権限昇格その仕組みと6つの予防法

権限昇格とは？

特権の昇格とは、コンピュータ・システム、ネットワーク、またはアプリケーション内で、より高いレベルのパーミッションやシステム特権に不正にアクセスするために、侵害された、または盗まれた認証情報から始まる、攻撃者によって使用されるセキュリティ悪用やテクニックのことです。

これは通常、脆弱性、設定ミス、人為的ミス、システムのセキュリティ設計上の欠陥を悪用することによって達成され、攻撃者は制御権を得たり、機密データにアクセスしたり、不正なアクションを実行したりすることができる。

特権の昇格は、垂直方向（より低い特権レベルからより高い特権レベルへの昇格）と水平方向（同じ特権レベルで、当初は許可されていなかったリソースや機能へのアクセスを得る）の両方で発生する可能性があります。

推薦図書：セキュリティ・ビッグデータ分析：過去、現在、未来​

権限昇格なぜ予防が重要なのか？

特権の昇格は通常、侵害された ID（クレデンシャル）を使用する敵対者によって実行される。この種の攻撃は検出が非常に困難で、ほとんどの場合、一般的なシグネチャやルールを回避します。特権の昇格が成功した場合の影響は甚大であり、従来の検知方法が有効でなかったため、さらに深刻なものとなります。

特権の昇格を防ぐことは、いくつかの理由から極めて重要である：

• 機密データの保護：特権の昇格は、個人情報、財務情報、ビジネスデータなどの機密情報への不正アクセスにつながる可能性があり、悪意のある行為者によって悪用されたり、漏えいしたりする可能性があります。
• システムの完全性の維持：攻撃者がより高いレベルの権限を獲得すると、重要なシステムファイル、設定、アプリケーションを操作、変更、削除することが可能になり、システムの不安定性や誤動作を引き起こす可能性があります。
• 権限の昇格を防止：権限の昇格を防止することで、新しいユーザーアカウントの作成、マルウェアのインストール、セキュリティ設定の変更など、攻撃者が不正なアクションを実行するのを制限することができます。
• コンプライアンスと法的影響:組織は、特権の昇格に対する保護を含め、適切なセキュリティ対策を講じることを要求するさまざまな規制や業界標準を遵守しなければなりません。これを怠ると、罰則、法的措置、風評被害を受ける可能性があります。
• 業務継続性の維持：特権昇格攻撃が成功すると、業務が中断され、ダウンタイム、生産性の低下、収益損失の可能性が生じます。このような攻撃を防ぐことは、業務の継続性を維持し、ビジネスプロセスを保護することにつながります。

権限昇格攻撃テクニック

特権の昇格攻撃は、主に垂直型（または昇格型）と水平型の2つの手法に分類することができる。いずれの手法も不正アクセスを目的としていますが、標的とする権限の範囲やレベルが異なります。

垂直的権限昇格（特権の昇格）

垂直的な特権昇格攻撃では、攻撃者は、標準的なユーザー・アカウントから管理者やシステム・レベルのアカウントに移行するなど、アクセス権を低いレベルから高いレベルに昇格させようとする。

この種の攻撃により、攻撃者はシステムに対する制御を拡大し、制限されたリソースにアクセスし、最初のアクセス・レベルでは不可能だったアクションを実行できるようになる。垂直的な特権昇格の一般的なテクニックには、以下のようなものがあります：

• ソフトウェアの脆弱性を悪用する：攻撃者は、パッチが適用されていないソフトウェアやオペレーティングシステムの脆弱性を利用して、特権を昇格させる可能性があります。
• 設定の誤り：システム、サービス、ファイルパーミッションの設定が不十分な場合、攻撃者に特権を昇格させる機会を与える可能性がある。
• ソーシャル・エンジニアリング：攻撃者は、ユーザーを欺いて特権資格情報を提供させたり、特権の昇格につながる行動を実行したりする可能性がある。

