どうも、株式会社ソフトクリエイト で情報屋やってます。山口です。
普段は企業様向けに Microsoft 365 活用のご支援をおこなっています。
Active Directory を狙う攻撃って、ぱっと見ではかなり気付きにくかったりします。 なにせ攻撃者は「普通のログイン」に紛れて動いてくるので、"怪しい挙動"として検知するのが本当に難しい世界だったりするんですよね (^^;
そこで登場するのが、Microsoft Defender for Identity（以下 MDI） の"ハニートークンアカウント"という機能。
これ、要するに"あえて放置しているダミーアカウント"を用意しておいて、そこにアクセスしてきたやつは全員クロ！ …
という、ちょっと痛快な仕組みだったりします(^^!?
今回はこの MDI のハニートークンについて、 「そもそも何なのか」「どんなアラートが出るのか」まで、まとめていきます。
Microsoft Defender for Identity の"ハニートークンアカウント"って何？～攻撃者をおびき寄せるおとりの仕組みを案内するよ～
■ ハニートークンって、そもそも何？
ハニートークン（Honeytoken） は、直訳すると"甘い罠"みたいなニュアンスの言葉で、セキュリティ業界では"攻撃者を釣るためのおとり資産" を指します。
イメージとしては、 「使ってないんだけど、なんか強そうに見えるアカウント（例：admin_backup とか svc_domainadmin みたいな）」 をわざとドメインに置いておいて、そこに触ってきたやつを検知する、という感じですね。
普通のユーザーは、そのアカウントの存在すら知らないので、"触りに来る＝内部を偵察している攻撃者" という判定ができるわけです。かなり合理的 (^^
■ MDI とは？
Microsoft Defender for Identity（MDI）は、オンプレミスおよびハイブリッド環境の Active Directory を監視し、認証情報の悪用や不正アクセス、横展開などのID関連攻撃を検出・調査・対応するクラウドベースのセキュリティサービスです。
■ MDI におけるハニートークンアカウントの位置づけ
MDI では、この"ハニートークン"の概念を エンティティタグ という仕組みで実装しています。
Microsoft Defender for Identity のエンティティタグは、機密アカウント、Exchange Server アカウント、またはハニートークンアカウント向けに適用するためのもので、この中の Honeytoken タグ を、おとりに使いたいアカウントに付けておく、という運用になります。
そして、ここが一番大事なポイントなのですが、 Honeytoken アカウントは通常休止状態であるため、Honeytoken アカウントに関連付けられている認証によってアラートがトリガーされます。
つまり…[普段は誰にも使われていない][でも、Active Directory 上には存在している][なので、認証イベントが発生した瞬間＝異常]
という前提で成り立っている仕組みなんですね。 "沈黙しているのが正常" というアカウントを用意しておく、ってところが賢いところだったりします(^^
■ 前提条件 : 使う前に整えておくべきもの
ハニートークンの機能を活かすには、当然ですが MDI 自体が動いていることが大前提です。
Microsoft Defender XDR で Defender for Identity のエンティティタグを設定するには、お使いの環境に Defender for Identity が展開されていることと、Microsoft Defender XDR への管理者またはユーザーアクセス権が必要です。
つまり必要なのは、[MDI センサーが Domain Controller に導入済みであること][Microsoft Defender XDR への管理者権限（またはユーザー権限）]
このあたりが揃っていないと、そもそもタグ付けの画面にたどり着けなかったりします(^^;
■ ハニートークンタグ付けのやり方
MDI では、以下の手順でハニートークンタグを付与できます。
1. Microsoft Defender 管理センターにアクセスします。
2. ナビゲーションメニューの[システム]-[設定]-[ID]にアクセスします。
[ハニートークン]-[ユーザー]-[+]をクリックします。
対象のアカウントを選び、[選択範囲を追加する]をクリックします。
ハニートークンタグが正常に付与されることを確認します。
■ アラートはどう飛んでくるのか？
ハニートークンにタグ付けしたアカウントに対して、以下のようなアクションがあると、MDI はアラートを発火してきます。
• サインイン試行（成功・失敗どちらも）
• Kerberos チケット要求
• NTLM 認証イベント
• LDAP クエリでの参照
「使われるはずのないアカウントを触った時点で、それは異常」というシンプルな検出ロジックなので、誤検知が比較的少ないアラートとして扱いやすいのが特徴だったりします。Microsoft Defender XDR 側で "Honeytoken activity" 系のアラートとして上がってくるので、SOC 運用チームでも見つけやすい設計になっているのがありがたいポイント (^^
インシデントの詳細を確認することで、アラートの説明から、影響範囲、証拠を確認できます。
「アラートストーリー」は、攻撃者が実際にどのような操作を行ったのかを時系列で再構成したタイムラインとしても確認できます。
MDI のアラートストーリー例
1. powershell.exe executed a script : PowerShellスクリプトが実行された, 「Remote execution（リモート実行）」として分類
2. net.exe user /domain : ドメインユーザー情報を列挙, 「Lateral movement（横方向の移動）」として分類
3. Anomalous account lookups : 異常なアカウント情報の検索を検出, MDI が通常とは異なるアカウント列挙行為を検知
4. net1.exe : net.exeの互換コマンド, ユーザーやグループ情報の列挙に利用
5. powershell.exe performed use… : PowerShellから追加の管理操作を実行
6. net.exe group "Domain ..." : Domain Adminsなどの特権グループ情報を列挙した可能性
■ 運用ポイント
せっかくハニートークンアカウントを仕掛けるなら、"いかにも狙われそうなアカウント" にするのがコツです(^^
おすすめの命名例：
・svc_backup_admin
・sql_service_da
・oldadmin_2019
・helpdesk_super
要は、攻撃者が Get-ADUser とかで一覧を見た時に "これは美味しいぞ？" と思わせるような名前 にしておく、ということですね。
さらに、次も意識しておくと精度が上がります。
・強めのパスワードを設定しておく（クラック試行を検出するため）
・無効化はしない（無効アカウントだと認証イベントが飛ばないので）
・description 欄に"バックアップ用"みたいなヒントを書いておく
・[監査ログ有効化（DC 側で 4624/4625/4768 などをちゃんと拾える状態に）]
■ まとめ
ハニートークンアカウントは、"攻撃者に触られた瞬間に確定で黒判定される" という、非常に運用効率のいい検知メカニズムです。 派手な機能ではないんですが、内部偵察・水平移動・権限昇格のフェーズを早期に検知するうえで、実はめちゃくちゃ強力だったりします (^^
[対象サーバーで MDI が動いている][Defender XDR ポータルに触れる][適当なダミーアカウントを1〜数個作る]
これだけで、AD 環境の"見えない敵"を検知する強い味方が手に入るので、まだ設定していない環境があったら、ぜひ試してみるといいと思います (^^!!
