ゴールデン チケット攻撃は、Microsoft の Active Directory インフラストラクチャの弱点を悪用する高度なサイバー攻撃です。攻撃者は、Windows ドメイン内での認証に使用される Kerberos チケットを偽造して、ネットワークへの不正アクセスを許可することができます。この攻撃は、2014 年にセキュリティ研究者の Benjamin Delpy によって初めて発見され、公表されました。それ以来、世界中の IT 管理者や組織にとって大きな懸念事項となっています。
ゴールデンチケット攻撃の起源の歴史
ゴールデン チケット攻撃の起源は、Microsoft の Kerberos 実装における脆弱性の発見にまで遡ります。Kerberos 認証プロトコルは Active Directory のコア コンポーネントであり、ユーザーがネットワーク リソースを認証してアクセスするための安全な方法を提供します。2014 年、「Mimikatz」ツールの作成者である Benjamin Delpy は、Kerberos チケットの発行と検証の方法に弱点があることを特定しました。
Delpy は、ドメイン コントローラへの管理者アクセス権を持つ攻撃者がこれらの脆弱性を悪用してゴールデン チケットを偽造できることを明らかにしました。この偽造されたチケットは、攻撃者の最初のエントリ ポイントが閉じられた後でも、組織のリソースへの永続的なアクセスを取得するために使用される可能性があります。
ゴールデンチケット攻撃の詳細情報
ゴールデン チケット攻撃は、Microsoft の Active Directory インフラストラクチャの 2 つの主要コンポーネントであるチケット保証チケット (TGT) とキー配布センター (KDC) を利用します。ユーザーが Windows ドメインにログインすると、KDC は TGT を発行します。TGT はユーザーの ID の証明として機能し、資格情報を繰り返し入力しなくてもさまざまなリソースへのアクセスを許可します。
ゴールデン チケット攻撃には次の手順が含まれます。
-
認証資料の抽出攻撃者はドメイン コントローラーへの管理アクセス権を取得し、プレーンテキストで保存されている KDC 長期秘密キーなどの必要な認証資料を抽出します。
-
黄金のチケットを偽造する: 攻撃者は抽出した資料を使用して、任意のユーザー権限と非常に長い有効期間（通常は数十年に及ぶ）を持つ TGT を偽造します。
-
持続性と横方向の移動: 偽造されたチケットは、ネットワークへの永続的なアクセスを取得し、システム間を横方向に移動して機密リソースにアクセスし、追加のアカウントを侵害するために使用されます。
ゴールデンチケット攻撃の内部構造
ゴールデン チケット攻撃の内部構造を理解するには、Kerberos チケットのコンポーネントを把握することが重要です。
-
ヘッダ: 暗号化タイプ、チケットタイプ、チケットオプションに関する情報が含まれます。
-
チケット情報: ユーザーの ID、権限、およびアクセスできるネットワーク サービスに関する詳細が含まれます。
-
セッションキー: セッション内のメッセージを暗号化および署名するために使用されます。
-
追加情報: ユーザーの IP アドレス、チケットの有効期限、その他の関連データが含まれる場合があります。
ゴールデンチケット攻撃の主な特徴の分析
ゴールデン チケット攻撃には、強力な脅威となるいくつかの重要な特徴があります。
-
持続性: 偽造チケットの有効期間が長いため、攻撃者は長期間にわたってネットワークへのアクセスを維持できます。
-
特権の昇格攻撃者は、より高いレベルのアクセス権を持つチケットを偽造することで権限を昇格し、重要なシステムやデータに対する制御権を獲得することができます。
-
横方向の動き: 攻撃者は永続的なアクセスにより、ネットワーク全体を横方向に移動して、追加のシステムを侵害し、制御を拡大することができます。
-
ステルス: 攻撃はシステム ログに痕跡をほとんど残さないため、検出が困難です。
ゴールデンチケット攻撃の種類
ゴールデン チケット攻撃には主に 2 つの種類があります。
-
チケットの盗難この方法では、ドメイン コントローラーから KDC 長期秘密キーなどの認証マテリアルを盗みます。
-
