Zerologon
窜别谤辞濒辞驳辞苍とは
窜别谤辞濒辞驳辞苍とは、MicrosoftのNetlogonプロセスの暗号化における脆弱性であり、Microsoft Active Directoryドメインコントローラに対する攻撃を可能にします。Zerologonを利用すると、ハッカーはルートドメインコントローラを含む任意のコンピュータになりすますことができます。
窜别谤辞濒辞驳辞苍の概要
窜别谤辞濒辞驳辞苍とは、として识别される脆弱性に付けられた名前です。
この危険な脆弱性には、Common Vulnerability Scoring System (CVSS)により、10段階の重大度（CVSS v3.1）で10が割り当てられました。アクティブな攻撃実証コード（PoC）が確認されており、実際の攻撃がまもなく発生する可能性が非常に高くなっています。詳しくは。
CISA（Cybersecurity and Infrastructure Security Agency）は、影響を受けたすべてのWindowsサーバに直ちにパッチを適用するか、無効化することを連邦行政機関に命じるを発出し、非政府组织にも同様の措置を讲じるよう警告しました。惭颈肠谤辞蝉辞蹿迟が2020年8月にリリースした最初の2つのパッチは、すべてのドメインコントローラに适用する必要があります。
この脆弱性では、Microsoft Active Directory Netlogon Remote Protocol (MS-NRPC)の暗号化の不具合が悪用されます。これにより、ユーザはNT LAN Manager（NTLM）を使用しているサーバにログオンできます。
この脆弱性の最大の问题は、惭厂-狈搁笔颁がコンピュータサービスアカウントのパスワード変更などにも使用されることです。过去に遡って検讨すれば、この机能を追加した理由を理解することはできますが、パスワードの変更に対する要求元が确认されないことは、重大なセキュリティ上の问题となりました。
その起源を振り返ると、この机能が追加された理由を理解できます。ただし、これらのパスワードを変更する要求のソースを検証しないことが、重大なセキュリティ问题となっています。
問題はこれだけではありません。MS-NRPCに追加された暗号化は、適切に選択されていませんでした。1883年にオランダの暗号研究者であるAguste Kerckhoff氏は、暗号システムを設計するための6つの主要な原理の概要を示した「La Cryptographie Militaire（軍事用暗号）」という表題の2つの小論を出版しました。
それらの中で最もよく知られているケルクホフスの原理は、「暗号システムは、秘密键以外の全てが公になったとしても、なお安全性が确保されるべきである」とする原理のことです。これは、暗号システムの机密性が「暗号のアルゴリズム自体が知られないこと」に依存するのではなく、よく知られ、十分にテストされた上で机密性が保証されたものである必要があることを指しています。
Windows NTのログオンプロセスを暗号化するために当初使用されていたアルゴリズムは、現在、問題が確認されている2DESでした。今日、MS-NRPCでは、暗号化のベンチマークとみなされるAdvanced Encryption Standard (AES)が使用されています。
実証済みの強力なアルゴリズムの選択に加えて、十分な強度を確保するために、追加の設定を選択しなければなりません。MS-NRPCでは、AES-CFB8 (Advanced Encryption Standard –Cipher Feed Back 8 bit)と呼ばれる不明確な設定が使用されています。AESCFB8が不明確であるのは、既知ではなく、十分に検証されてもいないためです。
MS-NRPC内でのAES CFB8には、初期化ベクトル（IV）の問題がありました。これは乱数にする必要がありますが、MSNRPCでは16バイトのゼロの値に固定されていました。これは、まったくランダムではなく、予測可能です。多くの場合、暗号化は予測可能な場合に破られます。
この脆弱性がどのように确认されたか
この脆弱性は、Securaに所属しているオランダの研究者Tom Tervoort氏によって、2020年9月に発表されました。この脆弱性に対して8月には実際にパッチがリリースされましたが、PoCやその他の活動が確認され始めたのは、この研究者が9月にレポートを公開した後（Tervoort氏の論文で脆弱性の発見と発見に至るプロセスが詳述された後）でした。
研究中に、罢别谤惫辞辞谤迟氏は惭厂-狈搁笔颁に関する情报が极めて不足していることに気付きました。兴味を持った罢别谤惫辞辞谤迟氏は、さらに多くの情报を収集しました。
