CISA が特定した 17 の Active Directory 侵害の手法～Sophos MDR の視点から

本記事は、最前線で活躍するソフォスのセキュリティオペレーションスペシャリストによる連載シリーズです。業界をリードするソフォスの Managed Detection and Response (MDR) サービスを強化し、AI 時代の進化する脅威からお客様を守るために活用されている最先端の専門知識を紹介します。

検知エンジンがどれだけ高速化しても、玄関のドアの鍵がかかっていなければ意味がありません。ソフォスの「2025 年版アクティブアドバーサリーレポート」によると、攻撃者が Active Directory (AD) への侵入を最初に試みるまでの時間は中央値で 11 時間でした。

本記事では、CISA (米サイバーセキュリティ・インフラセキュリティ庁) とその政府パートナーによって特定された 17 の手法を 4 つのカテゴリに分類し、攻撃者が正規のアイデンティティシステムを悪用した際に、強力なアイデンティティコントロール、有用なテレメトリ、および MDR 主導の対応がどのように連携して機能するかを解説します。

この切迫した状況は、「AI の定着は不可避である」という背景と切り離して考えることはできません。パンドラの箱はすでに開かれてしまい、政府、フロンティアモデルを牽引する企業、そしてサイバーセキュリティ業界が協力して、このテクノロジーの開発と利用に関する責任あるガードレールを構築しようとしています。

セキュリティチームにとっての現実的な課題は、すでに目の前にあります。AI は防御と攻撃の両方を加速させているのです。組織はデータの分析、脅威の調査、そして迅速な対応が可能になりました。一方で、攻撃者は偵察の自動化、ツールの生成、初期アクセスから被害発生までの時間の短縮を実現しています。「Sophos AIセキュリティレポート 2026年版」でも指摘しているように、AI は新たな攻撃手法を生み出しているのではなく、攻撃のタイムラインを短縮しているのです。

そのため、基本的なアイデンティティ管理の重要性が高まっています。Microsoft Active Directory や Entra ID は、多くのオンプレミス環境やクラウド環境の中心に位置しており、攻撃者は正規のアイデンティティ機能を利用することで特権アクセスへと到達できることを知っています。

前述の通り、ソフォスの「2025 年版アクティブアドバーサリーレポート」によると、攻撃者の最初のアクションから AD への侵入を初めて試みるまでの時間の中央値はわずか 11 時間であり、AI によってその時間はさらに短くなる可能性があります。

このレビューでは CISA が特定した 17 の手法を個別に解説するのではなく、これらを 4 つのカテゴリに分けて検証し、防御側が適用できる基本対策、悪用を可視化するテレメトリ、そして Sophos MDR がどのように検知、調査、対応を支援するかについて解説します。

セキュリティの未来は、ますますエージェントを活用した形になっていくでしょうが、その基本原則は決して譲れないものです。そして、以下の 4 つのカテゴリは、大半のセキュリティ侵害の起点となっている「認証情報へのアクセス」に焦点を当てています。

1. 認証情報へのアクセス: 攻撃者に悪用される前にアイデンティティを保護する

対象となる手法: パスワードスプレー、Kerberoasting、AS-REP Roasting、グループポリシー基本設定 (GPP) 内のパスワード。

認証情報へのアクセス手法は、通常のアイデンティティ機能をより広範なアクセス経路へと変えてしまいます。パスワードスプレー、Kerberos サービスチケットのリクエスト、あるいはレガシー認証情報は、エンドポイントやネットワーク上での探索および移動と結び付いた場合、より深刻な懸念材料となります。

基本的な対策には、以下が含まれます。

• 特権ユーザーには、フィッシング対策が施された多要素認証 (MFA) を使用する。
• 不要なサービスアカウントを削除する。
• 可能な限りグループ管理サービスアカウントを使用する。
• レガシー認証情報を削除する。
• 認証イベントが一元的にログに記録されるようにする。

最近のソフォスのデジタルフォレンジックとインシデント対応 (DFIR) の事案は、この状況がいかに急速に進行し得るかを示しています。2026 年 3 月、ソフォスは Interlock ランサムウェアのインシデントを調査しました。このインシデントでは、攻撃者が Active Directory にドメイングループ情報を問い合せた後、サービスプリンシパル名を照会しており、Kerberoasting 攻撃の試みを示唆するものでした。

このアクティビティは単発の出来事ではなく、エンドポイントの侵害から始まり、ドメインの探索、認証情報へのアクセス、ラテラルムーブメントへと進行した、より広範囲に及ぶ活動の一環でした。

MDR が指摘するポイント: Sophos MDR は認証アクティビティをエンドポイントやディレクトリのシグナルと相関付け、それらを組み合わせたパターンが認証情報の悪用を示唆している場合に調査を行うことができます。重要なのは、すべての Kerberos リクエストを悪意のあるものとみなすことではなく、アイデンティ関連のアクティビティが攻撃シーケンスに寄与しているかどうかを判断し、タイムリーな対応を支援することです。

