Active Directory サービスアカウントを管理および保護する方法

一般的なActive Directory環境には、さまざまな種類のアカウントが存在します。これらには、ユーザーアカウント、コンピューターアカウント、およびサービスアカウントと呼ばれる特別な種類のアカウントが含まれます。

サービスアカウントは、特定の目的を果たし、環境内でサービスとアプリケーションを提供する特別なタイプのアカウントです。サービスアカウントは、ハッカーによるサイバーセキュリティ攻撃のターゲットでもあります。

では、サービスアカウントとは何でしょうか?ローカルシステムではどのような権限がありますか?サービスアカウントにはどのようなサイバーセキュリティリスクが関連付けられていますか? IT 管理者は、Active Directory でサービスアカウントに使用されている有効期限のない脆弱なパスワードをどのようにして見つけることができるでしょうか?

この記事では、クアントリマンが上記の質問に答えます。

Windows サービスとは何ですか?

前述したように、特定の Active Directory アカウントは、Active Directory ドメインサービス (ADDS) 内でさまざまな目的を果たします。 Active Directory アカウントをサービスアカウントとして割り当てることができます。サービスアカウントは、ほとんどの組織が環境内のWindows サーバー上に存在する Windows サービスを実行するために作成および使用する特殊な目的のアカウントの一種です。

サービスアカウントの役割を理解するには、Windows サービスとは何かを知る必要があります。 Windows サービスは、クライアントとサーバーの両方のMicrosoft Windowsオペレーティングシステムのコンポーネントであり、サーバーが実行されている限り、長時間実行プロセスの実行を可能にします。

エンドユーザーによって実行されるアプリケーションとは異なり、Windows サービスはシステムにログインしているエンドユーザーによって実行されません。サービスはバックグラウンドで実行され、サービスの構成された動作に応じて Windows の起動時に開始されます。

Windows サービスアカウントとは何ですか?

Windows サービスはエンドユーザーによって対話的に実行されませんが、特別なアクセス許可を持つユーザー固有のコンテキストでサービスを実行できるようにするアカウントが必要です。

他のプロセスと同様、Windows サービスにはセキュリティ識別子があります。この識別子は、ローカルホスト上およびネットワーク全体で継承される権利と特権を識別します。

このセキュリティ識別子を使用すると、サービスアカウントが実行されているローカルシステムやネットワーク全体に損害を与える可能性があることに注意してください。ベストプラクティスに従い、サービスに関連付けられた権限を低くすることで、ローカルサーバーまたはネットワーク全体でサービスアカウントに過剰な権限が付与されないようにすることができます。

Windows サービスは、ローカル Windows ユーザーアカウント、Active Directory ドメインユーザーアカウント、または特別な LocalSystem アカウントで実行できます。では、これら 3 種類のアカウントの違いは何でしょうか?

ローカル Windows ユーザーアカウント: ローカル Windows ユーザーは、クライアントオペレーティングシステムの SAM ローカルデータベースまたはローカル Windows Server 上にのみ存在するユーザーです。このアカウントはローカルのみを目的としており、Active Directory とはまったく関係ありません。サービスにローカル Windows アカウントを使用する場合、いくつかの制限があります。これらには、Kerberos での相互認証をサポートできないことや、サービスがディレクトリ対応である場合の課題が含まれます。ただし、Windows サービスのローカルアカウントはローカル Windows システムに損傷を与えることはできません。ローカル Windows ユーザーは、サービスアカウントに使用する場合に制限されます。
Active Directory ドメインユーザーアカウント: ADDS にあるドメインユーザーアカウントは、Windows サービスの優先アカウントタイプです。これにより、Windows および ADDS に含まれるさまざまなセキュリティ機能を利用できるようになります。 Active Directory ユーザーは、ローカルおよびネットワーク全体のすべてのアクセス許可だけでなく、所属するグループに付与されたアクセス許可も引き受けることができます。さらに、Kerberos での相互認証もサポートできます。 Windows サービスに使用される Active Directory ドメインユーザーアカウントは、管理グループのメンバーであってはいけないことに注意してください。 Windows サービスを実行するためにドメインアカウントが選択されると、サービスが起動されるローカルコンピューターにサービス権限としてログインするアクセス許可が付与されます。
LocalSystem アカウント: LocalSystem アカウントを両刃の剣として使用します。 Windows サービスの LocalSystem アカウントの利点は、サービスが Windows システムに無制限にアクセスできることです。これにより、Windows コンポーネントとの相互作用の問題を防ぐことができます。しかし、このサービスはシステムにダメージを与えたり、サイバー攻撃の対象となる可能性があるため、セキュリティ面での大きなデメリットやデメリットでもあります。ハッカーによって制御されている場合、LocalSystem で実行されている Windows サービスはシステム全体で管理者アクセス権を持つことになります。

Windows サービスアカウントは、Active Directory 環境における重要なアカウントです。 Windows サービスを実行するための正しいユーザーアカウントを選択すると、サービスが正しく動作し、適切な権限が与えられるようになります。では、Active Directory におけるサイバーセキュリティのリスクを高める可能性のある行動は何でしょうか?

サイバーセキュリティのリスクを高める行為

管理上の負担を軽減するために、サービスアカウントのパスワードは無期限に設定されることがよくあります。一部の政府機関や組織では、多くのサービスアカウントに同じパスワードを使用しています。これにより、あまりにも多くのパスワードを覚えておく必要がなくなります。

Active Directory サービスアカウントを管理および保護する方法

ただし、上記の 2 つの動作により、Active Directory 環境のネットワークセキュリティリスクが増加します。まず、パスワードの有効期限が切れていない場合、システムは同じパスワードを長期間使い続けることになり、漏洩の危険性が非常に高くなります。次に、同じパスワードを共有すると、1 つのアカウントだけでパスワードが漏洩した場合にシステム全体が攻撃される可能性があります。

では、組織や企業は上記の問題をどのように解決できるのでしょうか?

Specops Password Auditor を使用してサービスアカウントを管理および維持する

Specops Password Auditor は、Active Directory アカウントのセキュリティ問題の解決に役立つ無料のツールです。パスワードが期限切れにならないように、または相互に重複しないように設定されているサービスアカウントを含むアカウントを迅速に識別できます。

以下のスクリーンショットでは、Specops Password Auditor が問題を指摘していることがわかります。