Active Directory のセキュリティ: アイデンティティ保護ガイド

By Mirko Peters · 2025-11-23 · Updated 2026-07-18

設計、導入、セキュリティ、ガバナンスの実践的なガイダンスで、Active Directory のセキュリティを学びます。

Automatically translated with AI from the original post. Read the English original

Active Directory は、どの企業でも攻撃者にとって非常に重要な標的です。攻撃者に制御を奪われると、ユーザー、ファイル、メール、クラウド上のリソースを管理できなくなります。攻撃者に特別なハッキングスキルは必要ありません。小さなミスを突いて、完全なアクセス権を手に入れます。重要な資産を守るには、迅速に行動し、明確な対策を講じる必要があります。

重要なポイント

• Active Directory は、ネットワークを使用できるユーザーを制御する役割を担います。これを安全に保つことで、攻撃者が重要なデータやシステムにアクセスするのを防げます。

• 管理者アカウントを定期的に確認し、不要なアカウントは削除してください。これにより、攻撃者が強力なアカウントを悪用しにくくなります。

• ネットワークでティアリングとセグメンテーションを設定してください。攻撃者が容易に横展開するのを防ぎ、大きな被害の拡大を抑えられます。

• すべての管理者アカウントで多要素認証 (MFA) を有効にしてください。本来アクセスすべきでない相手に対して、追加の保護を提供できます。

• ログを監視し、セキュリティツールを使って不審な操作を検出してください。問題を早期に発見できれば、脅威を素早く食い止められます。

攻撃者が Active Directory を狙う理由

認証における中心的な役割

Active Directory は、ネットワーク、ファイル、アプリを誰が使用できるかを決定します。ほとんどの企業にとって、いわば主要な門番です。攻撃者はこの点をよく理解しています。Active Directory の制御を奪えば、ほぼすべてを操作できてしまいます。

攻撃者が Active Directory を狙う理由を説明した表は次のとおりです。

Active Directory を使うと、すべてのユーザー、コンピューター、ルールを一元管理できます。グループポリシーを設定すれば、全員に共通のルールを適用できます。これにより管理業務が楽になります。しかし、攻撃者に侵入されると、一か所から環境全体に到達されてしまいます。

侵害による影響

Active Directory を乗っ取られると、深刻な事態が起こり得ます。ファイルやサービスへのアクセスを失う可能性があります。攻撃者はアクセスをロックアウトしたり、データを盗んだり、業務を停止させたりすることがあります。

起こりうる事態は次のとおりです。

• ユーザーがリソースやサービスにアクセスできなくなる。

• IT システムがダウンし、停止する可能性があります。

• 業務が停止し、金銭的・時間的な損失が生じる可能性があります。

ヒント: Active Directory の保護は、単に攻撃者を防ぐことだけが目的ではありません。業務を継続させ、データを安全に保つためにも欠かせません。

リスクを理解すると、攻撃者が Active Directory への侵入を狙う理由が見えてきます。攻撃者より先に弱点を見つけて修正する必要があります。

Active Directory の攻撃経路

攻撃者が侵入するために高度なツールは必要ありません。小さく始めて、徐々に制御を強めていきます。早期に食い止めるには、各段階を理解しておく必要があります。

初期アクセスと横展開

攻撃者は、まず簡単な手口を使うことが多いです。フィッシングメールを送ってパスワードを盗み取ろうとします。変更されていないパスワードが使われていることもあります。多くのアカウントに対して、よく使われるパスワードを試すこともあります。ネットワークに弱点があれば、攻撃者はツールを使ってそれを見つけ出します。

侵入後、攻撃者は他のコンピューターへ移動します。pass-the-hash を使ってパスワードハッシュを盗み出し、そのハッシュを使って別の場所にログインします。Kerberoasting は、弱いパスワードを設定したサービスアカウントを狙います。攻撃者は BloodHound を使ってネットワークの全体像を把握し、より強い権限を得る方法を探します。