なぜ重要か: 認証情報への攻撃は、通常の認証アクティビティのように見えることがあります。Interlock の調査では、攻撃者はよく知られたツールと正規のプロトコルを使用していました。防御側は、強力な基本対策、エンドポイントの完全なカバー、適切な認証コントロール、および有用なテレメトリにより、攻撃をより早期に特定・阻止する機会を増やすことができます。

ソフォスによるサポート: Sophos MDR は Microsoft のアイデンティティ、エンドポイント、ディレクトリの各シグナルを連携させ、認証アクティビティがより広範な攻撃シーケンスの一部であるかどうかを判断するのに役立ちます。Sophos ITDR は、より詳細なアイデンティティの可視化を必要とする組織に向けて、アイデンティティポスチャのチェック、漏洩した認証情報の監視、アイデンティティ固有の対応機能を追加できます。

2.権限昇格とラテラルムーブメント: Tier 0 への経路を保護する

対象となる手法: MachineAccountQuota の侵害、制約のない委任、DCSync、ntds.dit のダンプ、シャドー認証情報。

攻撃者は最初のアイデンティティを取得すると、アクセス権を拡大する方法を模索します。ドメイン管理者権限を入手するために、新しいコンピュータアカウントの作成、委任の悪用、ディレクトリデータの複製、または機密属性の改ざんなどを行う可能性があります。

基本的な対策には、以下が含まれます。

• コンピュータアカウントを作成できるユーザーを制限する。
• 不要な委任を排除する。
• 複製権限を最小限に抑える。
• ドメインコントローラーを保護する。
• 機密性の高いディレクトリ属性へのアクセスを見直す。

「アクティブアドバーサリーレポート 2025 年版」に記載されている Sophos MDR の事例は、Tier 0 への経路がなぜ別途議論するのに値するかを示しています。パッチが適用されていない FortiGate VPN アプライアンスを介して初期アクセスに成功した攻撃者は、その後ドメインコントローラーへと横移動し、AV キラーツールを使用し、列挙を行い、複数のデバイスで永続性を確立しました。Sophos MDR は、攻撃が展開されている最中にそのアクティビティを阻止しました。

MDR の要点: 特権アクセスとディレクトリの変更を継続的に監視してください。Sophos MDR は、アカウントやコンピュータオブジェクトの作成、明示的な認証情報によるログオン、特権操作、ディレクトリの変更、複製アクティビティを、そのテレメトリが利用可能な場合には発信元アカウント、ソースシステム、関連するエンドポイントの動作と併せて調査することができます。

なぜ重要か: これらのアクションの多くは、正規のものである可能性があります。新しいコンピュータアカウント、ディレクトリの変更、または複製リクエストは、それを実行したアカウント、ソースシステム、関連するログオン、およびターゲットシステムでのアクティビティと併せて検討することで、初めてその意味が明らかになります。MDR は、管理者レベルのすべてのイベントを悪意のあるものとみなすのではなく、こうした関連性を評価するのに役立ちます。

ソフォスによるサポート: Sophos MDR は、不審なログオン、新規または変更されたコンピュータオブジェクト、特権操作、関連するエンドポイント動作など、権限昇格を取り巻くアクティビティの調査を支援します。Sophos ITDR は、Tier 0 への経路を露呈させる可能性のあるリスクの高い権限やアイデンティティの関係性を可視化することができます。

3.証明書と認証: 信頼を発行するシステムを保護する

対象となる手法: ゴールデン証明書、ゴールデンチケット、シルバーチケットを含む、AD CS の侵害。

信頼はインフラストラクチャによって発行されます。認証局 (CA)、証明書テンプレート、ドメインコントローラー、および Kerberos サービスが、どの認証情報が有効であるかを決定します。そのため、信頼を発行するシステムへの変更は、それに続く認証イベントと同様に重要です。

基本的な対策には、以下が含まれます。

• 証明書テンプレートを保護する。
• 認証局およびドメインコントローラーへのアクセスを制限する。
• 証明書の秘密鍵とバックアップを保護する。
• 不要な認証権限を削除する。
• 必要に応じて、グループ管理サービスアカウントを使用する。
• 重要な Kerberos およびコンピュータアカウントのシークレットに対するローテーションと復旧手順を維持する。

STAC4749 キャンペーンに関する最近のソフォスの調査では、信頼インフラストラクチャに注目すべき理由が示されています。複数のインシデントにおいて、攻撃者は埋め込まれた認証局証明書を使用してコマンドアンドコントロール (C2) 通信を固定化し、マルウェアに対してその接続が信頼できるものに見えるようにしていました。これは AD CS の侵害ではありませんでしたが、根本的な問題、すなわち「証明書の信頼は目に見えるサインインイベントの下で悪用され得る」ことを示しています。

ソフォスが発表した 2026 年のレポートは、別の角度から同じ教訓を示しています。同レポートでは、ゴールデンチケット攻撃を影響度の高いアイデンティティ脅威として特定し、権限昇格やラテラルムーブメントを調査する際にエンドポイント、アイデンティティ、およびネットワークテレメトリを相関付けることの重要性を強調しています。

