Tenable Identity Exposure

Active Directory の安全を確保して攻撃経路を排除

Active Directory (AD) と Azure AD のセキュリティを制御して、ビジネスに悪影響を与える問題となる前に欠陥を見つけて修正します。

Tenable Identity Exposure は、高速でエージェントレスの Active Directory セキュリティソリューションです。複雑な Active Directory 環境内のすべての資産を可視化して、重大な事態を予測することでリスクを軽減し、攻撃者が悪用する前に攻撃経路を排除できます。

X

権限昇格

ラテラルムーブメント

攻撃者の策略

Active Directory のセキュリティ上の弱点を攻撃される前に検出して修正

Tenable のアイデンティティリスクスコアを使用して、Active Directory 内のエクスポージャーを検出し、優先順位を付けます。段階的な修復ガイダンスにより、アイデンティティリスクを軽減します。

Active Directory 攻撃をリアルタイムで検知して対応

DCShadow、DCSync、ブルートフォース、パスワードスプレイ、その他多くの Active Directory に対する攻撃を検知。Tenable Identity Exposure は攻撃に関するインサイトを追加することで既存の SIEM、SOC、SOAR などを強化し、素早い対応で攻撃を阻止できます。

攻撃経路の排除

攻撃経路とは、サイバー衛生の不備を突いて収益を得る攻撃に使われるおそれのある、IT 環境内のルートのことです。Tenable は、リスクベースの脆弱性管理と Active Directory Security を組み合わせることによって攻撃経路を排除し、ハッカーが環境内に足掛かりを作ることを困難にし、足掛かりが作れたとしてもその先の道を封じます。

最初の足がかり

フィッシングや脆弱性を利用

攻撃の経路

権限昇格

アクセス権限を取得

回避

侵入の足跡を隠す

確立

永続コードを埋め込む

データ抽出

データ盗取または身代金を要求

探索

侵入した環境を探索

お客様の成功事例

製薬業大手 Sanofi は Active Directory　のインフラストラクチャセキュリティをグローバルに保護しています。

製薬業大手 Sanofi、Active Directory のインフラセキュリティをグローバルに保護

成功事例

Vinci Energies は、絶えず進化し続ける Active Directory インフラに強力なセキュリティ設定を講じています。

成功事例

Lagardère のグループ会社は、少ないリソースでも Active Directory インフラのセキュリティ保護を実行しています。

成功事例

「Tenable のソリューションのおかげで Active Directory のセキュリティの不安から解放され、新しいビジネスの取り込みに専念できるようになりました」 Dominique Tessaro 氏 Vinci Energies、CIO

Tenable.io は、Tenable One サイバーエクスポージャー管理プラットフォームに内蔵されています

Tenable One は、DX 時代のアタックサーフェス全体を可視化して、可能性のある攻撃を防止し、サイバーリスクについて正確に伝達して最適なビジネスパフォーマンスを促進する、サイバーエクスポージャー管理プラットフォームです。 Tenable One プラットフォームは、IT 資産、クラウドリソース、コンテナ、ウェブアプリケーション、ID システムにわたる、高い網羅性を誇る脆弱性カバレッジを提供します。

詳細はこちら

Active Directory の保護

Active Directory のセキュリティを脅かす根本的な問題を発見
危険な信頼関係を特定
アイデンティティリスクスコアを使用してサイバーエクスポージャーをスコアリングし、修復に優先順位を付ける
Active Directory と Azure AD のあらゆる変更をキャッチ
Active Directory の変更と悪意のあるアクションを結びつける
Active Directory と Azure AD でアイデンティティを統合
攻撃の詳細を視覚化
障害事案の詳細から直接 MITRE ATT&CK の内容説明を調査

ウェビナーを視聴する

Active Directory の攻撃を継続的に検知、予防

エージェントや特権不要。遅延なし。

エージェントや権限などを使わずに、高度の Active Directory 攻撃を防止して異常を検知します。

どこにでも導入

Tenable Identity Exposure は、データをオンサイトで管理下に置くオンプレミスと、クラウドを活用する SaaS という柔軟なアーキテクチャ設計を提供します。Active Directory と Azure Active Directory をサポートします。

デモをご視聴ください。

よくあるご質問

Tenable Identity Exposure の主な機能は何ですか?

