ntds.dit の悪用への理解と防御

By Mirko Peters · 2026-08-28

ポッドキャスト関連ブログへようこそ！今回の記事では、「ntds.dit」ファイルがエンタープライズ ネットワークで最も重要かつリスクの高いファイルの一つである理由と、攻撃者がこれをどのように狙うのかを解説します…

Automatically translated with AI from the original post. Read the English original

ポッドキャスト関連ブログへようこそ！今回の記事では、あらゆるエンタープライズ ネットワークで最も重要かつリスクの高いファイルの一つである ntds.dit データベースを詳しく取り上げます。IT インフラの管理やサイバーセキュリティに携わっている方なら、このファイルについて耳にしたことがあるでしょう。しかし、攻撃者がこれをどのように狙ってドメイン全体の制御を奪おうとするのか、正確に理解しているでしょうか。本記事では、ntds.dit の悪用の仕組み、このファイルが攻撃者にとって依然として主要な標的である理由、そして認証情報の窃取や不正なレプリケーションからこの重要な Active Directory コンポーネントを保護するための具体的な対策を解説します。ID 基盤の保護についてさらに詳しく知りたい方は、関連エピソードで ハイブリッド ID の侵害に備えて Azure AD Connect を強化する方法を取り上げていますので、あわせてご覧ください。

Active Directory と ntds.dit の概要

Active Directory (AD) は、現代の企業 IT 環境の中枢神経系の役割を果たしています。ユーザーの認証、重要なリソースへのアクセス承認、組織全体のポリシーの管理を担っています。しかし、その裏側では、これらすべての情報をどこかに保存しておく必要があります。その保存先が ntds.dit と呼ばれる専用のデータベース ファイルです。

ネットワークを理解し防御するには、まず最も重要な資産がどこに保管されているかを知ることから始まります。ntds.dit ファイルは、いわば Active Directory の心臓部です。このファイルがなければ、ドメイン コントローラーは機能できず、ユーザーはログインできません。王国の鍵を握っているため、境界を突破した攻撃者にとって最大の獲物でもあります。ネットワークを適切に防御するには、まずこのファイルの構造と、その侵害がもたらす深刻なリスクを理解する必要があります。

ntds.dit ファイルの役割

ntds.dit（New Technology Directory Services Database）ファイルは、Active Directory フォレスト内のすべてのドメイン コントローラーに保存されています。ユーザー アカウント、コンピューター アカウント、セキュリティ グループ、そして最も重要なドメイン内の全ユーザーのパスワード ハッシュなど、ディレクトリ データ全体を格納した包括的なデータベースです。

ユーザーがワークステーションにログインしたり、ネットワーク共有にアクセスしたりすると、ドメイン コントローラーは ntds.dit ファイルに問い合わせて本人確認を行います。Windows システムは平文のパスワードを保存しないため、データベースには NTLM ハッシュや Kerberos キーなどのパスワードの暗号化表現が格納されています。攻撃者がこの単一のファイルに不正にアクセスできれば、個々のアカウントに対してブルート フォース攻撃を行う必要はなくなります。組織内のすべてのユーザー、サービス、管理者の認証素材を、即座に入手できてしまうのです。

攻撃者による ntds.dit の標的化と悪用

ntds.dit ファイルは Active Directory サービスの実行中、オペレーティング システムによってロックされているため、攻撃者は標準のエクスプローラーから単純にコピーすることはできません。その代わり、高度な攻撃者は、即座にアラートを発生させずにファイルを抽出または複製する高度な手法を用います。

最も一般的な手法の一つは、DCSync 攻撃と呼ばれる、ディレクトリ レプリケーション プロトコルの悪用です。DCSync 攻撃では、攻撃者は侵害された管理者資格情報を使って正規のドメイン コントローラーになりすまします。そのうえで対象のドメイン コントローラーにレプリケーション データを要求し、すべてのパスワード ハッシュを含む ntds.dit ファイルの内容を引き渡させます。

あるいは、ドメイン コントローラー上でローカル管理者または SYSTEM の特権を持つ攻撃者は、ボリューム シャドウ コピー サービス（VSS）などの Windows 標準ユーティリティや専用ツールを使って、データベースのスナップショットを作成し、外部に取り出すことができます。ファイルがネットワークから持ち出されると、攻撃者はオフラインのパスワード解読ツールでハッシュを解読し、特権アカウントの平文のパスワードを手に入れます。

ドメイン全体の制御を奪われる侵害の影響

ntds.dit ファイルの抽出と悪用に成功すると、組織にとって重大な事態になります。攻撃者がこのデータベースから得たパスワードハッシュの解読に成功すると、ドメイン管理者アカウントを容易に標的にできてしまいます。ドメイン管理者の資格情報を手に入れた時点で、侵害は局所的な感染から組織全体の構造的な崩壊へと発展します。