代表的な攻撃経路は次のとおりです。

• Kerberoasting によるサービスアカウントのパスワード解読。

• LLMNR/NBT-NS ポイズニングによるパスワードハッシュの窃取。

• スクリプトに埋め込まれたハードコードされたパスワードの悪用。

• LDAP による偵察で、ユーザーやコンピューターの情報を収集。

注意: これらの行為の多くは、通常の管理作業と見分けがつきません。何かがおかしいことを示す小さな兆候を見逃さないようにする必要があります。

権限昇格の手法

侵入後、攻撃者はさらに強い権限を求めます。攻撃者は権限を高めるためにさまざまな方法を使います。よく使われる手法を次の表にまとめました。

ドメイン支配の手法

攻撃者は高い権限を得ると、完全な支配を求めます。ゴールデンチケットと呼ばれる偽のチケットを作成することがあります。これにより、長期間あらゆるリソースへアクセスできるようになります。DCSync 攻撃を使い、ドメインコントローラーからすべてのパスワードハッシュをコピーする者もいます。また、ネットワーク内のすべてのパスワードを含む NTDS.dit ファイルを盗む者もいます。

ドメイン支配の兆候には次のようなものがあります。

• ランサムウェアによるすべてのドメインコントローラーの消去。

• 復元するとマルウェアも復活してしまうバックアップ。

• 復旧に使えるクリーンなバックアップが存在しない状態。

• 復旧作業を行っても、攻撃者が居座り続ける状態。

• 大きなミスによって全員がロックアウトされる事態。

攻撃者がここまで到達すると、ネットワーク全体を支配されています。この段階に達する前に食い止める必要があります。

管理者権限の影響範囲に関する弱点

過剰な権限によるリスク

高いアクセス権を持つアカウントが多すぎると、リスクが高まります。攻撃者はこうしたアカウントを探します。1 つのミスで、攻撃者にコントロールを許してしまうことがあります。また、不要になってもアクセス権が残されたままのアカウントもあります。こうした古いアカウントは、攻撃者にとって見つけやすい標的です。シャドウ管理者は、システム内に身を潜めることがあります。簡易的な対応や、サービスアカウントから生じることがあります。こうしたアカウントは強力なグループに追加されますが、気付かれにくいものです。Active Directory のグループのネストは、その発見をさらに難しくします。

• 攻撃者は強力なアカウントを使って、重要な対象に到達しようとします。

• 1 つの管理者アカウントが侵害されると、攻撃者は設定を変更したり、データを盗んだり、悪意のあるソフトウェアをインストールしたりできます。

• 監視されていない古い管理者アカウントは、攻撃者が身を隠す手助けになります。

ヒント: 管理者アカウントを定期的に確認し、不要なものは削除しましょう。

階層化とセグメンテーション

ネットワークを階層に分けることで、リスクを下げられます。これは階層化とセグメンテーションと呼ばれます。重要な場所へ誰がアクセスできるかを制御するのに役立ちます。セグメントを分けておけば、攻撃者は容易に移動できなくなります。また、セグメンテーションはマルウェアの急速な拡散も防ぎます。

• 領域を分離しておくことで、攻撃者が進める範囲を制限できます。

• セグメンテーションは、重要なシステムに誰が入れるかを制御します。

• 適切なセグメンテーションは、ランサムウェアやその他の脅威の拡大を遅らせます。

管理者のコントロールを強化する簡単な施策

安全性を高めるための簡単な対策があります。まず、古い管理者アカウントを見つけて削除することから始めましょう。こうしたアカウントは見落とされがちで、攻撃者に悪用されることがあります。古いプロジェクトやツール用に作成されたグローバル管理者アカウントは無効化しましょう。これにより、ネットワークを素早く安全にできます。

• 古い管理者アカウントを確認し、削除してください。

• 古いツール用のグローバル管理者アカウントを無効にしてください。

注意: 小さな変更でも、ネットワークを大きく保護できます。

PKI と証明書テンプレートのリスク

誤った構成の危険性

注意すべきはパスワードだけではありません。証明書テンプレートも攻撃者の侵入口になり得ます。安全性の低いテンプレートを使うと、攻撃者はマスターキーのように機能する証明書を作成できてしまいます。この証明書があれば、パスワードがなくても管理者権限を得られる場合があります。攻撃者はこれを「見えない」管理者と呼んでいます。通常のログには記録されません。

一般的な誤った構成による危険性を示す表は次のとおりです。

注意: 攻撃者は弱点を探しています。誰にも気づかれずに管理者権限を得ようとしています。

証明書テンプレートの保護

証明書テンプレートの安全性を高めることで、多くの攻撃を防げます。まず、各テンプレートを登録できるユーザーを確認してください。使用していないテンプレートは削除するか、無効にしてください。スマートカード用などの重要なテンプレートへのアクセスは制限してください。

