Active Directory 健全性診断レポート

krbtgt のパスワード最終変更から 412 日が経過しています（基準: 180 日）。krbtgt は Kerberos チケットの署名に使われるアカウントで、古いままだと Golden Ticket 攻撃の成立余地が残ります。

利用者への影響

なし（正しい手順で実施すれば、利用者への影響はありません）

推奨する対処

krbtgt のパスワードを変更します。2 回変更が必要ですが、1 回目と 2 回目の間は最低でも TGT の最大有効期間（既定 10 時間）以上あけてください。連続して 2 回リセットすると Kerberos 認証が壊れます。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

Active Directory ごみ箱が無効です。オブジェクトを誤って削除した場合、復元にバックアップからのリストアが必要になります。

利用者への影響

なし（有効化しても既存の動作に影響しません）

推奨する対処

有効化を検討してください。ただし一度有効にすると無効化できない点に注意が必要です。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/get-started/adac/introduction-to-active-directory-administrative-center-enhancements--level-100-#enable-active-directory-recycle-bin

ビルトイン Administrator（RID 500）のパスワード最終変更から 730 日が経過しています。攻撃時に最初に狙われるアカウントです。

利用者への影響

要確認（タスクスケジューラーやサービスがこのアカウントを使っていると停止します）

推奨する対処

使用箇所を洗い出したうえでパスワードを変更します。通常運用でビルトイン Administrator を使わない設計にしておくことも併せて検討してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/accounts

Domain Admins / Enterprise Admins / Schema Admins のいずれかで、メンバー数が 5 を超えています。特権アカウントは 1 つ侵害されれば全体が侵害されるため、数そのものがリスクになります。

利用者への影響

要確認（実際に必要としている担当者を外すと運用が止まります）

推奨する対処

棚卸しを行い、常時必要な人だけを残します。日常業務用アカウントと管理用アカウントを分け、必要なときだけ昇格する運用へ移行してください。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/plan/security-best-practices/appendix-b--privileged-accounts-and-groups-in-active-directory

DC 以外で制約なし委任が設定されたオブジェクトが 1 件あります。このホストが侵害されると、接続してきた利用者のチケットが取得され、権限が横取りされます。

利用者への影響

要確認（該当システムの動作要件を確認してから変更してください）

推奨する対処

制約付き委任（Constrained Delegation）またはリソースベースの制約付き委任へ移行します。不要であれば設定を解除してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/unconstrained-kerberos

事前認証が不要な設定のアカウントが 1 件あります。パスワードハッシュを外部から取得され、オフラインで解析される恐れがあります（AS-REP Roasting）。

利用者への影響

要確認（古いシステムの都合で設定されている場合があります）

推奨する対処

設定が必要な理由を確認し、不要であれば事前認証を有効に戻してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/preauthentication-not-required

「パスワードを必要としない」が有効なアカウントが 1 件あります。空パスワードでログオンできる状態になり得ます。

利用者への影響

要確認（該当アカウントの利用状況を確認してください）

推奨する対処

設定を解除し、パスワードを設定します。使われていないアカウントであれば無効化してください。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/manage/understand-security-identifiers

可逆暗号化が有効なアカウントが 1 件あります。実質的に平文と同じ扱いで、AD が侵害された際にそのまま読み取られます。

利用者への影響

要確認（この設定を必要とする古い認証方式が使われている可能性があります）

推奨する対処

依存しているアプリケーションを確認し、可能であれば設定を解除してパスワードを再設定します。

参考: https://learn.microsoft.com/ja-jp/windows-server/security/kerberos/store-passwords-using-reversible-encryption

サポート終了済みと思われる OS の有効なコンピューターが 8 件あります。更新プログラムが提供されないため、既知の脆弱性が残り続けます。

利用者への影響

要確認（業務システムが載っている場合は移行計画が必要です）

推奨する対処

用途を確認し、更新・移行・隔離のいずれかを計画します。どうしても残す場合はネットワークを分離してください。

既定のドメインパスワードポリシーに、推奨値を下回る項目が 2 件あります。

利用者への影響

要確認（次回のパスワード変更時から利用者に影響します。事前告知を推奨します）

推奨する対処

段階的に引き上げます。長さを優先し、定期変更の強制よりも長さと漏えい対策を重視する方針が現在は推奨されています。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/ad-ds/get-started/adac/introduction-to-active-directory-administrative-center-enhancements--level-100-

LAPS 用のスキーマ属性が見つかりません。端末のローカル管理者パスワードが共通になっている場合、1 台の侵害が全台に波及します。

利用者への影響

要確認（導入時に端末側の設定変更が必要です）

推奨する対処

Windows LAPS の導入を検討してください。端末ごとに異なるパスワードが自動管理されるようになります。

参考: https://learn.microsoft.com/ja-jp/windows-server/identity/laps/laps-overview

SPN を持つユーザーアカウントが 3 件あります（うち特権アカウント 1 件）。これらはオフラインでのパスワード解析を試みられる対象になります。

利用者への影響

要確認（サービスの認証に使われているため、変更時は停止を伴う可能性があります）

推奨する対処

グループ管理サービスアカウント（gMSA）への移行を検討します。難しい場合は、25 文字以上のランダムなパスワードを設定し、特権グループから外してください。

参考: https://learn.microsoft.com/ja-jp/defender-for-identity/security-posture-assessments/riskiest-lateral-movement-paths

パスワード無期限のアカウントが 3 件あります（うち特権アカウント 1 件）。多くはサービスアカウントですが、棚卸しされないまま残っていることがあります。

利用者への影響

要確認（サービスアカウントの場合、変更時に停止を伴います）

推奨する対処

用途を台帳化し、可能なものは gMSA へ移行します。人が使うアカウントであれば無期限設定を解除してください。

90 日以上ログオンしていない有効なユーザーが 4 件あります。退職者が残っている場合、そのまま侵入口になります。

利用者への影響

要確認（人事情報との突き合わせが必要です）

推奨する対処

人事部門と照合し、不要なものは無効化したうえで一定期間後に削除します。まず無効化して様子を見る運用が安全です。

90 日以上ログオンしていない有効なコンピューターが 6 件あります。廃棄済み端末の残骸である可能性があります。

利用者への影響

なし（無効化から始めれば影響を確認しながら進められます）

推奨する対処

無効化して専用 OU へ移動し、一定期間問題がなければ削除します。

サイト未割当のサブネットが 2 件あります。該当ネットワークの端末が、最寄りではない DC に接続してしまう可能性があります。

利用者への影響

なし（割り当ての追加は影響が限定的です）

推奨する対処

適切なサイトへ割り当てるか、使われていないサブネット定義であれば削除します。

DC が配置されていないサイトが 2 件あります。拠点閉鎖後に定義だけが残っているケースがよくあります。

利用者への影響

なし

推奨する対処

意図した構成でなければ、サイト定義を整理してください。