Tenable Identity Exposure を使用すると、攻撃をリアルタイムで検出して対応し、攻撃者が悪用する前に Active Directory の弱点を見つけて修正できます。Tenable Identity Exposure の主な機能は次のとおりです。

Active Directory 内に隠されている弱点を明確にする
Active Directory のセキュリティを脅かす根本的な問題を発見
個々の不適切な構成の詳細をシンプルに解明する
新しく導入された資産のエクスポージャースコア (AES) 機能は、脆弱性、エクスポージャー、アイデンティティ権限を組み合わせて資産リスクを定量化します (Tenable の人工知能とデータサイエンスエンジンを活用)
問題の 1 つひとつに対して推奨修正案を取得する
カスタムダッシュボードを作成して Active Directory セキュリティを管理し、リスク軽減を推進
危険な信頼関係を発見する
Active Directory および Azure AD のアイデンティティを統合表示
AD 内の変化をすべて認識
Active Directory 内のドメインごとに主要な攻撃を検出
正確な攻撃のタイムラインから個々の脅威を可視化する
攻撃の分布を一元化して 1 つの画面に表示する
Active Directory の変更と悪意のあるアクションを結びつける
Active Directory に対する攻撃の詳細を詳細に分析
侵害などの事象が発覚した場合、MITRE ATT&CK ® の記述内容と直接照合する

Tenable Identity Exposure ではどのような Active Directory に対する攻撃やテクニックを検出できますか?

Tenable Identity Exposure は、サイバー攻撃で権限昇格やラテラルムーブメントのために使われるテクニックの多くを検知できます (DCShadow、ブルートフォース、パスワードスプレー、DCSync、ゴールデンチケット、その他多数)。

Tenable Identity Exposure では、Active Directory 上のどの特権攻撃手法を特定できますか?

Tenable Identity Exposure には、攻撃者が特権を得るために用いる既知の攻撃手法を集めた大規模なライブラリがあります。このライブラリに含まれているベクトルは次のとおりです。