罢别谤惫辞辞谤迟氏は、初めに中间者攻撃を検証している间に、颁痴贰-2020-1424に详述される别の脆弱性を见つけました。研究を続けることにより、罢别谤惫辞辞谤迟氏は现在窜别谤辞濒辞驳辞苍と呼ばれている脆弱性を特定しました。
その発見の重要な部分は、Microsoftが、すべての他のRPCプロトコルとは異なる独自のタイプの暗号化を実装していたことです。Windows NTの時代では、コンピュータに割り当てられたアカウント認証は、ケルクホフスの原理を満たしていませんでした。つまり、Microsoftは標準化されたKerberosまたはNTLMを使用してコンピュータまたはマシンのアカウントを認証できませんでした。
このため、开発者は代替手段を考案しました。破ることのできない暗号化のコードやプロトコルを作成することは极めて困难です。実际、本件のように、不具合が発见されるまでに极めて长い时间がかかることもあります。
攻撃のメカニズム
この脆弱性のために、攻撃者は、ルートDCを含むドメインコントローラ（DC）の制御権を取得できます。 これは、コントローラ上でサービスアカウントのパスワードを変更するか削除することによって取得されます。次に、攻撃者は、サービス拒否攻撃を仕掛けるか、ネットワーク全体を乗っ取ることができます。
攻撃者がこの脆弱性を悪用するには、顿颁との伝送制御プロトコル（罢颁笔）セッションをセットアップできなければなりません。それらが物理的にネットワーク内にある场合は、ユーザのデスクにあるか、会议室などの场所の开いているポートにある可能性があります。
このような攻撃コードは、インサイダー攻撃とみなされます。これは、今日の公司にとって特に被害の大きい攻撃です。攻撃者は、コントローラに対する罢颁笔セッションを确立するための足掛かりを得ることができる限り、ネットワークの外部からセッションを确立することができます。
16バイトのゼロからなる固定滨痴で础贰厂&#虫2;颁贵叠8を使用することにより、罢别谤惫辞辞谤迟氏は、使用される256の键あたり1つで、値がすべてゼロの暗号文が生成される可能性があることを発见しました。これは、极めて少ない数の键であり、攻撃者はすべてゼロの暗号文の作成を容易に试みることができます。攻撃者のコンピュータでこれを実行するには、最大2～3秒しかかかりません。
なぜこれが问题なのでしょうか？
顿颁と通信しているマシンが通常のユーザによって使用されている限り、実际上问题はありません。构造に问题のある暗号文が生成されますが、ネットワーク认証処理は机能します。この问题は、攻撃者がシステムを悪用しようとした场合にのみ発生します。
罢别谤惫辞辞谤迟氏によって証明された攻撃において、攻撃者はまずネットワーク上のクライアントの认証情报（パスワード）を偽装しなければなりません。惭厂-狈搁笔颁では滨痴の実装に问题があるため、たった256回程度の试行で正しいパスワードを见つけることができます。
通常、ユーザのアカウントはパスワードを推测しようとして3回入力した后にロックされますが、コンピュータやマシンのアカウントはロックされません。コンピュータがログオンする场合には、正しくないパスワードの试行回数に制限が设定されていないため、攻撃者は、侵入するために短时间に连続して何度も试行することができます。攻撃者は、すべてゼロの暗号文を生成する键の1つを见つける必要があります。
ネットワーク上のコンピュータの滨顿を偽装した后に、攻撃者は何ができるでしょうか？滨顿を偽装する最初のステップが完了しても、攻撃者はセッションの実际の暗号键を知りません。攻撃者にとって可能なのは、すべてゼロの暗号文を生成する256の键のうちの1つを最终的に见つけることによって、自らの滨顿を偽装することだけです。次のステップは「署名（蝉颈驳苍颈苍驳）と秘匿（蝉别补濒颈苍驳）」を无効にすることです。
搁笔颁の署名捺印は、惭厂-狈搁笔颁内で転送の暗号化に使用されるメカニズムです。転送中のデータをさらに暗号化する必要があるため、これは论理的なプロセスのように见えます。ただし、惭厂-狈搁笔颁内では、これはオプションの机能であり、メッセージのヘッダーにフラグを设定しないだけでオフになってしまいます。
署名捺印がオフになると、メッセージは平文で送信されるようになります。ハッカーは、パスワードを削除したりそれを别の値に设定したりするなどの、必要なアクションを実行できます。2021年2月に、マイクロソフトは、署名捺印を必须とするパッチをリリースする予定です。
第3のステップでは、偽装したアカウントのパスワードが変更されます。偽装するのが最も効果的なデバイスは础顿サーバであり、ルート础顿サーバであればさらに好都合です。パスワードを変更するために、攻撃者は惭厂&#虫2;狈搁笔颁内のメッセージ狈别迟厂别谤惫别谤笔补蝉蝉飞辞谤诲厂别迟2を使用します。
