directoryに深刻な影響を与える脆弱性です。Active Directoryは、企業内のコンピュータやユーザーの情報を一元管理し、アクセス制御を行う重要な役割を担っています。

この脆弱性は、Active Directoryの中枢であるドメインコントローラ間の通信に使用されるNetlogonプロトコル（MS-NRPC）に存在します。Netlogonプロトコルは、ドメインコントローラ同士が安全に通信し、互いに認証を行うために設計されたものですが、Zerologonはこのプロトコルにおける暗号化の欠陥を突くことで、攻撃者に悪用される危険性があります。

具体的には、Netlogonプロトコルでセッション開始時に使用する暗号鍵を生成する際に、本来はランダムであるべき初期化ベクトル（IV）が固定値に設定されているという脆弱性です。攻撃者はこの脆弱性を悪用し、特別な細工を施した通信を行うことで、ドメインコントローラになりすますことが可能になります。

ドメインコントローラになりすますことに成功した攻撃者は、Active Directory全体に対する制御権を獲得し、組織内の機密情報へのアクセス、ユーザーアカウントの乗っ取り、システムの改竄など、甚大な被害をもたらす可能性があります。そのため、Zerologonは極めて危険度の高い脆弱性として認識されており、早急な対策が必要です。

脆弱性名	発見年	影響を受けるシステム	プロトコル	脆弱性の内容	攻撃による影響
Zerologon (CVE-2020-1472)	2020年	Windows Active Directory	Netlogon (MS-NRPC)	Netlogonプロトコルでセッション開始時に使用する暗号鍵生成において、初期化ベクトル(IV)が固定値に設定されている。	– ドメインコントローラへのなりすまし – Active Directory全体の制御権の奪取 – 機密情報へのアクセス – ユーザーアカウントの乗っ取り – システムの改竄

攻撃の影響範囲

– 攻撃の影響範囲

Zerologonの脆弱性を突かれた場合、攻撃者はドメインコントローラを完全に掌握してしまう可能性があります。ドメインコントローラは組織内の重要な情報を管理する心臓部のような存在です。ここを乗っ取られるということは、組織にとって致命的なダメージに繋がりかねません。

具体的には、攻撃者はActive Directoryデータベースを自由に改竄できるようになります。Active Directoryデータベースは、組織内のユーザーアカウントやコンピュータの情報、アクセス権限などを一元管理しているデータベースです。ここが改竄されると、正規のユーザーになりすましてシステムに侵入されたり、重要なデータが盗まれたりする危険性があります。

さらに、攻撃者は偽のユーザーアカウントを自由に作成することも可能になります。なりすまし用のアカウントを作られ、気づかずに重要な情報を盗み見られるかもしれません。また、組織全体に悪意のあるソフトウェアを拡散させることも容易になります。

Zerologonの脆弱性は、ドメインコントローラの掌握だけに留まらず、組織内の他のシステムへの足がかりとして悪用される可能性もあります。ドメインコントローラを起点として、他のサーバーや端末に侵入し、機密データの盗難や業務システムの妨害といったさらなる攻撃を仕掛けてくるかもしれません。

このように、Zerologonの脆弱性は、組織全体に甚大な被害をもたらす可能性のある危険な脆弱性です。早急な対策が必要です。

影響範囲	具体的な脅威
ドメインコントローラの掌握	– Active Directoryデータベースの改竄 – ユーザーのなりすまし – 悪意のあるソフトウェアの拡散
組織全体への影響	– 機密データの盗難 – 業務システムの妨害 – 更なるシステムへの侵入

悪意のある活動

– 悪意のある活動

Zerologonの脆弱性は、もはや机上の空論ではなく、現実の世界で悪用され始めています。高度な技術と豊富な資金を持つサイバー犯罪集団が、この脆弱性を巧みに利用し、世界中の組織に深刻な被害をもたらしています。

実際に、Earth Lusca、FIN7、Wizard Spiderといった悪名高いサイバー犯罪集団が、Zerologonを悪用して、標的とする組織のネットワークに侵入し、機密情報を盗み出すなどの攻撃を仕掛けていることが確認されています。これらの犯罪集団は、国家の支援を受けているとされ、その目的は金銭の獲得や政治的な目的を達成することなど様々です。

