Kerberoastでは、攻撃者がKerberos認証プロトコルの内部を悪用し、一般に権限のあるドメインユーザーアカウントをターゲットにします。この攻撃の目的は権限のあるアカウントの平文パスワードを発見し、関連する権限を取得することです。この攻撃は、Active Directory環境内から行うことができます。攻撃者が必要とするのは、単純な権限のないユーザーアカウントのみです。

サービスプリンシパル名属性がアカウントに設定されると、このアカウントの下層のセキュリティがさらに影響を受けます。通常、パスワードセキュリティポリシーは、数回連続してパスワードエラーが発生した後にアカウントをロックするように構成されています。
ただし、この属性を設定すると、パスワードを推測する機会を枯渇させることが可能になります。

Domain Adminsグループのアカウントなどの権限のあるアカウントは、通常Kerberoastingで標的にされます。これらのアカウントへのアクセス権を取得すると、ドメインが完全に不正アクセスされる可能性があります。

デフォルトでは、このチェックは権限がある無効なアカウントをスキップします。権限のある無効なアカウントもチェックするには、完全なテストを有効にしてください。

注意:  AD Starter Scan および関連するプラグインは、予備的な分析を目的とした小規模の AD デプロイメントでの使用を意図しています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

Active Directoryアカウントは、グローバルパスワード更新ポリシーを回避するように構成できます。このように設定されたアカウントは、パスワードを変更せずに無期限に使用できます。ユーザーアカウントと管理者アカウントには、この属性を設定しないでください。

デフォルトでは、このチェックは無効なアカウントをスキップします。無効にしたアカウントもチェックするには、完全なテストを有効にしてください。

注:  このプラグインはActive Directory Starter Scan Templateの一部であり、ADホストの予備的な分析に使用されることを意図しています。Active Directory Starter Scanプラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

Active Directoryセキュリティの中核を成すプロトコルであるKerberosにより、特定のサーバーが、ユーザーの認証情報を取得し、それを利用してユーザーの代わりに認証を行う可能性があります。

委任に対して信頼されているサーバーでユーザーが認証されると、ドメインコントローラーによってユーザーの資格情報のコピーがサーバーに送信されます。これらの認証情報は、ユーザーの代わりに認証に使用され得ます。

攻撃者がこのようなサーバーに不正アクセスできる場合、この特定のサーバーで認証するすべてのユーザーの認証情報を盗み、再利用できます。管理者が侵害されたマシンに接続すると、攻撃者が権限を昇格し、管理者になる可能性があります。結果として、委任に対して信頼されているプロパティは、ドメインコントローラーなどの信頼できるサーバーでのみ許可する必要があります。このメカニズムは、制約のない委任と呼ばれます。

注意:  AD Starter Scan および関連するプラグインは、予備的な分析を目的とした小規模の AD デプロイメントでの使用を意図しています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

グループは、環境内のリソースへのアクセスを提供する標準的な方法です。したがって、グループのメンバーシップは、十分に注意して扱う必要があります。あまり知られていないActive Directory機能を同じ目的で使用できます:  プライマリグループID。これはレガシーUNIXアプリケーションをサポートするために作成されたメカニズムで、グループメンバーシップはWindowsと同じように保存されません。リソースへのアクセス権をチェックするとき、グループのメンバーであること、あるいはこのグループに設定されたプライマリグループIDを持っていることは、Active Directoryの見地からまったく同じです。すべてのサードパーティツールとソフトウェアがこのユースケースを考慮しているわけではありません。

プライマリグループIDメカニズムの使用は推奨されず、セキュリティリスクとなります。

注意:  AD Starter Scan および関連するプラグインは、予備的な分析を目的とした小規模の AD デプロイメントでの使用を意図しています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

Active Directoryは、認証にKerberosプロトコルを使用します。これは古いプロトコルであるため、作成以来多くのセキュリティ強化策が講じられており、適切なセキュリティ状態を確保するために一部のレガシーオプションを無効にする必要があります。

攻撃者は、AS-REPのロースト攻撃を利用して、ユーザーのパスワードを推測することができます。AS-REP ロースト攻撃の最初の部分は、Kerberos 事前認証が設定されていないユーザーを特定することです (DONT_REQ_PREAUTH)。これは、userAccountControl属性の一部です。