攻撃ベクトル	説明/対策	既知の攻撃ツール	MitreAttack 種別
Kerberos サービスを実行している特権アカウント	ブルートフォースが可能な Kerberos の Service Principal 名を使っている高特権アカウント	Kerberom	権限昇格、ラテラルムーブメント、持続性
危険な Kerberos 権限移譲	危険な権限移譲 (無制限、プロトコルの変更、など) が承認されていないことを確認する	Nishang	権限昇格、ラテラルムーブメント、持続性
解読されやすい暗号処理アルゴリズムがActive Directory PKI に使われている	Active Directory PKI 内部で配備されているルート証明書には、解読されやすい暗号処理アルゴリズムを使用してはならない	ANSSI-ADCP	権限昇格、ラテラルムーブメント、持続性
重要オブジェクトの危険なアクセス権の権限移譲	違法なユーザーが重要なオブジェクトをコントロールできるようにするアクセス権が発見された	BloodHound	データ抽出、ラテラルムーブメント、コマンド&コントロール、アイデンティティ情報アクセス、権限昇格
パスワードポリシーに多数の問題がある	一部の特定のアカウントでは、堅牢な資格情報の保護を確保するには不十分なパスワードポリシーが現在設定されている	Patator	防御回避、ラテラルムーブメント、アイデンティティ情報アクセス、権限昇格
危険な RODC 管理アカウント	読み取り専用のドメインコントローラーの責任を持つ管理グループに異常なアカウントが含まれている	Impacket	資格情報アクセス、防御回避、権限昇格
機密性の高い GPO が最重要オブジェクトとつながっている	管理者外のアカウントによって管理されている GPO が、機密性の高い Active Directory オブジェクト (KDC アカウント、ドメインコントローラー、管理者グループ、など) とつなっている	ANSSI-ADCP	コマンド&コントロール、資格情報アクセス、持続性、権限昇格
管理者アカウントがドメインコントローラー以外のシステムと接続することが許可されている	監視下のインフラストラクチャで導入されているセキュリティポリシーが、管理者が DC 以外のリソースに接続することを防止していないので、機密な資格情報の漏洩につながる	CrackMapExec	防御回避、資格情報アクセス
危険な信頼関係	不適切に設定された信頼関係の属性は、ディレクトリインフラのセキュリティを低下させる	Kekeo	ラテラルムーブメント、資格情報アクセス、権限昇格、防御回避
GPO 内の可逆的パスワード	すべての GPO に可逆的なフォーマットのパスワードが含まれていないことを検証する	SMB パスワードクローラー	資格情報アクセス、権限昇格
廃止されたバージョンの OS を実行しているコンピュータ	旧式のシステムはエディターのサポートが切れており、インフラストラクチャの脆弱性をいっそう悪化させる	Metasploit	水平維号、コマンド&コントロール
Windows 2000 以前と互換性のあるアクセスコントロールを使っているアカウント	Windows 2000 より前の互換性アクセスグループに属しているアカウントメンバーは、特定のセキュリティ対策を迂回できる	Impacket	ラテラルムーブメント、防御回避
ローカル管理者によるアカウント管理	ローカルの管理者アカウントは、LAPS を使用して安全に集中管理されていることを確認する	CrackMapExec	防御回避、資格情報アクセス、ラテラル無＾部面と水平移動
危険な無記名のユーザー構成	無監視下の Active Directory インフラに無記名アクセスが有効化され、機密情報の漏洩につながる	Impacket	データ抽出
異常な RODC フィルター属性	一部の読み取り専用のドメインコントローラーに適用されているフィルタリングのポリシーは、権限昇格を許し、機密情報のキャッシュにつながる	Mimikatz (DCShadow)	権限昇格、防御回避
ラテラルムーブメントを使った攻撃のシナリオが阻止できない	監視下 Active Directory インフラの探索を阻止対策が有効化されておらず、攻撃者はマシンからマシンへと同じレベルの権限で飛び移ることができる	CrackMapExec	ラテラルムーブメント
DC シェアにパスワードがクリアテキストで保存されている	認証されているユーザーなら誰でもアクセスできる DC シェア上のファイルには、平文のパスワードが格納されているものが多く、権限昇格につながる	SMBSpider	資格アクセス、権限昇格、持続性
ログオンスクリプトの危険なアクセスコントロール権	コンピュータまたはユーザーがログオン時に使うスクリプトには危険なアクセス権があるものがあり、権限昇格につながる	Metasploit	権限昇格、ラテラルムーブメント、持続性
GPO 内で危険なパラメーターが使用されている	危険なパラメータ (制限のあるグループ、LM ハッシュの演算、NTLM 認証レベル、機密パラメーター、など) が GPO によって設定されており、セキュリティの侵害を起こしている	Responder	発見、資格情報アクセス、実行、持続性、権限昇格、防御回避
ユーザーアカウントコントロール設定に危険なパラメーターが定義されている	アカウントコントロール属性に危険なパラメータ (PASSWD_NOTREQD または PARTIAL_SECRETS_ACCOUNT など) が定義されているユーザーアカウントのセキュリティが危険にさらされる	Mimikatz (LSADump)	防御回避、権限昇格、持続性
セキュリティパッチが適用されていない	Active Directory に登録されているサーバーに最近のセキュリティアップデートが適用されなかった	Metasploit	コマンド&コントロール、権限昇格、防御回避
ユーザーアカウントに対するブルートフォース攻撃の試行	ブルートフォース攻撃が一部のユーザーアカウントを標的にして試行されたことがある	Patator	資格情報アクセス
ユーザーアカウントの Kerberos 設定	弱い Kerberos 設定を使っているアカウントがある	Mimikatz (シルバーチケット)	資格情報アクセス、権限昇格
DC に保存されている異常なシェアまたはファイル	一部のドメインコントローターは、必要でないファイルやネットワークをシェアをホストするのに使われている	SMBSpider	発見、データ抽出

Tenable Identity Exposure では、Active Directory 上のどのようなバックドア技術を特定できますか?

