攻撃者が狙う「全社の鍵の管理室」を、
先回りして点検する

Active Directory診断

Active Directory(AD)は、社員のアカウントやパソコン、管理者権限をまとめて管理する、全社の認証の中心です。ランサムウェアの攻撃者は社内に入り込んだあと、ADの管理者権限を狙います。権限の設定ミスや古いアカウント、弱いパスワード設定が残っていないかを、リモートで112項目にわたって診断します。

料金：1社 100万円(税別)

診断について相談する 年内キャンペーン(30万円)を見る
深い層へと貫いていく検査の線を描いた、積み重なる層のイラスト

ADが乗っ取られると、1台の問題が全社に広がる

攻撃者は、1台のパソコンへの侵入をきっかけにADの弱点を突き、全社を管理できる権限を奪います。そうなると、セキュリティ製品の停止やバックアップの削除、全サーバーの暗号化まで実行されるおそれがあります。長年運用してきたADほど、古い設定や強すぎる権限が残りやすくなります。

残りがちな弱点

  • 退職者・異動者のアカウントが残っている
  • 管理者権限を持つアカウントが増えている
  • 重要なアカウントのパスワードが何年も変わっていない

外からは見えない

  • ADの権限構造は、外部からの診断では確認できない
  • 内部の設定を読み取って評価する必要がある

担当者が変わると分からなくなる

  • 構築した担当者が社内にいない
  • なぜその設定になっているか説明できない

主な診断項目

SentinelOneのID脅威対策(ITDR)製品群に含まれる「Singularity Identity Security Posture Management」を使い、ADの構成と権限を読み取りで112項目評価します。

権限の設定ミス

  • Domain Adminsなど特権グループのメンバーと内訳
  • 過去に特権を持っていたアカウントの残存
  • 想定外の強い権限(DCSync権限など)を持つアカウント

古いアカウント

  • 使われていない休眠アカウント
  • 無効なのに特権グループに残るアカウント
  • パスワードが更新されていないサービスアカウント・コンピューターアカウント

パスワードの弱さ

  • パスワードポリシー(長さ・複雑さ・ロックアウト)
  • 無期限のパスワード、可逆暗号での保存などの危険な設定
  • krbtgtアカウントのパスワード更新状況、弱い暗号方式(RC4/DES)の残存

GPO・委任・信頼関係

  • グループポリシーの不備や権限設定
  • 危険なKerberos委任設定
  • リスクの高い信頼関係

攻撃につながる経路

  • 各検出事項をMITRE ATT&CKの戦術・技法に対応づけ
  • 侵害された場合にドメイン全体の支配に至る経路をご説明

サービスの内容

料金1社 100万円(税別)
実施方法リモート(訪問は不要です)
診断方式読み取りのみ。ADの設定変更、パスワード情報の抜き出し、攻撃の実行は行いません
ご準備いただくものドメインに参加しているWindows端末1台へのSentinelOneエージェントの導入／ADの読み取り権限を持つドメインアカウント／ドメインコントローラーへの通信(LDAP/LDAPS/SMB)
期間打ち合わせから報告書の提出まで、標準で10〜15営業日
お渡しするもの報告書／報告会(オンライン。修正内容のアドバイスを含みます。対面をご希望の場合はご相談ください)
オプション見つかった問題の修正作業／ADの再設計・再構築(内容に応じてお見積り)

お申し込みから報告会までの流れ

1

お申し込み

お問い合わせフォームからご連絡ください

2

事前の打ち合わせ

対象のADと準備事項を確認します

3

エージェントの導入

ドメインに参加している端末1台に導入していただきます

4

リモートで診断

ADの構成と権限を読み取りで評価します

5

報告書の作成

深刻度と、画面操作レベルの是正手順を整理します

6

報告会

結果と修正内容をご説明し、アドバイスします

年内は30万円でお受けしています

2026年12月末までのお申し込みに限り、通常100万円のAD診断を1社30万円(税別)で実施しています。

キャンペーンの詳細を見る お問い合わせ
FAQ

よくある質問

診断中に業務へ影響はありますか？
読み取りのみの診断で、ADの設定は一切変更しません。ドメインコントローラーへの問い合わせが中心のため、負荷は限られています。
パスワードを解析したり、実際に攻撃したりしますか？
行いません。パスワード情報(NTDS.dit)の抜き出し、パスワードの総当たり、Kerberoastingなどの攻撃の実行、権限昇格の実証は行わず、設定上の弱点があるかどうかを評価します。
何を準備すればよいですか？
ドメインに参加しているWindows端末1台へのSentinelOneエージェントの導入、ADの読み取り権限を持つドメインアカウント、その端末からドメインコントローラーへの通信(LDAP/LDAPS/SMB)をご用意いただきます。導入手順は当社からご案内します。
SentinelOneを導入していなくても受けられますか？
はい、受けられます。診断のためにエージェントを1台に導入していただきます。診断後の扱い(継続利用・アンインストール)はご希望に合わせます。
見つかった問題の修正もお願いできますか？
はい。報告会で修正内容をアドバイスするほか、オプションで修正作業やADの再構築も承ります。内容に応じてお見積りします。
どのくらいの期間がかかりますか？
打ち合わせから報告書の提出まで、標準で10〜15営業日です。診断の実行そのものは数時間で終わり、期間の大半は分析と報告書の作成です。