MDR が指摘するポイント: 後続の認証だけでなく、信頼を発行するシステム自体を監視する必要があります。Sophos MDR では、テレメトリが有効かつ利用可能な場合、証明書の要求と発行、証明書テンプレートや CA セキュリティ設定の変更、不審な Kerberos チケットアクティビティ、および認証局やドメインコントローラー上の関連する PowerShell やプロセスアクティビティを調査することができます。

なぜ重要か: 偽造された証明書や Kerberos チケットは、有効な認証イベントのように見えることがあります。より有用なシグナルとなるのは、その周囲のアクティビティである可能性があります。例えば、証明書テンプレートの変更に続く証明書の要求、認証局での予期せぬ管理操作、ドメインコントローラーでの異常なコマンドなどです。一元化されたログ機能と相関分析により、防御側はそうした一連の動作を特定する機会を増やすことができます。

ソフォスによるサポート: Sophos Next-Gen SIEM は、これらのソースが設定済みかつ利用可能である場合、Sophos MDR が使用する調査ワークフローに追加の証明書、認証、およびレガシーシステムのテレメトリを取り込むことができます。こうした広範な履歴情報により、アナリストは不審な信頼関係や認証アクティビティを調査しやすくなります。

4.永続化対策とハイブリッド環境の保護: 一度のリセットでは不十分である可能性を想定する

対象となる手法: ゴールデン SAML、Microsoft Entra Connect の侵害、一方向ドメイン信頼のバイパス、SID 履歴の侵害、スケルトンキー。

連携しているアイデンティティシステムに依存している環境では、対応策においてもそれらの連携を十分に考慮する必要があります。漏洩した認証情報、トークン、信頼関係、同期パス、または認証コンポーネントが原因で、最初の痕跡が削除された後も、攻撃者のアクセス権が維持される可能性があります。

2025 年 3 月、ソフォスの従業員がフィッシング攻撃の被害に遭い、認証情報が奪われ MFA がバイパスされました。攻撃者はソフォスのネットワークへの侵入を試みましたが、Sophos Labs、Managed Detection and Response、Internal Detection and Response、および IT チームがテレメトリを共有し、そのアクティビティを調査しました。このインシデントは CISA が特定した AD 攻撃手法の 1 つではありませんが、このカテゴリの背景にある対応原則、すなわち、アイデンティティの復旧には、最初に侵害されたパスワード以外の要素も考慮しなければならないことを示しています。

ソフォスの 2026 年のレポートも同じ点を強調しています。調査対象となった侵入事例の 67% が、認証情報の漏洩や、認証トークンの窃取、信頼関係の悪用など、アイデンティティ関連の戦術から始まっていました。

基本的な対策には、以下が含まれます。

• Microsoft Entra Connect、AD FS、およびドメインコントローラーを Tier 0 システムとして保護する。
• 特権 AD アカウントと Entra ID アカウントを分離する。
• 信頼関係を制限する。
• SID 履歴を確認する。
• LSASS およびドメインコントローラーを強化する。
• 同期、フェデレーション、認証、および管理アクティビティを一元的にログに記録する。

MDR が指摘するポイント: アイデンティティのアクティビティに不審な点が見られた場合は、そのケースをクローズする前に、関連するセッション、エンドポイント、ディレクトリの変更、および関係のある Microsoft 365 のアクティビティを調査します。Sophos MDR の Microsoft 統合機能は、その運用コンテキストを提供し、権限が付与されている場合はサインインのブロックやセッションの取り消しなどのアクションをサポートします。Sophos ITDR を利用すれば、AD および Entra ID 全体でのアイデンティティポスチャや関係性を継続的に可視化できます。

なぜ重要か: 侵害された Microsoft 365 アイデンティティへの対応には、認証情報のリセット、Entra ID トークンの無効化、セッションの取り消し、悪意のある受信トレイ規則の削除、または不正なアプリケーションの無効化が含まれる場合があります。Active Directory についても同じ原則が適用されます。初期の痕跡を削除することは 1 つのステップに過ぎません。防御担当者は、永続的なアクセスについて、根本的な信頼関係、認証情報、トークン、および認証システムも検証する必要があります。

ソフォスによるサポート: Sophos MDR は、サインインのブロックやセッションの取り消しなど、承認された Microsoft 365 の対応をサポートすると同時に、アナリストにサインイン、エンドポイント、および関連ユーザーに関するコンテキストを提供します。Sophos ITDR は、復旧中に確認が必要となる可能性のあるアイデンティティポスチャや AD/Entra ID の関係について、継続的に可視化することができます。

結論

CISA が特定した 17 の手法は、すべて運用に関する同じ問いに帰着します。それは、「攻撃者が正規のアイデンティティ機能を使い始めたとき、組織はその一連の動作を可視化し、Tier 0 に到達する前に対策を講じることができるか?」という問いです。

その答えは依然として、特権アクセスの保護、アイデンティティシステムの強化、テレメトリの活用、そして対応アクションの即時実行などの基本対策にかかっています。AI によって MDR はより迅速かつスケーラブルになるかもしれませんが、AI は玄関に鍵をかけることはできません。

その基本対策こそが、11 時間という狭まりつつある時間に対して組織が実践できる第一の防御であり続けるのです。