次の表では、テンプレートを保護する手順をまとめています：

ヒント: 数か月ごとにテンプレートを見直してください。新たな問題からシステムを守るのに役立ちます。

PKI の実践的な対策

PKI を強化するための簡単な対策があります。オフラインのルート CA を使用して、信頼の基点を安全に保ちます。ドメイン参加済みのエンタープライズ CA を使用して、信頼できるユーザーのみに証明書を発行します。グループ ポリシーによる自動登録を設定して、証明書を簡単に管理します。

次の表では、実践的なPKIの対策をまとめています：

覚えておいてください: 適切な PKI 設定は、攻撃者が「見えない」管理者アカウントを作成するのを防ぎます。テンプレートとアクセス許可を頻繁に確認してください。

ハイブリッド同期とクラウドへの露出

ハイブリッド ID の構成では、Active Directory をクラウド サービスに接続します。これにより両方の環境でユーザーを管理できます。しかし、新たなリスクも生じます。攻撃者がオンプレミスの AD に侵入すると、クラウドのアカウントにも到達できてしまいます。逆方向でも同じことが起こり得ます。クラウド アカウントの安全性が低いと、攻撃者がオンプレミスの AD に侵入する足がかりになります。

Azure AD Connect の脆弱性

Azure AD Connect は、オンプレミスの AD とクラウドをつなぐ橋渡し役です。この橋には強力なアカウントがあるため、攻撃者はこれを掌握しようとします。AD DS コネクタまたはシームレス SSO のコンピューター アカウントが侵害されると、攻撃者は両方の環境でパスワードやアクセス許可を変更できてしまいます。

攻撃者はネットワーク ツールを使って環境全体を攻撃します。AZUREADSSOACC アカウントを悪用して、AD から Entra ID へ移動することがあります。攻撃者が Entra Connect サーバーの管理者権限を取得すると、同期アカウントを制御できてしまいます。その結果、両方の環境のID を変更される可能性があります。一部の攻撃者は、権限の低いアカウントを変更することで、SyncJacking により特権の高いクラウド アカウントを取得しようとします。

ヒント: 最小限の特権を持つ同期アカウントを使用してください。Azure AD Connect で不審なアクティビティがないか監視してください。

条件付きアクセスと MFA

Conditional AccessとMFAは、ハイブリッド環境の保護に役立ちます。Conditional Access ルールでは、サインインの前にMFAなどの追加手順をユーザーに求めます。このルールは、ユーザーのID、デバイス、場所などを確認し、アクセスを許可するかどうかを判断します。

• Conditional AccessはMFAを使って安全性を保ちます。

• ルールはシグナルを使って適切な判断を行います。

• これはZero Trustに基づく考え方であり、ユーザーを毎回確認します。

注: すべての管理者アカウントにMFAを適用すると、多くの攻撃を防げます。

統合されたID セキュリティ

オンプレミスとクラウドのIDは、1つのシステムとして扱うべきです。統合されたセキュリティにより、脅威をより早く発見し、迅速に対応できます。防御を強化するには、次の手順に従ってください。

1. ドメインコントローラーにDefender for Identity センサーを配置します。

2. 監視のために、Defender for Identityを Microsoft 365 Defender に接続します。

3. リアルタイムの保護のために、Entra でリスクベースの Conditional Access を有効にします。

4. Entra ID Governance を使用して、すべてのアカウントに最小特権を付与します。

5. 脅威検出を強化するために、両方を Microsoft Sentinel に接続します。

ご注意ください: 強固なハイブリッドID セキュリティにより、攻撃者がオンプレミスとクラウドのシステム間を移動することを防げます。

Active Directory セキュリティ チェックリスト

強力なチェックリストは、ネットワークを迅速に保護するのに役立ちます。このガイドを使えば、環境で最も大きなリスクを見つけて修正できます。まずは迅速なトリアージ手順から始め、定期的なメンテナンスで防御を維持してください。

60分のトリアージ手順

たった1時間でも大きな効果が得られます。次の手順に従って、リスクをすばやく下げてください。

1. 緊急のパッチを確認します。すべての WSUS サーバーに、CVE-2025-59287 向けの Microsoft の最新更新プログラムをインストールします。このパッチは重大なセキュリティの脆弱性を塞ぎます。

2. 危険なネットワーク ポートをブロックします。すぐにパッチを適用できない場合は、ファイアウォールで受信の TCP 8530 および 8531 をブロックします。これにより、攻撃者が WSUS サーバーに到達することを防げます。更新が停止する可能性があるため、IT 部門と連携が必要な場合があります。

