前回（第2回）の記事では、ファイブアイズ（Five Eyes）でも重大な攻撃手法として扱われる「ゴールデンチケット／シルバーチケット」について解説しました。
これらの攻撃は、Kerberos認証の仕組みを悪用し、長期間かつ広範囲に影響を及ぼす可能性があり、その成立には「KRBTGTの秘密情報」など、AD内部の機密情報が前提となる点が重要です。

本記事では続編として、ファイブアイズ（Five Eyes）のガイダンスでも重要視されるチケット偽造攻撃の“前段階”として頻繁に利用される「DCSync（ADから秘密情報を引き出す手法）」を取り上げます。また、このリスクに対してTenable Identity Exposureで何が可視化できるのか、について解説します。

DCSyncとは、Active Directory（AD）のレプリケーション機能を悪用し、ドメイン内のユーザー情報やパスワードハッシュを取得する攻撃手法です。
通常、ドメインコントローラ（DC）は複数存在し、互いにユーザー情報を同期（レプリケーション）します。DCSyncでは、攻撃者がこの「同期処理を要求する側」になりすますことで、正規機能を通じて情報を取得します。

出典元：Australian Cyber Security Centre,
"Detecting and Mitigating Active Directory Compromises"
https://www.cyber.gov.au/business-government/detecting-responding-to-threats/detecting-and-mitigating-active-directory-compromises
CC BY 4.0ライセンスに基づき掲載。図は筆者にて日本語化。（閲覧日：2026年7月2日）

Active Directoryでは、ドメインコントローラ（DC）同士がDirectory Replication Service（DRS）と呼ばれる仕組みを用いて、ユーザー情報やパスワードハッシュなどのディレクトリ情報を同期しています。
この同期は、DC間で以下のような処理として行われます。

1. 同期を要求するDCが、対象DCに対してレプリケーション要求（DRSリクエスト）を送信
2. 要求を受けたDCが、変更されたディレクトリ情報を抽出
3. 応答として、変更内容（ユーザー情報やパスワードハッシュなど）を返却

DCSyncでは、この「レプリケーション要求のプロトコル（DRSUAPI）」をそのまま利用し、攻撃者の端末からDCに対して同期要求を直接送信します。

その結果、本来はDC間でのみやり取りされるはずの以下の情報が取得されます。

•  ユーザーアカウント情報

•  NTLMハッシュ

•  Kerberos関連の秘密情報

この処理はあくまで正規のレプリケーション動作として扱われるため、DCへのログインやntds.ditの直接取得を伴わない点が特徴です。

DCSync攻撃が成立する前提条件として、攻撃者はActive Directoryのレプリケーション権限を持つアカウントを悪用できる状態である必要があります。
代表的には、次のようなアカウントが該当します。

• Domain Adminsに所属するアカウント

•  Enterprise Adminsに所属するアカウント

•  Replicating Directory Changes および Replicating Directory Changes All の権限を持つアカウント

特に、長年の運用の中で不要な権限が残存している場合や、委任設定が適切に管理されていない場合、意図せずこの条件が満たされることがあります。

DCSyncによって取得された情報は、その後の攻撃に直接利用されます。
例えば、KRBTGTアカウントのハッシュが取得された場合には、前回解説したゴールデンチケット攻撃が成立し、サービスアカウントの場合にはシルバーチケット攻撃へとつながります。

このようにDCSyncは、単独の攻撃手法というよりも、チケット偽造をはじめとした後続攻撃の起点となる極めて重要な技術です。
さらに、通信自体は正規のレプリケーション動作に準じるため、従来のログ監視では異常として検知しにくい点も課題となります。

Tenable Identity Exposureでは、DCSyncに直結するリスクとしてActive Directoryにおけるドメインルート、構成パーティション、スキーマといったルートオブジェクトに設定されたアクセス権（セキュリティ記述子）に着目し、権限の不整合や過剰付与を検出します。

これらのルートオブジェクトは、AD全体に影響を及ぼす重要な領域であり、ここに設定された権限は、そのままディレクトリ全体のセキュリティに直結します。そのため、本来は厳格に管理されるべきですが、運用の中で権限が蓄積・肥大化することで、意図しないアクセスが可能になってしまうケースがあります。

攻撃者がその権限を足がかりとしてディレクトリ情報の取得やレプリケーション操作といったDCSync（およびそれに類似する攻撃）が成立する状態を作り出します。

「露出インジケーター（IoE）」名：

DCSync のような攻撃を許してしまうルートオブジェクトのアクセス許可

検知概要：
ルートパーティション （ドメインルート、設定パーティション、スキーマなど） への正しいアクセス許可設定は、Active Directoryのドメイン全体に影響するものです。正しく設定されていない場合、DCSync とそれに関連する攻撃を許してしまい、AD 環境とそのオブジェクトに脅威を招くことになります。さらに、危険なアクセス許可は、攻撃者によって侵害後の永続的メカニズムとして悪用されるおそれがあります。

