【ITニュース解説】How weak passwords and other failings led to catastrophic breach of Ascension

Ascensionという医療機関で発生した大規模なデータ漏洩事件は、現代の企業ネットワークが直面するセキュリティ上の課題を明確に示した。この事件の根底には、Active Directoryという基盤システムの脆弱性を突く巧妙な攻撃手法と、基本的なセキュリティ対策の不備があった。システムエンジニアを目指す者にとって、このような攻撃の仕組みとその対策を理解することは、非常に重要な知識となる。

Active Directory（AD）は、多くのWindowsベースの企業ネットワークにおいて、ユーザー、コンピュータ、その他のネットワークリソースを一元的に管理するための非常に重要なサービスである。従業員のログイン情報から、どのサーバーにアクセスできるか、どのファイルを開けるかといったアクセス権限まで、ADがその管理の中枢を担っている。言わば、企業ネットワーク全体のリソースに対する身分証明書の発行と管理、そしてアクセス制御を一手に引き受ける役割を果たしている。そのため、ADが侵害されると、ネットワーク全体のセキュリティが根本から揺らぎ、甚大な被害につながる危険性がある。

ADにおけるユーザーやサービスの認証には、Kerberosというプロトコルが広く利用されている。Kerberos認証は、ユーザーがネットワーク上のリソース（例えばファイルサーバーやデータベース）にアクセスしようとする際に、信頼できる第三者（ADのドメインコントローラー）が発行する「チケット」を用いることで、安全な通信を確立する仕組みだ。ユーザーはまずADに認証され、Ticket Granting Ticket（TGT）と呼ばれる最初のチケットを受け取る。次に、このTGTを使って、目的のサービスへのアクセス許可を得るためのサービスチケットをADに要求し、それを受け取ってサービスに提示することで、安全にアクセスが開始される。

今回のAscensionの事件で注目された攻撃手法の一つに「Kerberoasting」がある。この攻撃は、Kerberos認証の仕組みの中でも特に「サービスアカウント」と「サービスプリンシパル名（SPN）」の管理の甘さを悪用するものである。サービスアカウントとは、通常のユーザーアカウントとは異なり、特定のアプリケーションやシステムサービスが動作するために使用される特殊なアカウントである。これらのアカウントは、多くの場合、通常のユーザーアカウントよりも高い権限を持っており、システムの重要な部分にアクセスする能力を持つ。

Kerberoasting攻撃の具体的なプロセスは次の通りだ。まず攻撃者は、Active Directoryに対して、ネットワーク上で利用可能なサービスの一覧、具体的にはSPNを問い合わせる。SPNは、特定のサービスがどのサーバーで、どのポートで動作しているかを識別するための名前であり、多くの場合、サービスアカウントと関連付けられている。攻撃者はこのSPNを利用して、Active Directoryのドメインコントローラーに対し、そのサービスにアクセスするためのKerberosサービスチケットの発行を要求する。

通常、サービスチケットは、サービスアカウントのパスワードハッシュで暗号化されて発行される。重要なのは、攻撃者がこの暗号化されたサービスチケットを合法的に取得できる点である。攻撃者は、いったんこのチケットを受け取ると、ネットワークから切断されたオフライン環境で、チケットの暗号を解読しようと試みる。この解読プロセスでは、パスワード候補を試しながら、暗号化されたチケットを復号できるかどうかを確認する。このパスワードの推測と検証のプロセスが「Kerberoasting」と呼ばれる。

この攻撃手法が非常に危険なのは、チケットの解読がオフラインで行われるため、パスワードの試行回数に制限がなく、時間をかけて大量のパスワード候補を試すことができる点にある。特に、サービスアカウントのパスワードが「弱い」、つまり単純な文字列や辞書に載っているような単語であった場合、攻撃者は比較的短時間でパスワードを割り出すことが可能になる。

一度サービスアカウントのパスワードが特定されてしまえば、攻撃者はそのアカウントになりすましてネットワークにアクセスできる。サービスアカウントは多くの場合、高い権限を持っているため、攻撃者は容易にネットワーク内の他の重要なサーバーやシステムに侵入し、権限を昇格させたり、ネットワーク全体を掌握したりする足がかりにする。Ascensionのケースでも、この手法が初期侵入から内部への横展開、最終的な機密データの窃取につながった可能性が指摘されている。

このような事態を防ぐためには、複数のセキュリティ対策を組み合わせることが極めて重要である。まず最も基本的な対策は、強力なパスワードポリシーの徹底である。特にサービスアカウントのパスワードは、非常に長く複雑なものを設定し、定期的に変更することが求められる。弱いパスワードは、Kerberoasting攻撃に対して無防備な状態を作り出す。また、サービスアカウントには、そのサービスが動作するために必要最小限の権限のみを付与する「最小権限の原則」を厳守する必要がある。これにより、万が一アカウントが侵害されても、攻撃者の活動範囲を限定できる。

さらに、多要素認証（MFA）の導入や、Active Directoryに対する不審なアクセスやチケット要求を監視するシステムの導入も不可欠である。不審なKerberosチケット要求を検知するログ監視は、攻撃の早期発見につながる可能性がある。Ascensionの事件は、単一の脆弱性ではなく、複数のセキュリティ上の不備が複合的に作用し、壊滅的な被害につながることを明確に示している。システムエンジニアとして、このような認証基盤の仕組みを深く理解し、常に最新の攻撃手法とその対策を学び続ける姿勢が求められる。