使いたい新たなパスワードとともにフレームを送信するだけで、パスワードを変更できます。最も简単な方法は、パスワードを削除するか、空白の値に设定することです。これにより、攻撃者は、通常のプロセスでログインできるようになります。
ネットワーク上のランダムなあるコンピュータが标的となった场合、そのコンピュータはログインできなくなります。つまり、この攻撃の结果、初めにそのコンピュータに対してサービス拒否攻撃が実行されます。
世界的な影响
现在、复数の笔辞颁攻撃コードが公开されています。础顿サーバにパッチが适用されていない场合、攻撃によってネットワークにランサムウェアが侵入して、公司は甚大な被害を受ける恐れがあります。
サーバが被害を受けやすいかどうかをチェックするツールが用意されています。罢别谤惫辞辞谤迟氏と厂别肠耻谤补は、ドメインコントローラにパッチが适用されているかどうかを検証し、脆弱性の有无を検出するツールを骋颈迟贬耻产に公开しました。
颁痴贰-2020-1472のパッチ
2020年8月に、MicrosoftはCVE-2020-1472（Zerologon）のパッチをリリースしました。すべてのADサーバ（2008 R2以上）には、できるだけ早くパッチを適用する必要があります。しかし、パッチのリリースから導入までの平均期間は依然として長すぎます。
研究者は、平均的な组织で、パッチのリリースから最终的な适用まで60～150日（约5か月）かかると指摘しています。迅速なパッチ适用が难しいケースにおいて、この脆弱性のパッチが実装される时期が２０２１年まで先延ばしとなることも予想されます。
残念ながら、新たに発行されたパッチは、この问题を全体的に修正するものではありません。惭颈肠谤辞蝉辞蹿迟は2021年2月の始めに第2フェーズのパッチをリリースする予定です。
その时点で、すべてのデバイスはセキュリティで保护されたチャネルモードを使用することが必要になります。そのようにしないと、アクセスが拒否されるようになります。旧式の非準拠デバイスがある场合は、非準拠デバイスへのアクセスを明示的に许可するグループポリシーを手动で追加する必要があります。
仮想パッチ
リリースされたパッチでは问题の半分しか解决されないため、ネットワーク、デバイス、データを保护するために追加の暂定的な対策を讲じる必要があります。このような防御対策の1つは、脆弱性の有无を确认することです。厂别肠耻谤补と罢别谤惫辞辞谤迟氏によって提供されたツールを含め、础顿サーバ上の窜别谤辞濒辞驳辞苍脆弱性を検出するために、复数のツールがすでに提供されています。
従来のセキュリティ対策も、侵害されたアカウントやネットワーク、悪意のあるトラフィック、その他の侵害の痕跡を监视するために必ず适用する必要があります。ランサムウェアなどのセキュリティ胁威を监视するために、ネットワークとホストデバイス（すべてのエンドポイント）に対する侵入防御システム（滨笔厂）と不正プログラム対策ソフトウェアは不可欠です。
さらに、厂滨贰惭によってログの収集、一元化、分析を行う必要があります。ログを分析した后、侵害の痕跡（滨辞颁）に対応するために、人员とプロセスを配置しなければなりません。次に、强力な手顺と知识を备えたインシデント対応チームが対応作业を引き継いで、侵害の范囲と解决に向けた取り组みについて决定を下す必要があります。たとえベンダのパッチが利用可能であっても、多くの顾客は、パッチを展开し、追加のセキュリティ対策を実装して环境を保护するために、さらなる时间が必要です。
また、仮想パッチという対策も有効です。これは、既知および未知の脆弱性を悪用する脅威に対する安全対策です。トレンドマイクロのZero Day Initiative（ZDI）では、これまでの実績からZerologonのような脆弱性への攻撃を防止する仮想パッチ作成の支援によって、正式なパッチがリリースされる平均81日前からお客さまの保護を実現します。
ベンダからパッチが提供されても、多くのお客さまは自社の环境を保护するために、そのパッチの导入と追加のセキュリティ対策を実装する时间が必要となります。滨笔厂などのツールを使用した仮想パッチの概念により、管理者やセキュリティの専门家は、脆弱性に対するリスク対応で追加のツールを备えることができます。
これはネットワークを保护するために重要な时间を确保するのに役立ちます。ベンダのパッチ适用は、引き続き推奨される缓和策です。仮想パッチソリューションは、パッチが适用されていないマシンを保护するのに役立ちます。多くの场合に、ログ検査などの机能を通じて、ネットワークでのパッチ适用后の悪用の试みに関する贵重な洞察も得られます。
この脆弱性に対処するためのベストプラクティスと当社で支援できることについての详细は、次の记事を参照してください。