【ITニュース解説】SeBackupPrivilege reads any file and ignores the access control list, which is why backup software is a privilege-escalation target

Windowsオペレーティングシステムには、通常のセキュリティモデルを迂回して特定の操作を許可する「特権」と呼ばれる機能がいくつか存在する。その中でも特に重要なのが「SeBackupPrivilege」、通称「バックアップ権限」だ。この権限は、一見するとシステム管理者やバックアップ担当者が使う正当な機能に思えるが、その強力さゆえに、適切な管理がなされていないと、システムへの不正アクセスや特権昇格の主要な標的となり得る。

SeBackupPrivilegeの主な機能は、「ファイルとディレクトリのバックアップ」という名前が示す通り、ファイルやディレクトリに設定されているアクセス制御リスト（ACL）を無視して、それらの内容を読み取ることである。通常のWindows環境では、ファイルやフォルダには誰がアクセスできるか、どのような操作（読み取り、書き込み、実行など）を許可するかを定義するACLが設定されている。しかし、SeBackupPrivilegeを持つプロセスは、このACLによる制限を受けずに、システム上のあらゆるファイルを読み取ることが可能になる。これは、バックアップソフトウェアがシステム全体のデータを漏れなく取得するために不可欠な機能であり、正当な目的のために設計されている。具体的には、この権限を持つアプリケーションが「FILE_FLAG_BACKUP_SEMANTICS」という特定のフラグを使ってファイルを開くと、ACLが拒否するはずの読み取りアクセスが許可される。

このバックアップ権限には、「SeRestorePrivilege」、通称「復元権限」という対となる権限が存在する。SeRestorePrivilegeは、同様にACLを無視してファイルへの書き込みを許可する非常に強力な権限だ。この復元権限を持つことで、バックアップオペレーターはシステム上のあらゆるファイルを上書きでき、例えばシステムの重要なバイナリファイル（プログラム本体）を悪意のあるファイルに置き換えるといった、極めて危険な操作が可能になる。

これらの権限の意図された用途は、システム全体のバックアップと復元を行うエージェントが、通常のユーザーアカウントではアクセスできないファイルも含め、すべてのデータを処理できるようにすることである。しかし、この強力な能力は、悪意のある攻撃者にとって非常に魅力的な標的となる。SeBackupPrivilegeを持つプロセスは、システムのレジストリ情報、ローカルのユーザーアカウント情報が格納されているSAM（Security Account Manager）データベース、さらにはローカルセキュリティ機関（LSA）のシークレット（キャッシュされた資格情報など）といった、極めて機密性の高いファイルを読み取ることができる。これらの情報が悪用されると、オフラインでのパスワードハッシュの解析や、他のシステムへの不正なログオン（パス・ザ・ハッシュ攻撃など）が可能になる。

さらに、SeBackupPrivilegeに加えてSeRestorePrivilegeも持っている場合、攻撃者はさらに危険な行動を取れる。通常は書き込みが許可されないシステムディレクトリに、悪意のあるプログラムファイルを配置し、その後、権限の高いプロセスがその悪意のあるプログラムを実行するのを待つことで、システムを完全に掌握できる可能性がある。これらの特権昇格の手法は、Windows自体に脆弱性があるわけではなく、権限が持つ「正当な」動作を悪用しているため、検出と防御が難しい側面を持つ。

SeBackupPrivilegeは、さまざまな経路でアカウントに付与される可能性がある。代表的なものとしては、「Backup Operators」という組み込みグループのメンバーになること、ローカルセキュリティポリシーによる直接的な付与、Active Directoryのグループポリシーオブジェクト（GPO）を介したサービスアカウントへの付与、あるいは特定の権限で実行されるように設定されたスケジュールされたタスクなどがある。これらの付与経路は管理主体が異なることが多く、組織全体でSeBackupPrivilegeが付与されているすべてのアカウントを正確に把握することは、往々にして困難である。

セキュリティレビューにおいて、このバックアップ権限に関するいくつかの見落としが発生しやすい。まず、「Backup Operators」グループを無害な読み取り専用の役割だと誤解することだ。実際には、このグループのメンバーは機密性の高いシステムファイルにアクセスできる。ドメインコントローラーであれば、Active Directoryのデータベースにもアクセス可能であり、メンバーサーバーであればキャッシュされた資格情報やサービスアカウントの認証情報に到達できる。次に、バックアップソフトウェアを実行するサービスアカウントが、バックアップ以外の操作を行わないと安易に仮定することである。この権限がサービスアカウントに付与されている場合、そのアカウントで実行される他のプロセスも同様にこの強力な権限を継承してしまうため、攻撃者がサービスアカウントの認証情報を入手すれば、その権限を悪用できる。第三に、監査ログの問題がある。バックアップセマンティクスフラグを使用してファイルを読み取った場合でも、通常のファイル読み取りと区別されにくい。また、ファイルアクセス監査ポリシーはログの量が膨大になるため、しばしば無効化されていることがあり、結果としてこの種のアクセスは痕跡を残さないことが多い。

これらのリスクを軽減するためには、いくつかの対策が有効である。まず、SeBackupPrivilegeを付与するアカウントを最小限に絞り込み、汎用的な管理者アカウントではなく、バックアップ専用のアカウントを使用することが重要だ。この専用アカウントは、対話型ログオンを禁止し、他のシステムやサービスでは再利用できないように設定すべきである。次に、可能な限り、常時高い特権を必要としないバックアップ製品の利用を検討する。例えば、ボリュームシャドウコピーサービスやファイルレベルのバックアップサービスは、必要な時にのみ限られた範囲で特権を行使するように設計されており、リスクの範囲を大幅に狭めることができる。さらに、この特権が付与される変更プロセスを厳重に監視し、予期しない権限付与に対してアラートを出す仕組みを構築すべきである。グループメンバーシップの変更、ローカルセキュリティポリシーの変更、最高権限で作成されたスケジュールされたタスクなどは、監査記録が残るため、これらを検出の機会として活用する。最後に、SeRestorePrivilegeはSeBackupPrivilegeよりも高いリスクを持つと認識し、ファイルの読み取りが情報漏洩であるのに対し、ファイルの置き換えはシステム実行権限の奪取に直結するため、復元権限を持つグループはバックアップ権限を持つグループよりもさらに厳しく制限すべきである。

最終的に、システムや資産の所有者は、アカウントにSeBackupPrivilegeが付与されている場合、そのアカウントが組織内のどの個人も通常は読み取れないファイルを読めてしまうのか、そしてもしそのアカウントの認証情報が悪用された場合、どのような事態が発生するのか、という根本的な問いに向き合う必要がある。この問いへの答えは、しばしば所有者の予想をはるかに超える数の機密ファイルを含んでおり、これがバックアップ権限が厳格な管理と定期的な棚卸しを必要とする最も重要な理由となる。