オフライン攻撃: オフライン攻撃のシナリオでは、攻撃者はドメイン コントローラーを直接侵害する必要はなく、バックアップやドメイン スナップショットから必要な資料を抽出できます。
以下に 2 つのタイプの比較表を示します。
| タイプ | 攻撃方法 | 複雑 | 検出難易度 |
|---|---|---|---|
| チケットの盗難 | ドメインコントローラへの直接アクセス | 高い | 中くらい |
| オフライン攻撃 | バックアップまたはスナップショットへのアクセス | 中くらい | 低い |
ゴールデンチケット攻撃の使用方法、問題、解決策
ゴールデン チケット攻撃は、組織にとって深刻なセキュリティ上の課題をもたらします。
-
不正アクセス: 攻撃者は機密データやリソースに不正にアクセスし、データ侵害を引き起こす可能性があります。
-
権限昇格: 攻撃者は、高権限のチケットを偽造することで、権限を昇格し、重要なシステムを制御することができます。
-
検出の欠如: 攻撃は痕跡をほとんど残さないため、検出と防止が困難です。
ゴールデン チケット攻撃のリスクを軽減するには、組織は次のソリューションを検討する必要があります。
-
最低特権: 最小権限モデルを実装して、不要なアクセスを制限し、攻撃が成功した場合の影響を最小限に抑えます。
-
定期的なモニタリング: ネットワーク アクティビティを継続的に監視し、疑わしい動作や異常がないか確認します。
-
資格情報管理: キーとパスワードを定期的にローテーションするなど、資格情報管理の実践を強化します。
-
多要素認証: 多要素認証 (MFA) を適用して、セキュリティをさらに強化します。
主な特徴とその他の比較
以下は、ゴールデン チケット攻撃と類似の用語を比較した表です。
| 学期 | 説明 |
|---|---|
| ゴールデンチケットアタック | Kerberos の脆弱性を悪用して不正アクセスを実行します。 |
| シルバーチケットアタック | 不正なリソースアクセスのためのサービス チケットを偽造します。 |
| パス・ザ・チケット攻撃 | 盗まれた TGT または TGS を使用して不正アクセスを行います。 |
未来の展望とテクノロジー
テクノロジーが進化するにつれ、サイバー脅威も進化します。ゴールデン チケット攻撃や関連する脅威に対抗するために、次のテクノロジーがさらに重要になる可能性があります。
-
ゼロトラストアーキテクチャ: デフォルトではユーザーやデバイスを信頼せず、ID とアクセスの継続的な検証を必要とするセキュリティ モデル。
-
行動分析: 異常な動作や資格情報偽造の潜在的な兆候を識別する高度な機械学習アルゴリズム。
-
強化された暗号化: 認証資料が簡単に抽出されないように保護するための、より強力な暗号化方式。
プロキシ サーバーがどのように使用されるか、またはゴールデン チケット攻撃とどのように関連付けられるか
OneProxy が提供するようなプロキシ サーバーは、ネットワーク セキュリティにおいて重要な役割を果たします。プロキシ サーバー自体はゴールデン チケット攻撃に直接関与することはありませんが、次の方法でセキュリティを強化することができます。
-
交通検査: プロキシ サーバーはネットワーク トラフィックを検査し、疑わしいアクティビティを検出してブロックできます。
-
アクセス制御: プロキシ サーバーはアクセス制御を実施し、権限のないユーザーが機密リソースにアクセスするのを防ぐことができます。
-
フィルタリング: プロキシは悪意のあるトラフィックをフィルタリングしてブロックし、潜在的な悪用の攻撃対象領域を減らします。
関連リンク
ゴールデン チケット攻撃および関連トピックの詳細については、次のリソースを参照してください。
- MITRE ATT&CK – ゴールデンチケット
- ゴールデンチケットに関するマイクロソフトのセキュリティアドバイザリ
- SANS Institute – ゴールデンチケット攻撃の解説
- Mimikatz GitHub リポジトリ
ゴールデン チケット攻撃などの高度なサイバー脅威から組織を保護するには、常に情報を入手し、積極的に行動することが重要です。定期的なセキュリティ評価、従業員のトレーニング、ベスト プラクティスの採用は、ネットワークとデータを保護するための重要なステップです。
