営業時間 10:00 〜 19:00 (月〜金)

Active Directory（ドメインコントローラ）が乗っ取られると何が起きる？ランサムウェアが一晩で全社に広がる仕組みと、費用ゼロでできる7つの守り方【中小企業向け】

Active Directory（ドメインコントローラ）が乗っ取られると何が起きるか

結論から申し上げます。
社内にActive Directory（アクティブディレクトリ、以下AD）を置いている会社にとって、いちばん守らなければいけないのはファイルサーバーではなく、ADを動かしている「ドメインコントローラ」というサーバーです。
ここが取られると、攻撃者は正規の管理者と同じ立場になり、全社のパソコンとサーバーに一斉に指示を出せるようになります。
ランサムウェアの被害が「一晩で会社中のファイルが暗号化された」という形で表れるのは、ほとんどがこの経路です。

JPCERTコーディネーションセンター（JPCERT/CC）は、実際に被害組織を支援した経験から、次のように書いています。

「JPCERT/CC では、AD 環境が侵害される高度サイバー攻撃の事例を多数確認しており、JPCERT/CC が対応支援を実施した被害組織のほとんどで AD の管理者アカウントであるドメイン管理者アカウントが悪用されていた。それらの組織の一部には、AD の脆弱性が放置されていたり、AD のログが十分な期間保存されていなかったりといったケースもあった。」
（JPCERT/CC「ログを活用した Active Directory に対する攻撃の検知と対策」1.2版・2017年7月28日より）

この記事では、ADが乗っ取られる3つの経路、2026年に修正されたADの脆弱性、マイクロソフトが2025年12月に公表した6つの脅威、そしてお金をかけずに今日から着手できる対策と、道具を足す場合の費用まで、中小企業の目線で整理します。
専門用語は都度かみ砕いて説明しますので、情シス担当がいない会社の経営者の方でも読み進められる内容です。

Active Directory（AD）とは何をしているもの？

ADは、マイクロソフトが提供している「社内のIDと端末をまとめて管理する仕組み」です。
たとえるなら会社の受付で入館証を発行し、誰がどの部屋に入れるかを決めている係にあたります。
社員が朝パソコンにログインするとき、その本人確認をしているのがADで、ADを動かしているサーバーを「ドメインコントローラ（DC）」と呼びます。

ADが管理しているものは、思っている以上に広い範囲に及びます。

ADが管理しているもの	具体的には何か
社員のアカウント	誰がどのIDでログインできるか。パスワードの正誤を判定しているのもADです
パソコン・サーバーの所属	どの端末が会社のドメインに参加しているか。参加した端末はADの指示に従います
アクセス権	ファイルサーバーのどのフォルダを、どの部署が見られるか
設定の一括配布（グループポリシー）	パスワードの長さ、画面ロックまでの時間、USBメモリの可否などを全端末へ一括で配る仕組み
業務システムのログイン	会計・販売管理などが「Windowsのログイン情報」で入れる設定になっている場合、その判定もADが行います

つまりADは「社内のすべての鍵を配っている親元」です。ここを押さえられるということは、金庫の鍵をひとつ盗まれたのではなく、鍵を作る機械ごと奪われたのと同じ意味になります。

なぜ攻撃者は真っ先にADを狙う？

攻撃者にとってADを取ることには、はっきりした利点が3つあります。JPCERT/CCの解説書には次のように書かれています。

「高度サイバー攻撃の横断的侵害のフェーズで、攻撃者は AD 環境からドメイン管理者やサーバの管理者権限を窃取しようとする。窃取に成功すれば、正規の管理者になりすまして、長期にわたって使えるアクセス権限を獲得し、横断的侵害を試みる。」
（同上 3章より）

一度で全部が手に入る……1台ずつ攻める必要がなくなり、全端末・全サーバーに正面から入れるようになります
正規の管理者として振る舞える……管理者が普段やっている操作と見分けがつかず、気づかれにくくなります
攻撃ツールが出回っている……JPCERT/CCも「それらの攻撃手法やツールがインターネットに公開されており、こうしたツールを利用すれば、比較的容易に AD を攻撃できる」と明記しています

「うちは中小企業だから狙われない」という前提は、この文脈では通用しません。攻撃者は会社を選んでからADを探すのではなく、入れそうな入口（VPN機器やサポートの切れたサーバー）を機械的に探し、入れた先にADがあれば同じ手順を実行するだけだからです。警察庁の統計でも、令和7年に報告されたランサムウェア被害226件のうち約6割が中小企業で、侵入経路の6割以上がVPN機器でした。