ホリゾンタル権限昇格

水平的な特権の昇格攻撃では、攻撃者は現在のアカウントと同じ特権レベルのリソースや機能へのアクセス権を得ることを狙うが、それは当初は許可されていなかったものである。

その目的は、攻撃者の特権レベルを上げることなく、他のユーザのデータ、リソース、または制限された機能にアクセスすることです。水平的な特権昇格の一般的なテクニックには、以下のようなものがあります：

• パスワード攻撃：攻撃者は、パスワードの推測、ブルートフォース攻撃、キーロギングなどのテクニックを使って、同じ特権レベルの他のユーザーのアカウントに不正にアクセスすることがあります。
• セッション・ハイジャック：攻撃者は、既存のユーザー・セッションを傍受、操作、または乗っ取り、そのユーザーのリソースにアクセスすることができます。
• アプリケーションの脆弱性の悪用：アプリケーションのロジック、認証、アクセス制御の仕組みの欠陥を攻撃者が悪用することで、他のユーザーに制限されるべきリソースや機能にアクセスすることができる。
• パス・ザ・ハッシュ：攻撃者はパスワードのハッシュを取得し、認証や他のネットワーク・システムへのラテラル・アクセスに利用する。
• シルバー・チケット攻撃とゴールデン・チケット攻撃：ゴールデン・チケット攻撃は、アクティブディレクトリ(AD)に対する完全なコントロールを明け渡す。また、シルバーチケットを使用することで、攻撃者はネットワーク上のドメインコントローラー（DC）と通信することなく、特定のサービスに対して複数のチケット付与サービス（TGS）チケットを作成することができます。

権限昇格攻撃の仕組み

特権の昇格攻撃は、水平型であれ垂直型であれ、一般的に、システムの欠陥、設定ミス、Kerberosなどで悪用可能な不十分なアクセス制御など、特権管理に関連する脆弱性を悪用することにかかっている。

システムと相互作用するすべてのアカウントは、アカウント所有者がそれを意識しているか否かに関わらず、一定レベルの特権を持っています。一般的なユーザは、システム・データベース、機密ファイル、その他の貴重な情報源へのアクセスが制限されています。悪意のあるアクターとは異なり、指定された範囲を超えて情報にアクセスする必要がないためです。

特権の昇格をよりよく理解するためには、攻撃者がより高いレベルの権限やアクセスを得るために採用する5つの主要なテクニックを認識することが重要です：クレデンシャルの搾取（脆弱なパスワードの活用など）、システムの脆弱性と悪用、設定の誤り、マルウェア、ソーシャルエンジニアリング。

悪意のある行為者は、これらの方法の1つ以上を利用することで、システムに侵入することができます。アクセス権を獲得した後、攻撃者は環境を観察し、次の行動を開始するタイミングを待ちます。攻撃者は、その目的に応じて、管理者アカウントやrootアカウントの制御権を獲得するために権限を増やし続けたり、最終的に環境全体を支配するまで横の動きを維持したりします。

エキスパートからのアドバイス

スティーブ・ムーアは、Exabeamのバイスプレジデント兼チーフ・セキュリティ・ストラテジストで、脅威検知のためのソリューションの推進を支援し、セキュリティ・プログラムの推進や侵害対応について顧客にアドバイスを行っています。The New CISO Podcast」のホストであり、Forbes Tech Councilのメンバー、ExabeamのTEN18の共同創設者でもあります。

私の経験では、特権の昇格を防ぐのに役立つヒントを以下に挙げる：

マイクロセグメンテーションの活用
ネットワークをマイクロ・ペリメーターにセグメント化してワークロードを分離し、きめ細かなセキュリティ制御を適用することで、攻撃者がネットワーク全体で特権をエスカレートする能力を制限します。

