Active Directory（AD）セキュリティ診断
複雑化したアカウント・権限設定を可視化し、ADを起点とした侵害リスクを診断

Active Directory（AD）は、企業のユーザーアカウントや端末、アクセス権限などを一元管理する重要な基盤です。一方で、長年の運用によって不要なアカウントや過剰な権限、複雑なグループ構成などが蓄積し、管理者がAD全体の設定状況を把握することが難しくなっているケースもあります。

こうした設定不備や権限管理上の問題が悪用されると、攻撃者による権限昇格や他の端末・アカウントへの侵害拡大につながる可能性があります。本サービスでは、専用ツールによる調査とセキュリティエンジニアによる分析を組み合わせ、ADのアカウント・権限・認証設定などを診断。攻撃につながる可能性のある設定や権限関係を洗い出し、改善につなげます。

＼　無料相談受付中！　／

お問い合わせはこちらから

ADを狙った攻撃への対策が必要な理由

ADは重要な情報が集まる管理基盤
ADには、ユーザーや端末、アクセス権限などの重要な情報が集約されています。ADが侵害されると、組織内のさまざまなシステムへ被害が広がる可能性があります。
長年の運用で設定や権限が複雑化
アカウントの追加・変更を繰り返すことで、不要なアカウントや過剰な権限、古い設定などが残り、セキュリティ上のリスクになることがあります。
一つの侵害から被害が広がることも
攻撃者にアカウントを侵害されると、ADの権限関係や設定不備を悪用して、より高い権限を取得される可能性があります。そのため、個々の設定だけでなく、AD全体の権限関係を含めてリスクを把握することが重要です。

ADセキュリティ診断で確認できること

ADに潜む設定不備だけでなく、アカウントやグループ、権限の関係性を分析し、攻撃につながる可能性のあるリスクを確認します。具体的には以下のような観点を診断します。

特権アカウントや管理者グループに不要・過剰な権限が設定されていないか
パスワードポリシーやパスワード強度、休眠・不要アカウントなど、アカウント管理に問題がないか
Kerberosや委任設定など、認証に関する危険な設定がないか
ACLやグループ構成をたどることで、一般ユーザー等から重要な権限へ到達できる経路が存在しないか
GPOやADCSなど、ADを構成する機能にセキュリティ上の問題がないか

ニーズに合わせて選べる2つの診断プラン

AD環境の基本的なセキュリティ状態を確認するスタンダードプランと、横展開や特権昇格など、より実践的な攻撃シナリオまで踏み込んで確認するアドバンスドプランをご用意しています。診断目的や確認したい範囲に応じて、お選びいただけます。

プラン・診断項目

カテゴリ	診断項目	診断内容	スタンダード	アドバンスド
アカウント管理	特権アカウント・管理者	管理者権限を持つアカウントやグループを確認し、不適切な設定や権限がないかを診断します。	●	●
	休眠・不要アカウント	長期間使用されていないアカウントや不要なアカウントが残っていないかを確認します。	●	●
	ACL・オブジェクト権限	AD内のアクセス権限を確認し、危険な権限付与や特権への到達につながる関係がないかを診断します。	●	●
	パスワードポリシー	パスワードの長さや複雑性などの設定を確認し、安全なパスワード運用が行われているかを診断します。	●	●
	パスワード強度・ハッシュ解析	パスワードハッシュを解析し、攻撃者による解析を想定した場合に、パスワードを特定できるアカウントがないかを確認します。 ※診断に必要な権限を付与いただける場合のみの実施とさせていただきます。	●	●
認証・信頼関係	Kerberos（認証）	Kerberosの設定を確認し、認証情報の悪用につながるリスクがないかを診断します。	●	●
	委任（Delegation）	委任設定を確認し、権限の悪用や不正アクセスにつながる可能性がないかを診断します。	●	●
	GPO・信頼関係	グループポリシーやドメイン／フォレスト間の信頼関係を確認し、セキュリティ上問題となる設定がないかを診断します。	●	●
	ADCS（証明書サービス）	証明書サービスの構成を確認し、証明書の不正利用や権限昇格につながる設定がないかを診断します。	●	●
横展開	横展開・認証要求	別マシンやドメインコントローラーなどへの横展開につながるリスクがないかを確認します。	－	●
横展開	プロトコル・通信	NTLM、SMB、LDAPなどの設定を確認し、不正アクセスや認証情報の悪用につながるリスクがないかを診断します。	－	●
特権昇格	権限昇格・ドメイン掌握	高い権限の取得やドメイン全体の侵害につながる設定・権限がないかを確認します。	－	●
設定不備	App Control for Business	アプリケーション実行制御に関するポリシーを確認し、セキュリティ上の問題がないかを診断します。	－	●

設定の確認だけでは見えにくいリスクまで可視化

ADのセキュリティ対策では、設定値を確認するだけでなく、実際に攻撃者がどのように権限を悪用できる可能性があるかまで確認することが重要です。本サービスでは、アカウントや権限の関係性、パスワードの強度などを分析し、通常の設定確認だけでは把握しにくいリスクを可視化します。さらにアドバンスドプランでは、侵害後の横展開や特権昇格まで想定した分析を行います。