乗っ取られると、会社では何が起きる？

ドメイン管理者の権限を取られた状態でできることを、経営への影響とセットで並べます。

攻撃者ができるようになること	会社側で起きること
全端末・全サーバーへのログイン	夜間や連休中に一斉にランサムウェアを配布され、翌朝には全社のファイルが開けなくなります
ウイルス対策ソフトの停止・除外設定	検知されないまま準備が進み、気づいたときには暗号化が終わっています
バックアップの削除・暗号化	社内のNASや外付けHDDに取っていたバックアップごと壊され、戻す先が残りません
新しい管理者アカウントの作成	パスワードを変えても、攻撃者が作った別の管理者で入り直されます
ログの消去	何が起きたのかを後から調べられず、取引先や監督官庁への報告内容が作れなくなります

とくに深刻なのは3つ目です。
「バックアップを取っているから大丈夫」という備えは、ADを取られた時点で無効になります。
同じドメインの中にあるNASやバックアップサーバーは、ドメイン管理者から見れば自由に触れる場所だからです。
バックアップは「ADの外側」、つまりドメインに参加していないクラウドや、ネットワークから切り離した媒体に置いておく必要があります。

▶ 関連記事：バックアップの基本「3-2-1ルール」とは

攻撃者はどうやってドメイン管理者権限を取る？

JPCERT/CCは、ADから管理者権限を奪う代表的な手口を3つに整理しています。むずかしい名前が並びますが、中小企業で成立してしまう前提条件は、どれも「よくある運用」です。

経路	攻撃者のやり方	成立してしまう会社の状態
①ADそのものの脆弱性を突く	ドメインコントローラに残っている既知の欠陥を突き、ふつうの社員アカウントから一気に管理者へ昇格する	DCに更新プログラムを当てていない。サポートの切れたWindows Serverで動かしている
②端末に残った認証情報を盗む（Pass-the-Hash／Pass-the-Ticket）	パソコンのメモリに残っているパスワードの痕跡や認証チケットを抜き取り、パスワードそのものを知らないまま他の端末へ入る	管理者が普段使いのパソコンで管理作業をしている。管理者と一般利用で同じ端末・同じアカウントを使っている
③ローカル管理者アカウントの使い回し	1台のパソコンのローカル管理者パスワードを盗み、同じパスワードが設定されている他の全端末へ入る	キッティング（初期設定）のときに、全PCのローカル管理者パスワードを同じにしている

「運用の効率化や端末のセットアップの都合などで、各コンピュータ上のローカル管理者アカウントに対し、共通のアカウント名、パスワードを設定している場合がある。このような環境では、1 台のコンピュータ上でローカル管理者アカウントのパスワードが窃取されると、それを使用して他のコンピュータへもログインできるようになる。その中にドメイン管理者やサーバの管理者が使用するコンピュータがあれば、特権アカウントの認証情報を窃取される可能性もある。」
（同上 3.3節より）

③は技術的にはいちばん単純ですが、実務ではいちばん多く残っています。
パソコンを50台まとめて調達したとき、初期設定を効率化するために管理者パスワードを共通にした——その1回の判断が、数年後に全社展開の踏み台になります。

「パスワードを変えたのに入られる」のはなぜ？

ADへの攻撃で、いちばん誤解されやすいのがここです。
攻撃者はドメイン管理者権限を取ったあと、偽の入館証を自分で発行できる状態を作ります。
これがGolden Ticket（ゴールデンチケット）とSilver Ticket（シルバーチケット）と呼ばれるものです。

種類	何を偽造するのか	怖いところ
Golden Ticket	ADの認証全体の親玉である「krbtgt」というアカウントの情報を使い、あらゆる利用者になりすませる入館証を作る	有効期限を10年に設定でき、期限内なら何度でも再利用できる。なりすまされた本人のパスワードを変えても無効にならない
Silver Ticket	特定のサーバー（ファイルサーバーなど）だけに入れる入館証を、そのサーバーの情報を使って作る	ドメインコントローラに認証を問い合わせないため、DCのログに記録が残らない。気づくのがさらに遅れる

Golden Ticketについて、JPCERT/CCは「一旦入手できれば、なりすましたアカウントのパスワードが変更された後や、セキュリティ更新プログラム適用後においても」使えてしまうと説明しています。
つまり「怪しいので全員のパスワードを変えました」だけでは、攻撃者を締め出せません。
何をすべきかは、この記事の後半「乗っ取られたと分かったら、何を最初にする？」で具体的に説明します。

