【ITニュース解説】35,111 responses contain the AD FS login path, and 20,623 of them answer on 443

AD FS（Active Directory Federation Services）は、多くの組織で使われている重要なITコンポーネントの一つだ。これは、簡単に言えば、会社で使っているWindowsのユーザーアカウント（Active Directory）を、インターネット上の様々なアプリケーションで使えるようにするための仕組みだ。具体的には、普段使っているWindowsのパスワードを使って、Office 365やSalesforceのようなクラウドサービスにも一度のログインでアクセスできるようにする「シングルサインオン（SSO）」を実現する。AD FSは、Windowsのユーザー情報を、他のアプリケーションが理解できる「トークン」という形式に変換して発行する役割を担っている。このトークンは、そのユーザーが正式な利用者であることを証明する身分証明書のようなものだと考えると良い。

今回の調査は、世界中のWebサーバーがAD FSのログインパスを公開している状況や、そのセキュリティ上の意味合いを明らかにするものだ。調査は、ZoomEyeというサイバースペース検索エンジンを使って行われた。これは、インターネット上に公開されているサーバーの情報を収集・分析するツールで、特定のキーワードやパターンを持つサーバーを見つけ出すことができる。

調査結果はいくつかの興味深いデータを示している。まず、HTTPの応答ボディの中にAD FSのログインパスである「/adfs/ls」という文字列を含むサーバーが35,111件見つかった。このパスはAD FSのログインページやリダイレクト、エラーページなどで使われるため、そのサーバーがAD FSに関連する機能を提供している可能性が高いことを示唆している。この35,111件のうち、20,623件（約59%）はポート443で応答していた。ポート443は、インターネット上で安全な通信を行うために使われるHTTPS（SSL/TLS暗号化通信）の標準ポートだ。このことは、多くのAD FS関連サービスがセキュリティを考慮してHTTPSで通信していることを示している。残りの約41%が他のポートで応答していたことには、リバースプロキシ（Webサーバーの前に立ち、クライアントからのリクエストを後ろのサーバーに振り分ける役割）がSSL/TLS通信を終了させているケースや、本来インターネットに公開されるべきではない内部ネットワークのAD FSが誤ってインデックスされてしまったケースなどが含まれる可能性がある。

次に、Webページのタイトルに「adfs」という単語を含むサーバーは290件と非常に少なかった。これは、MicrosoftがAD FSのサインインページを、製品名ではなく利用している組織自身の名前にブランディングするように設計しているためだ。企業ロゴや会社名が表示されるのが一般的で、製品名そのものが表示されることはほとんどない。このため、タイトル情報だけでAD FSサーバーを見つけ出すのは難しいことがわかる。

最も件数が多かったのは、SSL/TLS証明書の共通名（Common Name: CN）に「adfs」という文字列を含むサーバーで、53,359件に上った。SSL/TLS証明書は、Webサイトの運営者が誰であるかを証明し、通信を暗号化するために使われるデジタル証明書だ。共通名はその証明書がどのドメイン名に対して発行されたかを示す。しかし、この「adfs」を含む証明書の件数は、そのままAD FSサーバーの数を示すわけではない。なぜなら、AD FSサーバーの前に配置されるロードバランサー（複数のサーバーに負荷を分散する装置）や、会社のAD FSプロジェクトに関連する名前が付けられたメールゲートウェイ、あるいは社内サーバーなど、AD FS自体ではない様々な機器やサービスがこの名前を含む証明書を使っている可能性があるからだ。システム管理者がサービス名に関連する名前を証明書に付ける習慣があるため、この数字はAD FSに関連する何らかのインフラが存在する可能性を示唆するが、実際のAD FSサーバー数を直接表すものではない。これは、管理者が特定の名前を選ぶ傾向、つまり意図を示すシグナルとしては有効だが、正確なサーバー数を把握する指標としては不十分だ。

なぜAD FSサーバーがこれほど注目され、その存在が調査されるのか。それは、AD FSが「シングルサインオンの信頼のアンカー」と呼ばれる、極めて重要な位置付けにあるからだ。信頼のアンカーとは、システム全体のセキュリティを支える根本的な信頼源を指す。Microsoftのセキュリティモデルでは、AD FSサーバーは「ティアーゼロ資産」と位置付けられている。これは、もしAD FSサーバーが攻撃者に侵害された場合、その組織全体のセキュリティが根底から揺らぎ、甚大な被害が発生する可能性があることを意味する。

具体的に何が起きるのか。もし攻撃者がAD FSサーバーの署名キー（トークンにデジタル署名をするための秘密鍵）や、サーバーの管理アカウントを乗っ取った場合、攻撃者は「偽のトークン」を自由に発行できるようになる。この偽のトークンは、正規のユーザーがログインした際に発行されるトークンとまったく同じように見え、AD FSと連携しているすべてのアプリケーションがこれを信用してしまう。結果として、攻撃者はOffice 365やSalesforceなど、あらゆる連携アプリケーションに正規ユーザーとして不正にアクセスできてしまうのだ。これは、個々のアプリケーションのセキュリティを破ることなく、それらすべてを迂回してアクセスできることを意味する。

このような重大なリスクがあるため、AD FSサーバーは厳重なセキュリティ対策が求められる。AD FSサーバーの外部への公開面は、意図的に最小限に抑えるべきだ。ユーザーが認証するために必要なログインエンドポイント（「/adfs/ls」など）とそのサポートパス以外は、インターネットからアクセスできないようにすることが基本中の基本だ。AD FSサーバー自体の管理インターフェースは、通常のネットワークから完全に隔離された「管理ネットワーク」など、特別なネットワークからのみアクセスできるように制限する必要がある。また、AD FSの管理アカウントは、サーバー上での対話型ログオン（直接ログインして操作すること）以外では使えないように設定し、他のシステムへのログインには利用できないようにすべきだ。

具体的なセキュリティチェックとしては、まず自組織で使っているフェデレーションサービス名と、インターネットに公開されているすべてのエンドポイントをリストアップすることが推奨される。そして、その中でインターネットから到達可能なパスが、ログインエンドポイントと、認証に必要な付随するパスだけであることを確認する。次に、AD FSサーバーの管理インターフェースが、セキュアな管理ネットワークのみからアクセス可能であり、管理アカウントが他の場所で対話型ログオンに利用できないことを検証する。

SSL/TLS証明書についても注意が必要だ。証明書の共通名が「adfs」を含んでいる場合、それが本当にAD FSサーバーのものなのか、あるいはロードバランサーや古いサーバーのものなのかを確認すべきだ。もし、証明書に示されたサービス名を持つホストが、もはやそのサービスを実行していない場合、それは「残り物」の証明書であり、セキュリティリスクやシステム構成のずれ（インベントリドリフト）を示す最初の兆候となり得る。不要な証明書や古い証明書は適切に管理または削除する必要がある。

今回の調査結果のような情報を継続的に監視することは、組織のセキュリティを維持する上で非常に重要だ。特に、HTTPボディにAD FSのログインパス「/adfs/ls」を含む応答の数は、月ごとに監視する価値がある。このパスは、AD FSサービスが展開されたり削除されたりしない限り変わらないため、この数字の増減は、組織のAD FS環境に何らかの変化があったことを示唆する意味のある指標となるからだ。このような継続的な監視を通じて、組織はセキュリティ上のリスクを早期に発見し、適切な対策を講じることが可能になる。