Active Directory ACL 権限乱用の分析 は何をしますか？
概要
Active Directory のアクセス制御リスト (ACL) は、随意アクセス制御リスト (DACL) に含まれるアクセス制御エントリ (ACE) を介して AD オブジェクトに権限を定義します。誤構成された ACE は、ドメイン管理者グループ、ドメインコントローラ、GPO などの重要なオブジェクトに対して、GenericAll (フルコントロール)、WriteDACL (権限の変更)、WriteOwner (所有権の取得)、GenericWrite (属性の変更) などの危険な権限を非特権ユーザーに付与する可能性があります。
このスキルは、ldap3 Python ライブラリを使用してドメインコントローラに接続し、nTSecurityDescriptor 属性を持つオブジェクトをクエリし、バイナリセキュリティ記述子を SDDL (Security Descriptor Definition Language) 形式に解析し、非管理者プリンシパルに危険な権限を付与する ACE を特定します。これらの誤構成は、BloodHound などのツールで発見される ACL ベースの攻撃パスの基盤となります。
使用タイミング
- セキュリティインシデント調査において Active Directory ACL の権限乱用を分析する必要がある場合
- このドメインに関する検知ルールや脅威ハンティングクエリを構築する場合
- SOC アナリストがこの種の分析のための構造化された手順を必要とする場合
- 関連する攻撃手法に対するセキュリティ監視の適用範囲を検証する場合
前提条件
- Python 3.9 以降、ldap3 ライブラリがインストールされていること (
pip install ldap3) - AD オブジェクトへの読み取りアクセス権を持つドメインユーザー資格情報
- ポート 389 (LDAP) または 636 (LDAPS) でのドメインコントローラへのネットワーク接続
- Active Directory セキュリティモデルと SDDL 形式に関する理解
手順
-
ドメインコントローラに接続する: ldap3 を使用して NTLM 認証または簡易認証で LDAP 接続を確立します。本番環境では暗号化接続のために LDAPS (ポート 636) を使用してください。
-
ターゲットオブジェクトをクエリする: 指定された OU またはドメイン全体から、ユーザー、グループ、コンピュータ、OU を含むオブジェクトを検索します。
nTSecurityDescriptor、distinguishedName、objectClass、sAMAccountName属性を要求します。 -
セキュリティ記述子を解析する: バイナリの nTSecurityDescriptor を SDDL 文字列表現に変換します。DACL 内の各 ACE を解析し、信頼者 SID、アクセスマスク、ACE タイプ (許可/拒否) を抽出します。
-
SID をプリンシパルに解決する: LDAP ルックアップを使用して、セキュリティ識別子 (SID) を人間が読めるアカウント名にマッピングします。組み込みグループの既知の SID を特定します。
-
危険な権限を確認する: 各 ACE のアクセスマスクを危険な権限ビットマスクと比較します: GenericAll (0x10000000)、WriteDACL (0x00040000)、WriteOwner (0x00080000)、GenericWrite (0x40000000)、および特定の拡張権限に対する WriteProperty。
-
非管理者信頼者をフィルタリングする: 想定される管理者信頼者 (Domain Admins、Enterprise Admins、SYSTEM、Administrators) を除外し、非特権ユーザーまたはグループが危険な権限を保持している ACE にフラグを付けます。
-
攻撃パスをマッピングする: 各発見事項について、潜在的な攻撃チェーンを文書化します (例: ユーザーに対する GenericAll はパスワードリセットを許可し、グループに対する WriteDACL は自分自身をグループに追加することを許可します)。
-
修復レポートを生成する: すべての危険な ACE、影響を受けるオブジェクト、非管理者信頼者、推奨される修復手順を含む JSON レポートを出力します。
期待される出力
{
"domain": "corp.example.com",
"objects_scanned": 1247,
"dangerous_aces_found": 8,
"findings": [
{
"severity": "critical",
"target_object": "CN=Domain Admins,CN=Users,DC=corp,DC=example,DC=com",
"target_type": "group",
"trustee": "CORP\\helpdesk-team",
"permission": "GenericAll",
"access_mask": "0x10000000",
"ace_type": "ACCESS_ALLOWED",
"attack_path": "Domain Admins グループに対する GenericAll により、任意のメンバー追加が可能",
"remediation": "Domain Admins に対する helpdesk-team の GenericAll ACE を削除してください"
}
]
}