こんにちは！インフラやネットワークの世界へようこそ。日々の運用管理、本当にお疲れ様です。
ネットワークの配線図を眺めたり、新しいサーバーを組み上げたりするワクワク感は格別ですよね。「よし、今日もシステムは平和だ！」……そう思いたいところですが、サイバー空間の裏側では、私たちの知らないところでサイバー攻撃の「下準備」が着々と進められています。
今回は、ランサムウェアが社内ネットワークに侵入したあと、「次にどこを攻撃してやろうか」と標的を品定めする手口について、一緒に見ていきましょう。
「LDAP（エルダップ）」という言葉、聞いたことはありますか？難しそうに聞こえるかもしれませんが、実は身近な「社内名簿の電話帳」のような仕組みなんです。一歩ずつ、優しく紐解いていきましょう！
—
1. ランサムウェアが仕掛ける「下調べ」の恐怖
皆さんは、ランサムウェア（身代金要求型マルウェア）と聞いて、どんな動きを想像しますか？「いきなりパソコンの画面が真っ暗になって、身代金を要求される」というイメージが強いかもしれません。
でも、ちょっと待ってください。映画の悪者じゃないんだから、彼らもいきなり暴れ回るわけではありません。
社内のパソコンにこっそり侵入したマルウェアは、いきなり暴力を振るうのではなく、まずは「この会社には、どんなお宝（サーバー）があって、どこにバックアップが隠されているんだろう？」という下調べを丁寧に始めます。
この下調べの段階で、彼らがこっそり悪用するのが、Active Directory（アクティブ・ディレクトリ）という社内システムが持つ「社内名簿（LDAP）」の機能なんです。
—
2. LDAPってなに？現実世界の「社内電話帳」で例えてみよう
技術的な難しい用語を並べる前に、まずは身近な例えで考えてみましょう。
皆さんが新しい会社に転職したとします。社内のフロアには何百人もの社員がいて、どの人が総務の担当者で、どの人がシステムの管理者なのか、最初はまったく分かりませんよね。
そんな時、手元に「社内電話帳（内線番号表）」があればどうでしょう？「あ、システムの田中さんは内線389番だな。連絡してみよう」とすぐに分かります。
Active Directoryにおける LDAP（ポート389番） や、その通信を暗号化した LDAPS（ポート636番） は、まさにこの「巨大な社内電話帳」そのものです。
- 社内のパソコンやサーバーの名前
- IPアドレスの住所録
- 誰がどのグループに所属しているかという権限情報
これらがすべて、この電話帳にギッシリ詰まっています。通常、この電話帳は、社員（正当なユーザーやシステム）が仕事をしやすくするために用意されているものなのですが……もし、会社に忍び込んだ「悪意ある侵入者」がこの電話帳をごっそり盗み見ることができたら、どうなるでしょうか？
「おっ、あそこのサーバーがバックアップ専用機だな。まずそこを破壊して、逃げ道を断ってから全体を暗号化してやろう！」という風に、最も効果的で致命的な攻撃プランを、いとも簡単に立てられてしまうのです。
—
3. ネットワークの裏側：攻撃者はどうやって情報を集めるのか？
マルウェアは、社内の端末に潜り込むと、ドメインコントローラー（社内電話帳の管理サーバー）に対して、次のような質問（LDAPクエリ）をこっそり投げかけます。
「ねえねえ、このネットワークに繋がっている『backup』という名前がついたサーバーのIPアドレスを教えてよ」
「社内で一番権限が強そうな『Administrator』って誰？」
これらはすべて、正規の管理ツールが使うような通信手順で行われるため、セキュリティの網をすり抜けやすいという厄介な特徴があります。
ここで、攻撃者が内部情報を探るために実際に使ったり、私たち管理者が脆弱性診断のテストで使ったりするスクリプトの例（Python）を覗いてみましょう。雰囲気を知るだけでも、脅威のリアルさが伝わってくるはずです。
# 【学習・検証用】LDAPを用いてドメイン内のコンピューター情報を列挙するイメージコード
from ldap3 import Server, Connection, ALL
# 1. 社内電話帳を管理しているドメインコントローラーを指定します
server = Server('dc01.example.local', get_info=ALL)
# 2. 侵入者が盗み出した（あるいは不正に入手した）アカウント情報でログインを試みます
conn = Connection(server, user='example\\intruder', password='Password123', auto_bind=True)
# 3. 電話帳の中から「コンピュータ（サーバーやPC）」のオブジェクトをごっそり探し出す検索をかけます
conn.search(
