前回（第3回）の記事では、Active Directory（AD）からパスワードに関する情報を取得する攻撃手法である「DCSync」について解説しました。

しかし、攻撃者が認証情報を入手する方法はDCSyncだけではありません。

Active Directory環境の認証情報を狙う攻撃では、Kerberos認証の正規機能を悪用されることがあります。その代表的な手法の一つが「Kerberoasting」です。

本記事では、Kerberoastingの仕組みや企業に与える影響を分かりやすく解説するとともに、Tenable Identity Exposureを活用してどのようなリスクを事前に把握できるのか、について解説します。

Kerberoastingとは、企業で利用されている正規の認証機能（Kerberos認証）を悪用し、システムやアプリケーションを動かすためのアカウント（サービスアカウント）のパスワードを割り出そうとする攻撃手法です。

多くの企業では、データベースやWebサーバー、メールシステムなどを運用するためにサービスアカウントを利用しています。これらのアカウントは重要なシステムへのアクセス権限を持つことが多く、攻撃者にとって魅力的な標的となります。

特に、パスワードが長期間変更されていないサービスアカウントや、高い権限を持つサービスアカウントが存在する環境では、攻撃が成功した際の影響が大きくなる可能性があります。

Kerberos認証の詳細な仕組みについては、第2回の記事をご参照ください。

Kerberoastingは、Kerberos認証の正規機能を悪用し、サービスアカウントのパスワードを割り出そうとする攻撃です。

Kerberos認証では、一般ユーザーがサービスへアクセスする際に、「サービスチケット（TGS: Ticket Granting Service が発行するチケット）」と呼ばれるアクセス許可情報が発行されます。このサービスチケットには、サービスアカウントのパスワードを基に生成された暗号鍵で保護された情報が含まれています。攻撃者はこのサービスチケットを攻撃者の解析環境へコピーします。その後、サービスアカウントのパスワードを割り出そうとします。

攻撃は、一般的に以下の流れで実施されます。

1. 攻撃者が一般ユーザーとして社内環境へアクセスする
2. 攻撃対象となるSPN（Service Principal Name。サービスとアカウントを関連付ける識別情報）が設定されているサービスアカウントを探し出す
3. サービスチケット（TGS）を正規の手順で取得する
4. 取得したチケットを攻撃者の解析環境へコピーする
5. オフラインでパスワードの割り出しを試みる
6. パスワード解析に成功した場合、サービスアカウントを悪用する

サービスチケットを取得する行為自体は通常のシステム利用でも行われる正規の処理であることです。

そのため、攻撃の準備段階では通常の利用との区別が難しく、ログだけで不審な動きを特定できない場合があります。

また、パスワードの解析は企業の認証システムの外で実施されるため、アカウントロックアウトなどの一般的な認証対策が有効に機能しにくい点も特徴です。

その結果、パスワードが長期間変更されていないサービスアカウントや、強い権限を持つサービスアカウントが攻撃対象となりやすくなります。

Kerberoastingは、サービスアカウントの設定や運用状況によってリスクが大きく変わります。SPNが設定されたサービスアカウントのうち、特に次の条件に当てはまるアカウントは、優先的な確認が必要です。

• サービスアカウントのパスワードが短い、推測しやすい、または長期間変更されていない
• 管理者アカウントがサービスの実行にも使用されている
• サービスアカウントに必要以上の権限が付与されている
• 古い暗号化方式（RC4など）が利用されている
• アカウントの用途や管理責任者が明確になっていない

特にサービスアカウントは、一度設定されると長期間運用されることが多く、用途や権限の見直しが行われないまま利用され続けるケースも少なくありません。
その結果、解析しやすいパスワードや過剰な権限が残存し、Kerberoastingが成功した場合の影響が大きくなる可能性があります。

また、管理者権限などの高い権限を持つアカウントにSPNが設定されている場合、1つのアカウントの侵害が組織全体へ影響を及ぼすおそれがあります。

Kerberoastingによって狙われるサービスアカウントは、データベースやWebサーバー、メールシステムなど、企業にとって重要なサービスで利用されていることが少なくありません。
攻撃者がサービスアカウントのパスワード解析に成功すると、そのアカウントが持つ権限を利用して社内のシステムへアクセスできるようになります。
例えば、次のような被害につながる可能性があります。

• 機密情報や重要な業務データへの不正アクセス
• より高い権限の取得
• 社内の別の端末やシステムへの侵入拡大
• Active Directory環境全体への侵害
• 長期間にわたって不正アクセスを継続するための足がかりの獲得

