Kerberosとは

Kerberos認証の全体像

Kerberosは、信頼されたKDCが発行する時間制限付きのTicketを使い、利用者とサービスを相互に確認する認証プロトコルです。利用者のパスワードを接続先サービスへ直接渡さず、AS交換で得るTGT、TGS交換で得るService Ticket、サービスへ提示するAP交換を段階的に進めます。

Active Directoryでは、Domain ControllerがKDCを担い、DNS、時刻同期、ユーザー、サービスアカウント、SPNが一連の認証に関係します。どれか1つが崩れると、ファイル共有やWeb、データベースなど特定サービスだけ統合認証に失敗することがあります。

AS・TGS・AP交換を分ける

AS-REQとAS-REPでは利用者を確認してTGTを発行します。TGS-REQとTGS-REPではTGTと要求SPNを基にService Ticketを発行し、AP-REQとAP-REPでは接続先サービスがTicketとAuthenticatorを検証します。

TGT取得済みなのにサービスだけ失敗する場合、利用者認証全体ではなくSPN検索、Service Ticket、サービス側鍵、暗号方式を確認します。逆にAS交換で止まる場合は、資格情報、時刻差、KDC到達性を優先します。

• 停止した交換段階とエラーコードを記録する。
• TGTとService Ticketの発行有無を分ける。
• Ticket本文やsession keyをログへ保存しない。

DNSと時刻を先に確認する

ClientはDNS SRVレコードからKDCを探索するため、名前解決の誤りは認証要求前の停止につながります。またKerberosはリプレイ攻撃を抑えるため時刻差を検証し、許容幅を超えるとKRB_AP_ERR_SKEWなどで失敗します。

調査ではClientとKDCの時刻源、offset、NTP同期状態、DNS SRV回答、TCPまたはUDP 88の到達性を残します。時刻だけ直して完了にせず、同期元と再発防止を確認します。

• DNS SRVと実際のKDC到達先を突合する。
• ClientとKDCの時刻差を秒単位で残す。
• NTP同期後にAS交換から再確認する。

監査ログで交換を追う

Windows Security Logでは4768がTGT要求、4769がService Ticket要求の主要な観測点です。結果コード、Client Address、Account Name、Service Name、Ticket Encryption Typeを同じ時間帯で追うと、正常な要求と設定不備を区別できます。

単一イベントだけでは原因を断定せず、DNS、NTP、KDC、サービス側ログと関連付けます。大量の4769や広いSPNへの要求はKerberoasting兆候になり得るため、通常基準との差をSIEMで集計します。

• 4768と4769を時系列で関連付ける。
• 成功・失敗と暗号方式を分けて集計する。
• 利用者名やTicketを必要以上に保存しない。

復旧と恒久対策

Kerberos障害の復旧では、停止段階に応じてDNS、時刻、SPN、サービスアカウント、暗号方式を修正します。修正後はTicket発行だけでなく、接続先サービスの利用成功と監査ログの正常化まで確認します。

恒久対策として、サービスアカウントの最小権限、対話ログオン禁止、長い資格情報、gMSA、AES対応、SPN所有者台帳、異常な4769要求の監視を組み合わせます。

• 正常系と同じAS・TGS・AP順で再試験する。
• 一時的な権限緩和を残さない。
• SPNとサービス所有者を台帳へ反映する。

関連語

同じ主要カテゴリの用語

セキュリティ・認証の学習順

同じ主要カテゴリの用語をまとめて確認できます。現在の用語を起点に、前後の用語へ進むと文脈を保ったまま読み進められます。

InfraEngKit内の関連機能