攻撃につながる権限関係を分析

AD内のユーザー、グループ、コンピューター、権限などの関係性を分析し、個々の設定だけでは見えにくい、重要な権限への到達につながる関係がないかを確認します。

パスワードハッシュを解析

パスワードハッシュを解析し、攻撃者による解析を想定した場合に、パスワードを特定できるアカウントがないかを確認します。パスワードポリシーの設定だけでは分からない、実際のパスワード強度をアカウント単位で把握し、改善につなげます。

アドバンスドプランでは、さらに侵害後の攻撃を想定した分析も実施

アドバンスドプランでは、スタンダードプランの診断内容に加え、別端末への横展開や特権昇格、ドメイン全体の侵害につながる可能性まで踏み込んで確認します。
AD環境に侵入された場合を想定し、攻撃がどのように広がる可能性があるかを分析することで、より実践的なリスク把握につなげます。

こんな企業におすすめ

ADを長期間運用しており、現在の設定や権限を一度棚卸ししたい
不要なアカウントや過剰な権限が残っていないか確認したい
自社のパスワード管理に問題がないか確認したい
ランサムウェアなどによる侵害拡大に備えたい
ADへの侵入後、どこまで被害が広がる可能性があるのか確認したい

Proactive DefenseのAD診断を選ぶ理由

個々の設定だけでは見えにくいリスクまで可視化: AD 環境では、一つひとつの設定に大きな問題がなくても、複数のアカウントや権限の関係
性によっては、攻撃者が重要な権限へ到達できる経路が生まれる場合があります。本サービ
スでは、個々の設定確認に加えて、AD 環境全体の関係性を分析することで、被害拡大につ
ながる潜在的なリスクを可視化します。
実際の攻撃手法を踏まえた「攻撃者視点」の分析: ペネトレーションテストの国際資格「OSCP+（OffSec Certified Professional Plus）」を保有するセキュリティエンジニア監修のもと、実際のサイバー攻撃で用いられる手法や攻撃者の視点を取り入れた分析を行います。AD の設定情報やアカウント・権限の関係性をもとに、特権昇格や横展開につながる可能性のある攻撃経路を分析し、被害拡大につながる潜在的なリスクを可視化します。
なお、本サービスの攻撃経路分析は、実際の侵入や攻撃の成立を検証するペネトレーションテストとは異なり、AD の設定情報などに基づいてリスクを評価するものです。
改善につながる診断結果をレポート: 診断で検出した問題について、リスクの内容や重要度、推奨する改善方法を整理してレポートします。診断後の具体的なセキュリティ改善に活用いただけるほか、報告内容に関するご質問には、一定期間のフォローアップも実施します。

サービスの進め方

STEP

お問い合わせ・ヒアリング

お客様のAD環境や診断対象、現在抱えている課題やご要望などをヒアリングします。診断の目的や環境に応じて、診断範囲や適したプランをご案内し、お見積りをご提示します。

STEP

診断準備

診断の実施に必要な情報や環境をご準備いただきます。必要な情報や事前準備については当社からご案内し、診断をスムーズに開始できるようサポートします。

STEP

診断・分析

選択いただいたプランに応じて、アカウントや権限、認証、各種設定などを確認し、AD環境に潜むセキュリティリスクを診断します。アドバンスドプランでは、横展開や特権昇格など、侵害後の攻撃を想定したより詳細な分析も行います。

STEP

レポート・結果報告

診断で検出した問題やリスク、推奨する改善方法をレポートにまとめ、診断結果をご報告します。
報告内容についてご不明な点がある場合は、一定期間、診断結果に関するご質問へのフォローアップも実施します。

価格

価格：要お見積り

環境規模や診断対象、選択いただくプランによって異なるため、個別にお見積りします。

＼　無料相談受付中！　／

お問い合わせはこちらから

よくあるご質問

どちらの診断プランを選べばよいですか: 「まずはADの基本的なセキュリティ状態を確認したい」「横展開や特権昇格など、侵害後の攻撃まで想定して詳しく確認したい」など、ご要望をヒアリングしたうえでご提案します。
診断によって業務やAD環境に影響はありませんか: 診断対象の環境や実施方法を事前に確認したうえで診断を行います。必要な準備や診断時の注意事項についても、事前にご案内します。
診断後の改善についても相談できますか: はい。診断で検出した問題について、リスクや推奨する改善方法をレポートでご報告します。報告内容についてご不明な点がある場合は、一定期間、診断結果に関するご質問へのフォローアップも実施します。
パスワードハッシュ解析では何が分かりますか: パスワードハッシュを解析し、攻撃者による解析を想定した場合に、パスワードを特定できるアカウントがないかを確認します。パスワードポリシーの設定だけでは把握しにくい、実際のパスワード強度をアカウント単位で確認できます。