2026年3月14日 アスクルのランサムウェア攻撃の考察 [セキュリティ研究室]

　こんにちは！
　ナビゲータのEVEです。

　本日から、夜勉についても、Xでツイートを始めました。
　昨日は、3:00過ぎに寝て、8:30分に起きたのだけれど、眠い・・・。まっ、5時間じゃあねぇ・・・。
　っということで、眠くなったら、数分寝てからデスクに向かうという生活をしています。この生活、来週頭ぐらいに解消できると思っているんだけど、どうだろう・・・。頑張るしかないですね？？？
　ただ、夜勉してみてわかったけれど、やはり、夜の方がはかどる・・・。昼間のはかどる時間帯って、朝起きてから昼ぐらいまでなんだけれど、その時間システム開発しているでしょ？そのため、必然的に、中小企業診断士の勉強時間って、調子が悪い時間帯っていうことになってしまいます。
　ただ、午前中はかどるというのは、システム開発だけであって、多分、中小企業診断士の勉強を午前中にもってきたら、こんな発言にならないのだと思います
　まだ、決定というわけではありませんが、試験1カ月前までは、夜勉必須のようです。それにより、システム開発の時間が短くなるし、頭が痛い問題です。もう少し考えて、最善な生活リズムを実現したいと思います。
　では、土曜日ということで、セキュリティの日です。先週の続きをしましょう。

[先週までは・・・]

　先週までは、ウイルスの権限昇格を防ぐ方法を以下のように列記し、「権限設計とネットワーク構造」まで話をしました。本日は、先週の続きで、「権限設計とネットワーク構造」の続きの部分から話を進めましょう。

【権限昇格を防ぐ方法】

1. 資格情報の保護
2. OS・ソフトウェアの最新化
3. 端末の暗号化（Disk / Memory）
4. 権限設計とネットワーク構造
5. EDR自己防御
6. 横展開対策
7. バックアップ分離
8. 監視（SOC）

[権限設計とネットワーク構造]

　「権限とネットワーク構造」では、権限とネットワークという観点から、権限昇格を封じ込めようとしています。
　その中でも、意味不明な、TierモデルとLAPSとは何かを調べ、報告しました。ブログ書く間隔が長いため忘れていましたが、LAPSについては、以前調べていましたね？
　本日は、順にみていくと、「サービスアカウントの権限を最小化する」ですが、これは、分かりますよね？普段の業務以外の権限を与えると、いいことはないっていうことです。それは、内部犯行の可能性を考えてですが、でないにしても、外部の人間に同アカウントがハックされた場合、水平レベルで被害が広がります。これは、基本なので、ご理解いただけると思います。
　次に、「ドメイン管理者は日常理解しないとい」のでは、ログイン情報は、ネットワーク上を流れるのですが、すべて暗号化されているなら問題ありません。しかし、暗号化されていない場合、ネットワークデータをキャプチャしている人間にはまる見えです。そのまる見えのデータの出現は多ければ多いほど、収集の機会を増やすことになります。それを減らしましょうということでしょう？

①権限設計（Privilege Design）で求められること

管理者権限を分離する（Tierモデル）

ローカル管理者パスワードを端末ごとにバラバラにする（LAPS）

サービスアカウントの権限を最小化する

ドメイン管理者は日常利用しない

ログオンできる場所を制限する（Logon Restrictions）

　→　1つの端末を取られても、ドメイン管理者権限に到達できない構造を作る。

②ネットワーク構造（Network Segmentation）で求められること

ネットワークを分割する（VLAN / セグメント）

管理ネットワークを分離する

バックアップネットワークを分離する

サーバー間通信を“許可制（Allowlist）”にする

SMB/RDPなど横展開に使われるプロトコルを制限する

　→　攻撃者が侵入しても、横展開できず、重要サーバーに到達できない構造を作る。

[考察の考察]

　「サービスアカウントの権限を最小化する」、「ドメイン管理者は日常利用しない」という項目について、自分なりに考察したのですが、考えがまだ甘いようです。特に、「ドメイン管理者は日常利用しない」という部分については、認識が甘いようです。「ドメイン管理者は日常利用しない」という行動はなぜとらなければならないのかというと、以下が重要な点となります。以下は、Copilotの考察です。

■ドメイン管理者アカウントを日常利用した場合の問題点

・その端末に ドメイン管理者の認証情報（ハッシュ・チケット）がキャッシュされる

・攻撃者がその端末を奪うと、Pass-the-Hash / Pass-the-Ticket でドメイン管理者権限を奪取できる

　→　つまり 1台の端末が落ちただけで、AD 全体が落ちるこれが最大の問題です。

・暗号化されているかどうかではなく、端末に残る認証情報そのものが危険 なのです。

したがって、

• ドメイン管理者アカウントは、日常利用せず、専用の管理端末（Tier 0）でのみ使用する。

　以上のリスクは、今まで紹介してきた方法では防げないし、これから紹介する方法でも防ぐことはできません。すべてのセキュリティを実現した時、そのリスクは低減しますが、やはり、ドメイン管理者は日常利用しない方がよいようです。なお、「サービスアカウントの権限を最小化する」については、私の記述では甘いのですが、内容としてはたいして違わないので、追加解説は致しません。

[あとがき]

　権限とネットワークから、侵入者の権限昇格を防ぐということを考察していましたが、奥が深いことを知りました。項目を見て知っていると思うではなく、あえて調べてみるといった姿勢が正しいのかもしれません。

　では、また！