Tenable Identity Exposure には、攻撃者が持続的に攻撃を行うために用いる既知のバックドア配置テクニックを集めた大規模なライブラリがあります。このライブラリに含まれているベクトルは次のとおりです。

バックドアテクニック/対策	説明/対策	既知の攻撃ツール	Mitre Attack 種別
SDProp の一貫性の確保	adminSDHolder オブジェクトがクリーンな状態であるようにコントロールする	Mimikatz (ゴールデンチケット)	権限昇格、持続性
SDProp の一貫性の確保	ユーザーのプライマリグループが変更されていないことを検証する	BloodHound	権限昇格、持続性
ルートのドメインオブジェクトの権限を検証する	ルートのドメインオブジェクトに設定されている権限が妥当であることを確認する	BloodHound	権限昇格、持続性
機密性の高い GPO オブジェクトとファイル権限の検証	GPO オブジェクトや機密性のあるコンテナ (ドメインコントローラーの OU など) とつながりのあるファイルの権限が妥当なことを確認する	BloodHound	実行、権限昇格、持続性
RODC KDC アカウントの危険なアクセス権	読み取り専用のドメインコントローラーによっては、そこで使われている KDC アカウントが違法なユーザーアカウントから制御できる場合があり、資格情報の漏洩につながる	Mimikatz (DCSync)	権限昇格、持続性
機密性のある証明書がユーザーアカウントにマッピングされている	X509 証明書にはユーザーアカウントの属性 altSecurityIdentities に保存されているものがあり、証明書のプライベートキーユーザーはそのアカウントのユーザーになりすまして認証ができる		コマンド&コントロール、資格情報アクセス、権限昇格、持続性
標準アカウントに Rogue Krbtgt SPN が設定されている	KDC の Service Principal 名が、一部の標準アカウントに存在すると、Kerberos のチケット偽造につながる	Mimikatz (ゴールデンチケット)	権限昇格、持続性
KDC パスワードの最終変更	KDC アカウントのパスワードは定期的に変更しなければならない	Mimikatz (ゴールデンチケット)	資格アクセス、権限昇格、持続性
危険な SID 履歴の属性のあるアカウント	SID 履歴属性内で特権SIDを使っているユーザーアカウントまたはコンピューターアカウントを確認する	DeathStar	権限昇格、持続性
不正なドメインコントローラー	Active Directory のインフラには承認済みのドメインコントローラーのみを登録する	Mimikatz (DCShadow)	実行、防御回避、権限昇格、持続性
Bitlocker キーの違法アクセスコントロール	Active Directory に保存されている Bitlocker の復元キーが管理者や接続されたコンピュータ以外の者によってアクセスできる	ANSSI-ADCP	資格アクセス、権限昇格、持続性
Schema セキュリティ記述子のエントリが異常	Active Directory スキーマが修正され、監視下にあるインフラを危険にさらすような新しい標準のアクセス権やオブジェクトの生成につながる	BloodHound	権限昇格、持続性
DSRM アカウントが有効化されている	Active Directory の復元アカウントが有効化され、資格情報盗取のリスクにさらされている	Mimikatz (LSADump)	資格情報アクセス、実行、防御回避、権限昇格、持続性
スマートカード使用時に認証用ハッシュが更新されない	スマートカード認証を使うユーザーのアカウントには、資格情報のハッシュ値が十分な頻度で更新されていないものがある	Mimikatz (LSADump)	持続性
ユーザーアカウントの可逆的なパスワード	パスワードが可逆的なフォーマットで保存されないようにパラメータを検証する	Mimikatz (DC Sync)	資格情報アクセス
コンテナのアクセスに Explicit Deny が使用されている	Active Directory のコンテナまたは OU にはアクセスの拒否を明示的に定義するものがあり、バックドアの隠ぺいにつながる可能性がある	BloodHound	防御回避、持続性

Tenable Identity Exposure は Active Directory をどのように監査するのですか?