アプリケーションのサンドボックス化
アプリケーションを隔離されたサンドボックスで実行することにより、潜在的な権限昇格の範囲を制限します。これにより、攻撃者が侵害された1つのアプリケーションを利用して、システムの他の部分に影響を及ぼすことを防ぎます。

不変インフラストラクチャの使用
イミュータブル・インフラストラクチャ（デプロイ後にインフラストラクチャが変更されることがない）を実装することで、デプロイメント間で不正な変更が持続しないようになり、権限昇格のリスクが低減します。

PAMとUEBAの統合
特権アクセス管理（PAM）ツールは非常に重要ですが、User and Entity Behavior Analytics（UEBA）と組み合わせることで、特権アカウントに関連する異常な行動をリアルタイムで検出し、脅威の検出を強化することができます。

トークン・ベースの認証による横移動の防御
OAuth や Kerberos チケットなどのトークンベースのシステムを使用して、ネットワーク内での横方向の移動を制限します。1つのトークンが侵害されたとしても、攻撃者はシステム全体にアクセスすることはできず、エスカレーションのリスクを軽減できます。

権限昇格攻撃を防ぐ6つの方法

特権昇格攻撃を防ぐには、さまざまなセキュリティ対策、ツール、および手段を組み込んだ多面的なアプローチが必要です。ここでは、ベストプラクティスを紹介します：

1.特権アカウントを慎重に管理する

ここでは、アクセスを適切に管理し、特権の昇格を防ぐ方法をいくつか紹介する：

• 特権アカウント数の制限：特権アカウント数を必要最小限に減らし、必要なユーザーにのみ昇格権限を付与する。
• 最小特権の原則：ユーザーがタスクを実行するために必要な最小レベルのアクセスと権限を割り当てる。
• 定期的なレビューと監査：特権アカウントの権限を定期的にレビューし、監査することで、権限のあるユーザのみが昇格アクセスできるようにする。
• 監視とロギング：特権アカウント活動の監視とロギングを実施し、疑わしい行動や悪用の可能性を検出する。
• 一時的なクレデンシャルの使用:特権アカウントに一時的または時間制限付きのクレデンシャルを使用する。

2.ソフトウェアのパッチとアップデート

既知の脆弱性に対処し、権限昇格攻撃のリスクを低減するためには、ソフトウェア、オペレーティングシステム、ファームウェアに定期的にパッチを適用し、更新することが不可欠です。以下を含むパッチ管理プロセスを策定する：

• アップデートの監視：ソフトウェアベンダーがリリースするセキュリティパッチやアップデートを常に把握する。可能な限り、ツールやプロセスの自動化を利用する。
• パッチの優先順位付け:脆弱性の深刻度とシステムへの潜在的な影響に基づいてパッチの優先順位を決める。
• テストと展開：本番システムにパッチを展開する前に、管理された環境でパッチをテストし、潜在的な互換性の問題や混乱を回避する。
• SCAとSAST:ソフトウェア構成分析と静的アプリケーション・セキュリティ・テストを忘れないでください。サードパーティのウェブ・ツールを使用している場合は、ライブラリが最新のものであることを開発チームに確認してください。
• 変更チケット：セキュリティ運用チームの機能や組織全体のビジョンに影響を及ぼす可能性のある特定の変更を行ったときに、セキュリティ運用チームに通知する。

3.脆弱性スキャンの実施

定期的な脆弱性スキャンは、特権昇格攻撃に悪用される可能性のあるシステムの潜在的な弱点、設定ミス、脆弱性を特定するのに役立ちます。以下を含む脆弱性管理プログラムを導入する：

• 定期的なスキャン：システムおよびネットワークに対して、脆弱性スキャンを定期的に実行するようスケジュールする。これには、前述のように、開発者ツール（JexBoss、Apache Strutsなど）の脆弱性や既知のエクスプロイトに対する定期的なアプリケーションセキュリティテストが含まれます。
• 是正:特定された脆弱性を、その重大性と潜在的な影響に基づいて優先順位を付け、是正するためのプロセスを確立する。これには、可能な限り、LDAP から LDAPS へのアップグレード、NTLM から Kerberos へのアップグレードも含まれる。
• 検証：脆弱性が正常に修復されたこと、およびプロセス中に新たな脆弱性が導入されていないことを検証する。