Kerberos 事前認証がない場合、攻撃者がユーザーに代わって認証リクエスト (AS-REQ) を KDC に送信する可能性があります。KDC はその後、暗号化された TGT (AS-REP) で返信します。AS-REP の一部が、自分のパスワード由来する元のユーザーのキーで暗号化されます。その後、攻撃者がオフラインでのブルートフォース攻撃を利用して、パスワードを推測する可能性があります。この攻撃は、オンラインのブルートフォース攻撃よりもはるかに高速です (例: さまざまなパスワードで多数の認証リクエストを行う)。

事前認証により、攻撃者は KDC が暗号化されたTGTを送り返す前に、(タイムスタンプを暗号化しなければならないため) パスワードを所持していることを強制されます。

デフォルトでは、このチェックは無効なアカウントをスキップします。無効にしたアカウントもチェックするには、完全なテストを有効にしてください。

注意:  AD Starter Scan および関連するプラグインは、予備的な分析を目的とした小規模の AD デプロイメントでの使用を意図しています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

PASSWD_NOTREQDオプションを使用して、アカウントに空白のパスワードを指定できます。このオプションは、アカウントのUserAccountControl属性を通じて設定されます。これは、アカウント作成中、またはパスワードが管理者によってリセットされるときに可能です。

「ユーザーが次のログオン時にパスワードを変更しなければならない」のオプションは、この問題の影響を受けません。これは、ユーザーが接続してパスワードを変更するときに、パスワードを空にできないことを検証するためです。

パスワードのないアカウントは、非常に脆弱なアカウントです。これにより、攻撃者はアカウントのリソースへのフルアクセスを取得できます。

デフォルトでは、このチェックは無効なアカウントをスキップします。無効にしたアカウントもチェックするには、完全なテストを有効にしてください。

注意:  AD Starter Scan および関連するプラグインは、予備的な分析を目的とした小規模の AD デプロイメントでの使用を意図しています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

Active Directoryは、認証にKerberosプロトコルを使用します。これは古いプロトコルであるため、作成以来多くのセキュリティ強化策が講じられており、適切なセキュリティ状態を確保するために一部のレガシーオプションを無効にする必要があります。

Kerberos 5ネットワーク認証プロトコルの元の仕様[RFC1510]は、暗号化に対してDESのみをサポートします。
長年にわたり、暗号コミュニティはDESを安全でないと考えていました。その主な理由は、そのキーサイズが小さいということです。その結果、DESは非推奨の安全でない暗号化方式になりました。Active DirectoryのKerberosで使用できますが、無効にする必要があります。

デフォルトでは、このチェックは無効なアカウントをスキップします。無効にしたアカウントもチェックするには、完全なテストを有効にしてください。

注意:  AD Starter Scan および関連するプラグインは、予備的な分析を目的とした小規模の AD デプロイメントでの使用を意図しています。ユーザー、グループ、マシンが最大 5000 の AD デプロイメントでは正確な予備分析が期待できますが、Nessus、Security Center、Vulnerability Management を使用した大規模な AD デプロイメントでは不完全な結果が返されます。Active Directory Starter Scan プラグインによって発見された問題の詳細については、このブログの投稿を参照してください- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

ID	名前	製品	ファミリー	公開日	更新日	深刻度
150480	AD Starter Scan-Kerberoasting	Nessus	Windows	2021/7/29	2024/5/6	high
150483	AD Starter Scan - 有効期限がないアカウントパスワード	Nessus	Windows	2021/7/29	2024/5/6	medium
150485	AD Starter Scan-制約のない委任	Nessus	Windows	2021/7/29	2024/5/6	high
150487	AD Starter Scan-プライマリグループIDの整合性	Nessus	Windows	2021/7/29	2024/5/6	high
150482	AD Starter Scan-Kerberos事前認証検証	Nessus	Windows	2021/7/29	2024/5/6	medium
150489	AD Starter Scan - 空白のパスワード	Nessus	Windows	2021/7/29	2024/5/6	medium
150481	AD Starter Scan-弱いKerberos暗号化	Nessus	Windows	2021/7/29	2024/5/6	medium

検出

プラグインの検索

high

medium

high

high

medium

medium

medium