※上記の検出結果はドメインルートに付与されたアクセス権のうち、DCSync攻撃を直接実行可能な権限（DS-Replication-Get-Changes-All）と、単体では実行できないもののユーザ／コンピュータ作成やExchange権限などを通じて最終的に当該権限の取得に繋がる可能性がある権限の双方を表示しています。

対策：
ドメインルートオブジェクトに適用されているアクセス許可についてセキュリティ評価を実施し、過剰なアクセス許可の削除や変更を実施してください。ただ、実際の環境では次のような業務上正当なアカウントが DCSync に関係する権限を持つことがあります。
これらは単に削除、変更するのではなく「なぜその権限が必要なのか」、「侵害された場合の影響はどこまでなのか」を明確にした上で管理することが重要です。
本記事では、Tenable Identity Exposure サービスアカウントを例として対策を解説します。

Tenable Identity Exposure のサービスアカウントでは一部の分析機能を実現するために DS-Replication-Get-Changes-All などのレプリケーション権限が付与されている場合があります。そのため、検知されたからといって直ちに権限を削除するのではなく、正当な用途で利用されているアカウントであることを確認することが重要です。

一方でこのアカウントは DCSync を実行可能な高権限アカウントでもあるため、侵害された場合にはドメイン全体へ深刻な影響を及ぼす可能性があります。
そのため、 このようなアカウントをドメイン管理者と同等のTier0アカウント （侵害された場合に Active Directory全体へ影響を及ぼし得る最重要アカウント群）として厳重に保護することが推奨されます。
Tenableではサービスアカウントに対して下記の保護を推奨しています。

• 「ネットワーク アクセス: ネットワーク認証のためにパスワードと認証情報の保存を許可しない」 を [有効] に設定します。
• 「アカウント: Kerberos 事前認証を必須にしない」 を [無効]に設定します。
• 「ネットワーク セキュリティ: Kerberos に許可される暗号化タイプの設定」 が 「このアカウントに Kerberos DES 暗号化タイプを使用する」オプションに選択されていないことを確認します。
• 「アカウント: パスワードの最大有効期限」 でパスワードの有効期限を設定します （たとえば、30 日、60 日、または 90 日にすると PasswordNeverExpires = FALSE となります）。
• 「アカウント: ローカル アカウントでの空白のパスワードの使用をコンソールログオンのみに制限」 を [無効] に設定します。
• 「インタラクティブ ログオン: キャッシュする過去のログオン回数 （ドメインコントローラーが使用できない場合）」 でユーザーが自分のパスワードを変更できるようにするには、「10」など希望する値を設定します。

また、長く複雑なパスワードの使用など一般的なアカウント保護対策も併せて実施することを推奨します。

利用目的や運用上の必要性を確認し、適切なアカウント保護対策を実施した上で、Tenable Identity Exposure のホワイトリスト機能を活用することで不要なアラートを抑制します。これにより本当に注意すべき異常に集中することが可能になります。

ただし、ホワイトリスト登録はリスクを排除するものではありません。正当な利用を識別するための運用機能であることを理解し、高権限アカウントとして継続的な監視と保護を実施することが重要です。

DCSyncは、Active Directoryのレプリケーション機能を悪用することで、ユーザー情報やパスワードハッシュなどの機密情報を取得する攻撃手法です。特別な脆弱性を必要とせず、適切な権限を持つアカウントが存在することで成立し得る点が大きな特徴です。また、取得された情報はゴールデンチケットなどの後続攻撃に直結し、ドメイン全体の侵害へと発展する可能性があります。そのため重要なのは、攻撃の検知だけではなく、DCSyncが成立し得る権限状態そのものを把握することです。

Tenable Identity Exposureを活用することで、こうしたリスクの可視化と早期対処が可能になります。

本記事で解説したDCSyncは、単体で完結する攻撃というよりも、その後に続く認証情報悪用の“起点”となる重要な技術です。

実際の環境では、過去の運用の積み重ねにより、不要になった権限や意図が不明確な設定が残存しているケースが少なくありません。こうした状態は日常の運用では問題として顕在化しにくい一方で、攻撃者にとっては非常に利用しやすい侵入口となります。だからこそ、単発の設定確認や監査だけでなく、継続的に「誰がどの権限を持っているのか」を把握し続ける仕組みが重要になります。

Tenable Identity Exposureは、このような権限構造の見える化を通じて、攻撃が成立する前段階でのリスク把握を支援します。

次回は、同じく認証情報の悪用という観点で密接に関係する「Kerberoasting」について取り上げ、攻撃の仕組みと検知・対策のポイントを解説します。ぜひ、次回もご覧ください。

ファイブアイズ（Five Eyes）連載記事