Tenable Identity Exposure は、ドメインコントローラやエンドポイントへの導入を必要としない、市場で唯一のソリューションです。さらに、ユーザーレベルの権限のみで使用できます。この Tenable.ad 独自のアーキテクチャにより、セキュリティ担当者は複雑なデプロイメントの問題を避けて、Active Directory の構成を迅速に調査することができます。

Tenable Identity Exposure は、Active Directory のポイントインタイムセキュリティ監査ツールですか?

AD の不適切な構成はいつでも起きることです。ですから、ある時点で行われた調査は、いざその結果の内容を精査しようする数分後には無効であり、侵害の兆候として考慮できません。

一方、Tenable Identity Exposure は AD のスキャンを継続的に行い、新たな弱点や攻撃を検出して、問題についてユーザーにリアルタイムで警告するセキュリティプラットフォームです。

Tenable Identity Exposure はゴールデンチケット攻撃を検出できますか?

はい、できます。Tenable Identity Exposure が検出して防止できる、多くの攻撃手法の中の 1 つがゴールデンチケットです。 Tenable Identity Exposure では数百ものセキュリティチェックと関連付けが並行して実行されているため、現在利用可能な AD のセキュリティチェックとしては最も広い範囲を対象にしています。

Tenable Identity Exposure は SIEM / SOAR / チケッティングシステムなどと統合できますか?

AD セキュリティは、セキュリティ対策の重要な一部分です。Tenable Identity Exposure は、既存のセキュリティエコシステムにシームレスに統合します。

Tenable の Syslog の統合方式により、すべての SIEM およびほぼすべてのチケットシステムと Tenable Identity Exposure との統合が標準装備で提供されています。 QRadar、Splunk、Phantom のネイティブアプリもあります。

Tenable Identity Exposure はクラウドベースのソリューションですか?

このソリューションは、クラウドでもオンプレミスでも導入できます。どちらのデプロイメントのアプローチでも、機能的な違いはありません。

Tenable Identity Exposure は、複数組織およびマルチフォレストの Active Directory デプロイメントに拡張できますか?

最も規模が大きく、機密性も最高である AD のいくつかは、すでに Tenable Identity Exposure によって保護されています。私たちのプラットフォームは、エンタープライズグレードのソリューションとして構築されており、AD ネイティブのアーキテクチャにより、複雑で複数ある組織やマルチフォレストの Active Directory デプロイメントをサポートできるようにしています。

Tenable Identity Exposure のライセンスはどのように付与されますか?

Tenable Identity Exposure のライセンスは有効なユーザーアカウント単位で付与されます。

Tenable Identity Exposure で弱点を見つけて攻撃に対応する場合、Active Directory への特権アクセスが必要ですか?

Tenable Identity Exposure で、設定の監査と Active Directory に対する攻撃の特定に必要なのは、標準のユーザーアカウントのみです。

Tenable.ad の購入方法は?

Tenable Identity Exposure のご購入については、各地域の Tenable 認定パートナーまたは Tenable 担当者にお問い合わせください。

Tenable Identity Exposure には評価版がありますか?

あります。Tenable Identity Exposure の評価版を利用したい場合は、評価版リクエストフォームにご記入ください。すぐに評価を開始することができます。

Tenable Identity Exposure は本当に目をみはるように素晴らしい。Active Directory に対する攻撃をリアルタイムに検出して応答できるようにするばかりでなく、悪用される前に弱点を明らかにして修正することにも役立ちます。 CISO Travel Guidance Platform