2026年にもADの脆弱性は見つかっている？

見つかっています。「ADの攻撃は昔の話」という理解は正確ではありません。2026年に入ってからも、ドメイン基盤そのものに影響する修正が月例の更新プログラムで提供されています。

脆弱性	内容	修正の提供
CVE-2026-33826	Windows Active Directoryのリモートコード実行。細工したRPC要求を送ることで、権限の低い利用者でもドメイン基盤を侵害しうる。CVSS v3.1の基本値は8.0（重要度High）	2026年4月14日の月例更新で修正（Windows Server 2025向けKB5082063、Server 2022向けKB5082142ほか）
CVE-2026-56155	Active Directory フェデレーションサービス（AD FS）の特権昇格。社外サービスとのシングルサインオンに使っている場合が対象	2026年7月の月例更新で修正

この2件に共通しているのは、「毎月の更新プログラムを当てていれば塞がっていた」ということです。ドメインコントローラは業務時間中に再起動しづらいため、更新を後回しにされがちなサーバーの代表格ですが、順番としてはむしろ社内でいちばん先に当てるべきサーバーです。

マイクロソフトが挙げた6つの脅威とは？

マイクロソフトは2025年12月9日、Active Directory ドメインサービス（AD DS）に対する重大な脅威と、その緩和策をまとめた解説を公開しました。
6つの脅威と推奨されている対策を、中小企業でも判断できる形に翻訳して並べます。

脅威	内容	マイクロソフトが推奨している対策
①未修正の脆弱性	更新プログラムを当てていない状態。2025年のVerizon DBIRでは既知の脆弱性の悪用が侵害全体の約20％を占め、前年比で約34％増加したとされています	更新の適用を自動化する。悪用されやすさと資産の露出度で優先順位を付ける。ドメインコントローラにセキュリティベースラインを適用する
②認証リレー攻撃	古い認証方式（NTLM）を経由して認証を回り込み、他人になりすます	可能な範囲でNTLMを無効化する。SMB署名とLDAPチャネルバインディングを強制する。管理作業に多要素認証を要求する
③Kerberoasting	業務システムを動かす「サービスアカウント」のチケットを取得し、手元でパスワードを解析する	サービスアカウントをgMSA（パスワードをWindowsが自動管理する仕組み）へ移す。古い暗号方式RC4を無効化する（Windows Server 2025では既定で無効）。使っていない登録情報を定期的に削除する
④過剰な権限と設定ミス	必要以上に多くのアカウントに管理者権限が付いている状態	最小権限の原則を適用する。管理作業のときだけ権限を与える運用にする。管理の階層を分ける。古い権限設定を棚卸しして消す
⑤無制限の委任	サーバーが利用者になりすませる設定（委任）が制限なく有効になっている	重要なアカウントを「Protected Users」グループに入れる。特権アカウントに「委任できない」設定を付ける。無制限の委任を廃止する
⑥ゴールデンチケット攻撃	krbtgtアカウントを奪い、恒久的に管理者としてアクセスする	krbtgtのパスワードを少なくとも180日ごとに変更する（チケットを完全に無効化するには2回リセットする）。ドメインコントローラでLSA保護を有効にする。管理者以外に付いている複製権限を削除する

6つのうち①④⑥は、設定と運用の見直しだけで、追加費用をかけずに大きく前進できる領域です。
②③⑤は業務システムへの影響を確認しながら進める必要があるため、システムを構築した会社と相談しながらの作業になります。

自社は危ない状態か？──7つのチェックポイント

JPCERT/CCは前述の解説書をまとめるにあたって、国内52組織にアンケートを実施しています。
その結果は「ADは社内にあるから安全」という思い込みが、どれだけ広く残っているかをよく表しています。
自社に当てはまるものがないか、確認してみてください。

調べた項目	調査結果	何が問題になるか
ADのログを保管しているか	保管している組織は72％（プロキシサーバ84％、ファイアウォール82％より低い）	インターネットとの接点は見ているのに、社内の認証基盤は見ていない。侵害されても後から追えない
特権を使うアカウント・端末を限定しているか	限定した運用をしている組織は26％	ドメイン管理者アカウントを、どの端末からでも使える状態。感染した端末で使えば、その場で盗まれる
特権の使用に申請・承認があるか	プロセスを設けている組織は29％	特権が悪用されても、正規の作業と区別がつかない
DCに更新プログラムを当てているか	「ほとんど適用していない」が26％、「システムメンテナンスのタイミング」が21％	脆弱性が残ったままADを運用している。CVE-2026-33826のような欠陥がそのまま残る
共通のID・パスワードのアカウントがあるか	存在する組織が60％	1台盗まれれば全台に入られる。前述の経路③がそのまま成立する
DCと業務端末のネットワークを分けているか	分けていない・不明が44％	社員のパソコンが感染しただけで、そこからDCへ直接アクセスできてしまう
ログを確認する体制があるか	多くの組織が取得はしているが、「ログ分析に関する十分なノウハウがない」との回答	記録は残っているのに、誰も見ていないので異常に気づけない