search_base='DC=example,DC=local',
search_filter='(objectCategory=computer)',
attributes=['cn', 'operatingSystem', 'dNSHostName']
)
# 4. 見つかったターゲットのホスト名やOSのリストを画面に出力します（標的の選定！）
for entry in conn.entries:
print(f"発見されたターゲット -> ホスト名: {entry.cn}, OS: {entry.operatingSystem}")このように、ほんの数行のコードを実行するだけで、ネットワーク全体の地図が攻撃者の手に丸裸になってしまうのです。怖いですよね。
—
4. どうやってこの脅威を防ぐの？ネットワークレベルの防御策
「じゃあ、社内電話帳であるLDAPをもう使わないように止めちゃえばいいの？」と思われるかもしれませんが、Active Directoryを使っている企業にとって、LDAPは日常のログイン認証やファイル共有に欠かせない心臓部です。止めるわけにはいきません。
では、ネットワークスペシャリストとして、私たちはどうやってこの脅威から身を守ればよいのでしょうか？
いくつかの実用的なアプローチを順に見ていきましょう。
① LDAP通信の「暗号化（LDAPS）」と「署名」の強制
古いシステムでは、通信の中身が丸見えのプレーンテキスト（ポート389）でLDAPがやり取りされていることがあります。これを盗聴されないよう、暗号化された LDAPS（ポート636） や、通信の改ざんを防ぐ「LDAP署名（LDAP Signing）」を必ず有効にしましょう。
② ゼロトラストの思想に基づく「内部ネットワークのセグメント化」
「社内に入られたら終わり」という昔ながらの境界防御の考え方は捨てましょう。
例えば、一般の社員が使うPCから、中枢であるドメインコントローラーへの不要なLDAP（ポート389/636）の通信を、ファイアウォールやスイッチの設定でガチガチに制限します。
以下は、Linuxのパケットフィルタリング設定（iptablesやnftablesの概念）のイメージです。「必要な端末以外からのアクセスは通さない」という鉄則をコードで表現してみましょう。
# 【設定例】ドメインコントローラーへのLDAP（389）アクセス制御のイメージ
# 許可された管理サーバーや特定の認証サーバー以外からのポート389へのアクセスを拒否する設定
# 管理用IP（192.168.10.50）からのLDAPアクセスは許可
iptables -A INPUT -p tcp -s 192.168.10.50 --dport 389 -j ACCEPT
# 一般のPCセグメント（192.168.20.0/24）からの直接的なLDAP問い合わせは原則ブロックする
iptables -A INPUT -p tcp -s 192.168.20.0/24 --dport 389 -j DROP*(※実際の環境に適用する際は、クライアントの認証動作に影響が出ないか入念な検証が必要です)*
③ 異常なクエリ検知（EDRやSIEMの導入）
もしマルウェアが短時間に何百件もの不審なLDAPクエリをドメインコントローラーに投げたとしたらどうでしょう？
人間の目では気づけなくても、EDR（エンドポイント検出・対応）製品や、SIEM（セキュリティ情報イベント管理）ツールを導入していれば、「おや、この端末、普段と違う変な動きで社内電話帳を猛烈にめくっているぞ！」とアラートを上げてくれます。この早期発見が、ランサムウェアの実行を阻止する最後の砦になります。
—
5. おわりに：今日のまとめ
今回は、ランサムウェアが実行前に仕掛ける「LDAPを用いたネットワーク情報の列挙」について解説しました。
- LDAP/LDAPS（ポート389/636）は、社内のパソコンやサーバーの情報を詰め込んだ「巨大な社内電話帳」である。
- ランサムウェアは、この電話帳を悪用して、次に攻撃すべき「美味しい標的」や「バックアップサーバー」をあらかじめ探し出す。
- 対策としては、暗号化の強制だけでなく、内部ネットワークの通信制限（ゼロトラストの意識）や、不審なクエリを見逃さない監視体制が極めて有効である。
セキュリティの世界は広大で、覚えることもたくさんありますが、「現実世界のエレガントな例え」に置き換えてみると、技術の本質がすっと見えてきますよね。
「うちのネットワーク、本当に不要なLDAP通信が通っていないかな？」と、今日から少しだけ気にかけてみてください。その小さな意識の積み重ねが、あなたの組織をサイバー脅威から守る最強の盾になります。
それでは、また次回の技術解説でお会いしましょう！安全で快適なネットワークライフを！
コメント