ディレクトリサービス：LDAPとActive Directory

ディレクトリサービスは、ユーザー、グループ、コンピューター、プリンター、ポリシーなど、ネットワークリソースに関する情報を一元的に保存・整理するリポジトリです。組織は各システムで個別にユーザーデータベースを管理するのではなく、ディレクトリサービスをID情報の信頼できる唯一の情報源として使用します。すべての認証要求はディレクトリに対して検証され、アクセス ポリシーは組織全体で一貫して適用されます。

LDAP（Lightweight Directory Access Protocol）は、ディレクトリサービスの検索と変更に使われる業界標準プロトコルです。LDAPはエントリをDirectory Information Tree（DIT）と呼ばれる階層ツリーに整理し、各エントリをDistinguished Name（DN）で識別します。LDAPはポート389（平文）とポート636（LDAPS — TLS over LDAP）で動作します。LDAPはプロトコルであり、ディレクトリ自体は別の製品です。

Active Directory（AD）は、LDAPとKerberosを基盤とするMicrosoftのエンタープライズ向けディレクトリサービスです。リソースをドメインに整理し、ドメインがツリーに、ツリーがフォレストにまとまります。ドメインコントローラー（DC）はADデータベース（NTDS.dit）をホストし、認証を処理します。ADは、ほとんどのWindowsエンタープライズ環境におけるID管理の中核です。

Active Directoryは、デフォルトの認証プロトコルとしてKerberosを使用します。この処理はチケット付与によって行われます。クライアントがKey Distribution Center（KDC）に対して認証を行い、Ticket-Granting Ticket（TGT）を受け取ります。ユーザーがリソースにアクセスする必要がある場合、TGTを提示して、そのリソース専用のService Ticketを取得します。パスワードがネットワーク上で送信されることはなく、暗号化されたチケットだけが送信されます。この設計は、Kerberoastingなどの攻撃を理解するうえで中心的な要素です。

グループポリシーオブジェクト（GPO）は、数千台のマシンにセキュリティ設定を同時に適用するためのADの仕組みです。GPOでは、パスワードの複雑性要件、画面ロックのタイムアウト、ソフトウェアのインストール、ファイアウォールルール、レジストリ設定などを構成できます。GPOはADコンテナー（サイト、ドメイン、OU）にリンクされ、そのコンテナー内のすべてのユーザーとコンピューターに適用されます。GPO設定はデフォルトで90分ごとに更新されるため、ポリシーから逸脱したマシンでもコンプライアンスを維持できます。

Active Directoryは、アクセス権限をまとめて管理するためにセキュリティグループを使用します。管理者は個々のユーザーに権限を割り当てるのではなく、グループに権限を付与し、適切なグループにユーザーを追加します。Security+で理解しておくべき主な組み込みグループには、Domain Admins（ドメイン全体を完全に制御）、Enterprise Admins（フォレスト全体を制御）、Schema Admins（ADスキーマを変更）、Administrators（ローカルマシンの管理者）があります。これらの高権限グループへの所属は厳格に管理する必要があります。

LDAPインジェクションは、ディレクトリサービスにおけるSQLインジェクションに相当します。攻撃者は、ユーザー入力がLDAPフィルターに直接連結される処理に、特殊文字（*、(、)、\、NUL）を挿入してLDAPクエリを操作します。攻撃に成功すると、認証をバイパスしたり、すべてのディレクトリエントリを抽出したり、ディレクトリオブジェクトを変更したりできます。防止するには、入力検証を行い、文字列連結ではなくパラメーター化されたLDAP APIを使用する必要があります。

企業では、冗長性と地理的な分散配置のために複数のドメインコントローラーを導入します。ADレプリケーションは、Directory Replication Service（DRS）を使用してすべてのDCを同期します。攻撃者はこのレプリケーションをDCSync攻撃に悪用します。レプリケーション権限を使い、実際にはログオンせずにDCからすべてのパスワードハッシュを要求する攻撃です。レプリケーション権限の保護は、ADを強化するうえで重要な手順です。

ポート389の平文LDAPでは、バインド資格情報を含むデータがクリアテキストで送信されるため、傍受される危険があります。組織では、すべてのディレクトリトラフィックを暗号化するため、ポート636のLDAPS（TLS経由のLDAP）を必須にする必要があります。さらに、攻撃者がLDAP認証メッセージを傍受して再送し、不正アクセスを得るリレー攻撃を防ぐため、LDAP署名とチャネルバインディングも必須にする必要があります。

Active Directory環境では、何年も運用するうちに設定ミスが蓄積していきます。ADにおける一般的なセキュリティ上の弱点には、制約のない委任（任意のユーザーへのなりすましを許してしまいます）、脆弱なパスワードを持つKerberoast可能なサービスアカウント、AS-REP roastingの対象（事前認証が無効になっているアカウント）、過剰なDomain Adminメンバーシップ、そして隠れた特権権限を付与するAdminSDHolderの設定ミスなどがあります。BloodHoundなどのツールを使った定期的なADセキュリティ評価により、こうした経路を特定できます。

関係を明確にすると、LDAPはディレクトリと通信するためのプロトコルです（HTTPがWebサーバーとの通信に使われるのと同じです）。Active Directoryは、アクセスプロトコルとしてLDAPを使用するMicrosoftのディレクトリサービス製品です。その他のLDAP互換ディレクトリには、OpenLDAP（オープンソース）、Oracle Directory Server、Red Hat Directory Serverなどがあります。いずれもLDAPクエリを使用しますが、管理インターフェースや追加の独自機能はそれぞれ異なります。

このレッスンで学んだCompTIA Security+（SY0-701）の概念について、理解度を確認しましょう。

このレッスンでは、LDAPは、階層ツリー内の識別名を使ってディレクトリサービスにクエリを実行するプロトコルであること、Active Directoryは認証にKerberosを使用し、GPOによってドメイン全体にセキュリティ設定を適用すること、そして傍受攻撃やリレー攻撃を防ぐため、ポート636のLDAPSとLDAP署名を必須にする必要があることを学びました。次は、特権アクセス管理（PAM）について学びます。