特に、高い権限を持つサービスアカウントが利用されている場合、1つのアカウントの侵害が組織全体の被害につながることもあります。

また、Kerberoastingは単独で完結する攻撃ではなく、他の攻撃の足がかりとして利用されることが多い点にも注意が必要です。

そのため、サービスアカウントの保護は単なるアカウント管理ではなく、Active Directory全体のセキュリティを守るための重要な対策の一つといえます。

Tenable Identity Exposureを活用すると、Kerberoastingの標的となった場合に大きな被害につながるアカウントを、攻撃が発生する前に把握できます。

Kerberoastingは、SPNが設定されたサービスアカウントを標的とする攻撃です。そのため、どのアカウントが攻撃対象となり得るのか、また侵害された場合にどの程度の影響があるのかを把握することが重要になります。

Tenable Identity Exposureでは、例えば以下のようなリスクを検出できます。

• SPNが設定された特権アカウントが存在する
• サービスアカウントに過剰な権限が付与されている
• Kerberoasting成功時に大きな影響が想定されるアカウントが存在する

Kerberoasting対策では、攻撃を検知するだけでなく、攻撃者に悪用される可能性の高いアカウントを事前に特定し、優先的に改善することが重要です。Tenable Identity Exposureは、そのための継続的なリスクの可視化を支援します。

「露出インジケーター（IoE）」名：
Kerberosサービスを実行する特権アカウント

検知概要：
Kerberoastingでは、SPNが設定されたアカウントが攻撃対象となります。
特に、管理者アカウントなどの特権アカウントにSPNが設定されている場合、攻撃者がパスワードの解析に成功すると、そのアカウントが持つ高い権限を悪用されるおそれがあります。その結果、重要なシステムへのアクセスや、ドメイン全体への侵害につながる可能性があります。

Tenable Identity Exposureは、このようなKerberoastingの標的となり得る特権アカウントを検出し、影響の大きいリスクを優先的に把握できるよう支援します。

検知内容：
下記の検出結果では、AdministratorアカウントにMSSQLサービスのSPNが設定されていることを確認できます。Administratorは特権アカウントであるため、この状態はKerberoastingの標的になり得ることを意味します。

攻撃者がサービスチケットの解析に成功した場合、Administratorアカウントの認証情報が取得され、管理者権限の悪用やドメイン全体への侵害につながる可能性があります。

対策：
Kerberoasting対策としては、攻撃対象となるサービスアカウントそのものを減らすことが重要です。

1. グループ管理サービスアカウント（gMSA）を利用する
   対応するシステムでは、通常のユーザーアカウントではなく、グループ管理サービスアカウント（gMSA）の利用を検討します。gMSAでは長く複雑なパスワードが自動的に管理・更新されるため、パスワードを解析されるリスクを低減できます。
2. サービスアカウントに強い権限を与えない
   gMSAを利用できない場合は、サービス専用の非特権アカウントを使用し、業務上必要な範囲に権限を限定することが重要です。
   管理者アカウントをサービスの実行に利用することは避けるべきです。
3. 強力なパスワードと暗号化方式を利用する
   サービスアカウントには十分に長く複雑なパスワードを設定し、可能な限りAESなどの強力な暗号化方式を利用することを推奨します。これにより、サービスチケットの解析をより困難にできます。

Kerberoastingは、企業で日常的に利用されているKerberos認証の仕組みを悪用し、サービスアカウントの認証情報を取得しようとする攻撃手法です。

この攻撃の特徴は、特別な管理者権限がなくても実行できる場合があり、通常の認証処理との区別が難しいことです。また、攻撃対象となるサービスアカウントが強い権限を持っている場合、機密情報へのアクセスや社内の別システムへの侵入、さらにはActive Directory環境全体への影響につながる可能性があります。

そのため重要なのは、攻撃を検知することだけではなく、攻撃の標的となり得るアカウントや設定を事前に把握することです。特に、SPNが設定された特権アカウントや、長期間運用されているサービスアカウント、必要以上の権限を持つアカウントについては優先的に確認する必要があります。

Tenable Identity Exposureを活用することで、こうしたリスクの高いアカウントや設定を継続的に可視化できます。これにより、攻撃が発生してから対応するのではなく、被害につながる可能性の高い問題を事前に発見し、優先順位を付けて対策を進めることができます。

次回は、同じくKerberos認証を悪用する攻撃手法である「AS-REP Roasting」について取り上げ、攻撃の仕組みと検知・対策のポイントを解説します。次回もぜひご覧ください。

ファイブアイズ（Five Eyes）連載記事