ドメインを完全に掌握された場合の影響は次のとおりです。

• ネットワーク全体の乗っ取り: 攻撃者はゴールデンチケットを作成したり、グループ ポリシーを変更したりして、ドメインに接続されたすべてのマシンにマルウェアやランサムウェアを同時に配布できます。
• データの持ち出しと恐喝: 内部のファイル共有やデータベースに制限なくアクセスできるため、悪意のある攻撃者は知的財産、顧客情報、財務データを盗み出すことができます。
• 永続的なアクセス: 攻撃者はシャドウ管理者アカウントなどのバックドアを仕込むことができます。そのため、初期の脆弱性にパッチが適用された後も、アクセス権を維持し続けることができます。

ビジネスへの影響は、長期にわたるダウンタイム、壊滅的な財務損失、規制当局による罰金、そして回復までに数年を要する深刻なレピュテーションの低下に直結します。

Active Directory と ntds.dit を保護するための具体的な手順

ntds.dit ファイルを保護するには、ドメイン コントローラーを強化し、管理権限を制限し、アクセス経路を監視する多層防御のアプローチが必要です。攻撃者をこの重要な資産から遠ざけるために、単一のセキュリティ対策に頼ることはできません。

まず、最小特権の原則を徹底します。本当に必要な担当者だけに管理権限を付与し、標準のユーザー アカウントと管理アカウントを厳密に分離してください。日常的な業務用のワークステーションや Web の閲覧に、ドメイン管理者アカウントを絶対に使用しないでください。

次に、強力な認証制御を実装します。すべての管理アクセスとリモート管理セッションには、多要素認証 (MFA) を必須とすべきです。さらに、ハッシュ データを何らかの方法で入手した攻撃者に対するオフラインのパスワード解読を飛躍的に困難にするため、長いパスフレーズの使用と定期的な更新を求める、厳格なパスワードの複雑性基準を適用してください。

最後に、ドメイン コントローラーを物理面と仮想面の両方で強化します。ドメイン コントローラーへのローカル管理アクセスを制限し、最新のセキュリティ パッチを速やかに適用するとともに、物理サーバー ルームを監視し、不正な物理的改ざんから保護されていることを確認してください。

不正なレプリケーションと資格情報の窃取の検出

防御は極めて重要ですが、堅牢な検出の仕組みがあれば、攻撃者が境界を突破した場合でも、ntds.dit ファイルを持ち出される前に攻撃を捕捉できます。DCSync と VSS の悪用は特有のフォレンジック痕跡を残すため、セキュリティ チームは継続的な監視とログ記録を構成する必要があります。

主な検出戦略は次のとおりです。

• ディレクトリ レプリケーション イベントの監視: ディレクトリ サービス オブジェクトに対して実行された操作を記録する Windows セキュリティ イベント ID 4662 に注意を払ってください。特に、想定外のコンピューターやユーザー アカウントによってレプリケーション権限が要求または行使されていないかを確認します。
• VSS の使用状況の追跡: ドメイン コントローラーでのボリューム シャドウ コピーの作成を監査してください。特に、非標準のプロセスやユーザー アカウントによって開始されたものには注意が必要です。
• SIEM と ID 脅威検出ツールの導入: Security Information and Event Management (SIEM) ソリューションと専用の Active Directory 監視ツールを併用し、異常な動作パターンをリアルタイムで検知してください。

ドメイン コントローラーの通常のアクティビティのベースラインを確立することで、セキュリティ オペレーション センター (SOC) は不正なレプリケーションの試みを即座に発見し、攻撃の初期段階で食い止めることができます。

長期的な AD セキュリティと防御のベスト プラクティス

Active Directory の保護と ntds.dit ファイルの防御は、一度きりのプロジェクトではなく、継続的な運用上の取り組みです。脅威アクターは手口を進化させるため、防御態勢もそれに合わせて適応させる必要があります。

定期的な Active Directory のセキュリティ評価と監査を、日常の運用スケジュールに組み込んでください。PingCastle や Purple Knight などのツールは、悪意のある攻撃者に悪用される前に、構成の誤り、使われていないアカウント、アクセス許可の過剰な拡大を特定する助けになります。さらに、インシデント対応計画では、ID を標的とした侵害を明示的に扱い、攻撃を受けているドメイン コントローラーを隔離するための手順書をリハーサル済みで含めておくようにしてください。

コンパニオンのポッドキャスト エピソード「Harden Azure AD Connect Against Hybrid Identity Breaches」で取り上げたとおり、現代の企業ネットワークは、オンプレミスのADとAzure ADのようなクラウド プラットフォームにまたがっていることがよくあります。ローカル ディレクトリとクラウドの間の接続部分を保護することは、ntds.dit ファイル自体を保護することと同じくらい重要です。攻撃者はハイブリッド環境の設定ミスを悪用して、環境間を移動することが多いためです。

Active Directoryのセキュリティに対して、積極的かつ包括的なアプローチを取ることが重要です。最小権限の原則、継続的な監視、強力な認証、定期的な監査を組み合わせることで、組織にとって最も価値のあるデジタル資産を、高度なIDの脅威から確実に守ることができます。