3. WSUS サービスを停止して無効にします。パッチを適用できず、ポートもブロックできない場合は、問題を解決できるまで WSUS サービスを停止します。

4. インターネットに公開されている WSUS サーバーを隔離します。これらのサーバーは高リスクとして扱ってください。主要なネットワークから切り離しておきます。

5. 攻撃の疑いがある場合は証拠を保全します。メモリ、ディスク イメージ、イベント ログを保存します。インシデント対応チームに連絡してください。

6. イベントログでAdminSDHolderへの変更を確認します。イベントコード 5136 を探してください。これは、管理者のアクセス許可を誰かが変更したかどうかを示します。

7. 変更を行ったユーザーを特定します。これらの変更に関連するユーザー アカウントを見つけます。そのユーザーのアクティビティに不審な点がないか確認してください。

8. アクセス許可を比較します。AdminSDHolder オブジェクトがセキュリティ ベースラインと一致していることを確認します。

9. 新しい特権アカウントがないか確認します。グループのメンバーシップやアクセス許可の変更を確認してください。

10. セキュリティ チームと連携します。変更が承認されたものかどうかを確認します。

11. 影響を受けたシステムを隔離します。攻撃者の拡散を防ぐため、ネットワークから切り離します。

12. 未承認の変更を元に戻します。承認していない AdminSDHolder への変更はすべて元に戻します。

13. すべての特権アカウントを確認します。セキュリティ ルールに従っていることを確認します。

14. リスクの高いアカウントのパスワードをリセットします。管理者アカウントとサービス アカウントを優先します。

15. 監視を追加します。AdminSDHolder やその他の重要なオブジェクトで新たな変更がないか監視します。

16. セキュリティ オペレーション センターに連絡します。不審なアクティビティがあれば知らせます。

17. アクセス制御ポリシーを更新します。今後同様の攻撃を防ぐために変更を加えます。

ヒント: このチェックリストを印刷して、デスクの近くに置いておくこともできます。すぐに対応が必要なときに使ってください。

継続的なメンテナンス

防御を長期にわたって強固に保つ必要があります。良い習慣を持つことで、問題を早期に発見し、迅速に復旧できます。

• 更新プログラムを頻繁に適用してください。すべてのパッチが正しくインストールされていることを確認します。

• バックアップを定期的なスケジュールで取得してください。バックアップから正常に復元できるか、テストして確認します。

• ドメインの状態を毎日監視してください。ログインの失敗や新しい管理者アカウントの作成など、問題の兆候がないか確認します。

• 管理者アカウントとグループのメンバーシップを毎月確認してください。不要なものは削除します。

• 証明書テンプレートと PKI の設定を四半期ごとに確認してください。古いテンプレートを削除し、アクセス許可を厳格化します。

• Azure AD Connect などのハイブリッド同期ツールを監視してください。不審なアクティビティや新しいアクセス許可がないか確認します。

• フィッシングやソーシャルエンジニアリングの手口を見抜けるよう、チームを教育してください。

• 定期的なセキュリティレビューをスケジュールしてください。チェックリストを使って、計画どおりに進めます。

注意: 小さな対策を地道に続けることが、ネットワークの安全を保ちます。これらの手順を日常業務の一部にしてください。

このチェックリストに従うことで、最も重要なシステムの周囲に強固な防御を築けます。攻撃者が侵入したり、潜伏したりすることを大幅に困難にできます。

監視と検出のためのツール

主要なイベント ID とログ

Active Directory を注意深く監視する必要があります。攻撃者は自身の行動を隠そうとします。確認すべき項目が分かれば、攻撃者を発見できます。まずは重要なログとイベント ID を確認しましょう。これらの記録は変更内容を示し、問題を早期に見つける助けになります。

• グループメンバーシップの変更: 管理者グループでの不審な変更に注意してください。イベント ID 4728 は、ユーザーがグループに追加されたことを示します。イベント ID 4729 は、ユーザーがグループから削除されたことを示します。

• アカウントの作成と削除: イベント ID 4720 は新しいユーザーが作成されたタイミングを示します。イベント ID 4726 はユーザーが削除されたタイミングを示します。

• レプリケーション要求: イベント ID 4662 は、不審なレプリケーションのアクティビティを示す場合があります。攻撃者はこれを利用してパスワードデータを複製します。

