S&J、『Active Directory監視サービス』でPrintNightmare攻撃の検知が可能に

PrintNightmareは、Active Directory環境ではドメインコントローラーが乗っ取られてしまう危険性があり、非常に危険なため早急な対応が求められています。
そこでS＆Jは、独自開発SOCサービス『Active Directory監視サービス』でPrintNightmare攻撃を以下の場合に検知できるように対応いたしました。

・Active Directory配下のPCやサーバーが PrintNightmare で攻撃された
・ドメインコントローラーが PrintNightmare で攻撃された

本サービスでは、Active Directory環境において、上記の場合にPrintNightmare攻撃を独自開発SOCサービス『Active Directory監視サービス』で検知します。
※ADV（アドバンスト）プラン、監査ログ設定が必要です。

・IEMでは検知が困難な脅威（DCShadow、DCSync、Pass The Hash、Golden Ticket、BloodHoundなど。）を検知します。
・重要なパッチ（Zerologon、SIGRed、PrintNightmareなど）の適用チェックを行います。
・脅威を検知することで攻撃に対する対処をいち早く実施できます。
・24時間365日体制で監視を行います。
・検知した情報のみを送信するため、SIEMよりもログ量が格段に少なくなります。
・不審な動作をしたアカウントは、リモートでアカウントの無効化を行います （別途オプション）。
・過検知をAIエイジング機能で大幅に削減しています。

PrintNightmareは、Active Directory環境のシステム権限が奪われてしまう非常に危険な脆弱性です。サーバーを含め全ての端末で対応が必要なのですが、パッチ適用や緩和策の実施が困難な環境も多くあり、対応漏れが起きる可能性もあります。そのため、PrintNightmareの攻撃を検知できるように緊急で研究し対応いたしました。
独自開発SOCサービス『Active Directory監視サービス』によって、ドメインコントローラーの膨大なログから攻撃の痕跡をいち早く検知することができますので、お客様のActive Directory環境をPrintNightmareの脅威から守れるようになったことを誇りに思います。