4.ネットワーク・トラフィックと行動の監視

ネットワーク・トラフィックとユーザーの行動を監視することで、進行中の特権昇格攻撃の可能性を検出したり、不正アクセスの兆候を特定したりすることができます。以下のようなネットワークおよび行動監視ソリューションを導入する：

• 侵入検知システム（IDS）：侵入や悪意のある活動の兆候がないか、ネットワーク・トラフィックを監視するためにIDSを使用する。
• セキュリティ情報・イベント管理（SIEM）：SIEMツールを使用して、さまざまなソースからログデータを収集、分析、関連付けし、潜在的なセキュリティ・インシデントの特定に役立てる。
• ユーザーとエンティティの行動分析（UEBA）：UEBAソリューションを導入して、不正アクセスや権限の昇格を示す可能性のある異常な行動や不審な行動の兆候について、ユーザーの行動を監視・分析する。

5.強固なパスワードポリシーの実施

強固なパスワードポリシーは、パスワード攻撃による不正アクセスや権限昇格のリスクを低減します。パスワード・ポリシーには、以下の項目が含まれていることを確認してください：

• 複雑さ：パスワードには、大文字、小文字、数字、特殊文字を混在させる。
• 長さ：パスワードの長さは最低限必要で、通常は12～16文字とする。
• パスワードのローテーション：パスワードの有効期限を設定し、ユーザーに定期的なパスワードの変更を義務付ける。少なくとも3サイクルはパスワードを繰り返せないようにする。
• アカウントロックアウト:アカウントロックアウトのポリシーを実装し、ログインに失敗した回数が指定された後にアカウントをロックすることで、ブルートフォース攻撃のリスクを低減します。

6.セキュリティ意識向上トレーニングの実施

特権昇格攻撃のリスクと、セキュリティのベストプラクティスに従うことの重要性について、従業員を教育する。セキュリティ意識向上トレーニングの内容

• ソーシャル・エンジニアリングの手口を認識する：不正アクセスに使用される可能性のあるフィッシングの試み、口実作り、その他のソーシャル・エンジニアリングの手口を特定し、それに対応できるように従業員を訓練する。
• 安全なパスワードの実践：強力でユニークなパスワードを作成し、決して他人と共有しないことの重要性をユーザーに教育する。
• 不審な活動の報告：予期せぬ権限の変更や不正アクセスの試みなど、通常と異なる活動や不審な活動に遭遇した場合は報告するよう従業員に奨励する。
• 組織のセキュリティ・ポリシーに従う：従業員が、アクセス制御、ソフトウェア更新、特権アカウント管理など、組織のセキュリティ・ポリシーと手順を理解し、遵守していることを確認する。
• 定期的な研修と更新：セキュリティ意識向上研修を定期的に実施し、新たな脅威や脆弱性、保護を維持するためのベストプラクティスについて従業員に常に情報を提供する。

エクサビームが特権の昇格を検知する方法

特権活動、エスカレーション、および不正使用は、悪意のある内部者と危殆化した資格情報の両方の一般的なユースケースのカテゴリに共通する 3 つの指標です。

兆候や指標は、シグナルを通して照合される：

• 物理的アクセス制御
• エンドポイント監査
• ファイアウォール
• アクセス管理システム
• エンドポイントの保護
• VPN
• サービスとしてのID（SSOなど）
• PAMデバイス
• ファイル共有
• 電子メールのセキュリティ
• その他多数

さらに詳しくこの攻撃を防ぐためにExabeamを使用することについては、私たちのブログをご覧ください。権限昇格検知：高度な攻撃を防ぐ鍵