Zerologonの脆弱性は、政府機関、金融機関、重要インフラストラクチャ関連企業といった、機密性の高い情報を扱う組織にとって特に脅威となっています。これらの組織は、国家の安全保障や経済活動に大きな影響を与える可能性があり、サイバー攻撃の格好の標的となっています。

Zerologonの脆弱性を悪用した攻撃は、今後も増加することが予想されます。組織は、早急に適切な対策を講じ、サイバー攻撃から身を守る必要があります。

脆弱性	悪用状況	影響を受ける組織	攻撃者	目的
Zerologon	現実世界で悪用され始めており、深刻な被害が出ている	政府機関金融機関重要インフラストラクチャ関連企業	Earth Lusca FIN7 Wizard Spider	金銭の獲得政治的目的の達成

対策と緩和策

– 対策と緩和策Zerologon と呼ばれる脆弱性は、企業ネットワークに侵入するための糸口を攻撃者に与えかねない深刻な脅威です。そのため、組織は早急に対策を講じ、被害を未然に防ぐ必要があります。最も重要な対策は、マイクロソフト社が提供するセキュリティパッチを、影響を受ける可能性のある全てのシステムに適用することです。このパッチは、Zerologon 攻撃の起点となる脆弱性を解消するために特別に開発されたものであり、適用することで攻撃のリスクを大幅に低減できます。しかし、セキュリティ対策はパッチの適用だけで十分ではありません。パッチ適用に加えて、多層的な防御策を講じることで、より強固なセキュリティ体制を構築することが重要になります。例えば、ネットワークの境界を強化し、不正なアクセスを遮断するファイアウォールや侵入検知システムの導入が有効です。また、仮に攻撃者がネットワークに侵入した場合でも被害を最小限に抑えるために、システムへのアクセス権限を必要最低限に制限することも重要です。さらに、パスワードだけに頼らない、多要素認証を導入することで、不正アクセスのリスクを大幅に低減できます。二段階認証や生体認証などを組み合わせることで、より強固な認証システムを構築することが可能です。そして、これらの対策に加えて、定期的なセキュリティ監査を実施し、システムの脆弱性を把握しておくことも重要です。監査によって発見された脆弱性は、速やかに修正することで、攻撃のリスクを低減することができます。Zerologon の脅威から組織を守るためには、これらの対策を総合的に実施し、セキュリティレベルを継続的に向上させていくことが重要です。

対策	詳細
セキュリティパッチの適用	マイクロソフト社が提供するセキュリティパッチを、影響を受ける可能性のある全てのシステムに適用する。
ネットワーク境界の強化	ファイアウォールや侵入検知システムを導入し、不正なアクセスを遮断する。
アクセス権限の制限	システムへのアクセス権限を必要最低限に制限することで、万が一攻撃者が侵入した場合でも被害を最小限に抑える。
多要素認証の導入	パスワードだけに頼らない多要素認証 (二段階認証や生体認証など) を導入することで不正アクセスのリスクを大幅に低減する。
定期的なセキュリティ監査	定期的なセキュリティ監査を実施し、システムの脆弱性を把握し、速やかに修正する。

教訓と重要性

Zerologonの事例は、セキュリティ対策の欠陥が、どれほどの深刻な影響を及ぼす可能性があるのかを、改めて私たちに教えてくれる重要な出来事でした。
企業や組織は、常に最新の脅威に関する情報を収集し、自らのシステムが抱える脆弱性を把握しておく必要があります。そして、発見された脆弱性に対しては、速やかに対応していくことが重要です。そのためにも、日頃からセキュリティ対策を最新の状態に保ち続ける必要があります。

また、万が一、サイバー攻撃を受けてしまった場合でも、被害を最小限に抑え、速やかに対応できるように、事前に対応計画を立てておくことが重要です。
対応計画に基づいた訓練を定期的に実施することで、いざという時に、落ち着いて行動できる体制を整えることが大切です。
Zerologonのようなセキュリティの脆弱性が見つかった場合、迅速で適切な対策を講じることで、組織の安全を確保し、サイバー攻撃から大切な情報資産を守ることができます。