• 認証イベント: イベント ID 4624 は成功したログインを記録します。通常とは異なる時間帯や新しい場所からのログインに注意してください。

• グループポリシーの変更: イベント ID 4739 はグループポリシーへの変更を追跡します。攻撃者は制御権を得るためにこれらを変更することがあります。

Kerberoasting や Golden Ticket 攻撃の兆候にも注意してください。これらの攻撃は、不審なチケット要求や新しいサービスアカウントなど、ログに痕跡を残します。

ヒント: ログは毎日確認してください。簡単なチェックを続けることで、問題が深刻化する前に検知できます。

推奨されるセキュリティツール

特別なツールを使うと、Active Directory の監視と保護に役立ちます。これらのツールを使うと、現在の状況を把握しやすくなり、脆弱な箇所を見つけやすくなります。

• Lepide Auditor for Active Directory: 変更をリアルタイムで追跡し、不審な操作をアラートで通知します。

• Netwrix Auditor: 即時のアラートを送信し、ログを長期間保持します。

• ManageEngine ADAudit Plus: ユーザーのアクティビティを監視し、カスタムアラートを設定できます。

• SolarWinds Access Rights Manager (ARM): 誰が何にアクセスできるかを管理し、コンプライアンスを確認できます。

• Quest のソリューション: 変更を追跡し、より高度な監視のために SIEM ツールと連携します。

• BloodHound: 攻撃経路を可視化し、攻撃者がどのように移動する可能性があるかを把握できます。

• PingCastle: AD のリスクを検査し、正常性スコアを提示します。

• LAPS (Local Administrator Password Solution): 各コンピューターに固有の管理者パスワードが設定されていることを確認します。

• Defender for Identity: ドメインコントローラーで脅威や不審な動作を監視します。

これらのツールの多くは、Splunk などの SIEM システムと連携して動作します。これにより、攻撃をより迅速に検知し、素早く対応できます。

注意: 適切なツールを使い、確認すべきログを監視することで、攻撃者に対する強固な防御が得られます。

Active Directory を安全に保つことは、ビジネス上の大きな問題を避けることにつながります。管理者の影響範囲（admin blast radius）を抑えることでネットワークを保護できます。また、PKI の抜け穴を塞ぎ、ハイブリッド同期を強化できます。これらの手順を見落とすと、攻撃者は素早く侵入範囲を広げます。

• SIEM ツールを使ってログを監視します。

• 管理者アクセス権を持つユーザーを減らし、パスワードを頻繁に変更します。

• MFA を使用し、管理者用のコンピューターは分離して運用します。

• グループポリシーとメンバーシップを頻繁に確認してください。

トリアージのチェックリストを使い、毎月セキュリティを確認してください。まずは1つのドメインから始めましょう。小さな変更を頻繁に行ってください。最重要資産を守るため、継続的に注意を払いましょう。

よくある質問

Active Directory を保護するうえで最も重要な手順は何ですか？

管理者アカウントの数を減らしてください。各コンピューターで固有のパスワードを使用するようにしてください。管理者グループのメンバーを頻繁に確認してください。これにより、攻撃者が大きな被害を引き起こすのを防ぎやすくなります。

管理者アカウントとアクセス許可をどのくらいの頻度で確認すべきですか？

管理者アカウントとアクセス許可を毎月確認してください。使用していないアカウントは削除してください。これによりネットワークの安全性が高まり、問題を早期に発見できます。

攻撃者が証明書テンプレートを狙うのはなぜですか？

攻撃者は脆弱な証明書テンプレートを好みます。それを使って不正な管理者アクセスを作り出します。これらの証明書は秘密鍵と同じように機能します。テンプレートを厳格に制限し、誰がそれを使用できるかを確認してください。

クラウドでの侵害はオンプレミスの Active Directory に影響しますか？

はい。攻撃者がクラウドアカウントに侵入すると、オンプレミスの AD にも到達できます。両方を保護し、不審な動きがないか監視する必要があります。

Active Directory への攻撃を監視するのに役立つツールには何がありますか？

BloodHound、PingCastle、Defender for Identity を使用できます。これらのツールは弱点の発見や脅威の警告に役立ちます。

あわせて聴きたいエピソード

Active Directory のセキュリティを調べているなら、以下のエピソードがアーキテクチャ、運用、セキュリティ、ガバナンスに関する実践的な背景を補足します。

• Microsoft AI Agent Harness – Simply Explained — オーケストレーションとガードレールについて学べます。
• Azure AI Foundry – Simply Explained — エンタープライズ AI の提供について理解できます。
• Microsoft Defender XDR – Simply Explained — セキュリティの文脈を補足できます。