Directoryでのリスクの数値化」というセッションのレポートです。2022#セキュリティ臼田佳祐2022.10.27この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。こんにちは、臼田です。2022で行われた以下のセッションのレポートです。Directory(AD)は、企業ネットワークのバックボーンとして広く採用されている。そのため、ADを乗っ取ることは組織全体をコントロールすることを意味する。ADを悪利用しようとする敵対者のニュースが後を絶たない。われわれの研究によると、これは防御側と攻撃側の間に大きなギャップを生じさせていることが分かった。AD環境における潜在的な攻撃ベクトルが見えないと、防御者は何を防御すべきかの手がかりを得られない。防御者が環境中の潜在的な攻撃ベクトルを認識していたとしても、効果的なリスク低減はもちろん、作業の優先順位をつけるためにリスクの重大性を理解しなければ、防御を実施することは困難な場合が多い。上記の課題を克服するため、われわれはまず、ADにおいての知識の範囲内ですべての攻撃ベクトルを評価し、防御者に可視性を提供する。Directoryを対象とした実用的なリスクモデルを提案する。このモデルでは、組織内のさまざまなタイプのシナリオで無理なく利用できるよう、柔軟性を考慮したリスクファクターを定義している。本講演では、リスクモデルを深く掘り下げた後、攻撃ベクトルと攻撃経路をどのようにモデルに適用し、リスクを定量化できるかを紹介する。本講演では、聴講者は、潜在的な攻撃を早期に発見するために、攻撃ベクトルを列挙することで、すぐに行動を起こすことができる。攻撃経路を列挙した後、リスク定量化モデルを適用し、防御作業の優先順位付けを行うことが可能だ。リスクモデルに基づく戦略を共有することで、効果的かつ包括的な方法でリスク全体を低減することもできる。各ベクターを攻撃経路に応じて評価どれだけのログオンのセッションがあるのかどれだけのユーザーがいるのかなどを見ていくログオンセッションをダンプすることができるのでリスクはLowACLはカバー率は75%でリスクは20DCSyncは33%でリスクは15まとめるとACLが一番高いのでここから対応していくまとめ攻撃経路を無効にする高いベクターのものをなくすSPN設定など可能性を低くするACLなどは可能性を低くするネストされているグループは注意深くやる必要がある検知メカニズムを執行する緩和できなければ検知を強化する感想ADは非常にコアな機能のため、こういったアプローチを活用して改善をしていきたいですね。