「AD に対するログの保管や調査、セキュリティ対策の重要性については、インターネットとの接続点となっているプロキシサーバやファイアウォールなどの機器に比べて、認知されていない傾向にあると考える。また、AD に対する攻撃を受けやすい、または攻撃を受けても検知しづらい環境になっている組織が複数存在することがわかった。」
（同上 Appendix I より）

この調査は2016年に行われたものですが、示している傾向は今も変わりません。むしろ、当時と違ってランサムウェアが「全社を一斉に止める」形に進化しているぶん、同じ状態を放置したときの被害額は当時より大きくなっています。

まず何から手をつければいい？──予防策は6つに整理できる

JPCERT/CCは、ADへの攻撃を抑止する予防策を6つに整理しています。それぞれ「お金がかかるのか、かからないのか」を添えて並べます。

予防策	何をするか	費用の目安
①管理専用端末の設置	ドメインコントローラやサーバーの管理に使う端末を、管理専用にする。その端末ではメールもWebも見ない	0円（既存の1台を用途限定にする）
②セグメント化	DCを業務端末とは別のネットワークに置き、DCへ入れる端末を管理専用端末だけに絞る	0円〜（既存のファイアウォールやL3スイッチの設定変更で対応できる場合が多い）
③付与する特権の最小化	ドメイン管理者権限を持つアカウントを棚卸しし、業務に不要な特権を削除する	0円
④セキュリティ更新プログラムの適用	DCを含む全端末に更新を当てる。DCは最優先で当てる	0円〜（適用状況の見える化にIT資産管理ツールを使う場合は有料）
⑤認証情報の保護	端末のメモリに認証情報を残さない設定（Credential Guard、Protected Usersグループなど）を有効にする	0円（Windowsの標準機能）
⑥適切なパスワードの設定	とくに管理者アカウントで共通パスワードの使用をやめ、アカウントごとに強いパスワードを設定する	0円（Windows LAPSはOS標準機能）

6つのうち、追加費用が必ず必要になるものはひとつもありません。
有料の道具が効いてくるのは「④の適用状況を全社で見える化する」「侵入されたあとに気づく」「壊されても戻せるようにする」という3点で、そこは記事の後半で費用とあわせて説明します。
ここから先は、6つのうちとくに中小企業で抜けやすい②③⑥を掘り下げます。

ネットワークは分かれているか？──DCと業務端末を同じ島に置かない

実態調査で44％が「分けていない・不明」と答えた項目です。
社員のパソコンとドメインコントローラが同じネットワークにぶら下がっていると、誰か1人が添付ファイルを開いた瞬間、そこからDCまでが地続きになります。

JPCERT/CCが示している手順は次の5つです。

ルータやファイアウォールなどを使用して、ネットワークセグメントを分離する
DCおよびドメイン管理専用端末はDCセグメントに設置する
DCへのリモートアクセス（リモートデスクトップやファイル共有サービスなど）は、ドメイン管理専用端末からのみ許可する
クライアントセグメント、サーバセグメントの端末からは、認証に必要な通信のみを許可するなどのアクセス制御を行う
DC以外の重要なサーバおよび管理専用端末はサーバセグメントに設置し、同様にアクセス制御を行う

あわせて重要なのが、「アカウントをセグメントの外で使わない」という運用です。JPCERT/CCは、セキュリティレベルの低い側から高い側へのログインだけでなく、その逆も避けるべきだと書いています。

「ドメイン管理者といった高い権限を持つアカウントを、マルウエア感染のリスクが高いクライアントセグメントに設置された端末で使用すると、仮に、その端末が感染して侵害されていた場合に、ドメイン管理者アカウントの認証情報を窃取される可能性がある。」
（同上 5.1.3節より）

機器の入れ替えが必要だと身構える必要はありません。JPCERT/CCも「システム上の制限が難しい場合は、運用ルールを設け遵守するだけでも一定の効果が期待できる」と書いています。まずは「ドメイン管理者アカウントで、社員が普段使っているパソコンにログインしない」というルールを1行決めるところからで構いません。

「全部のPCで同じ管理者パスワード」はどうやめる？

実態調査で60％の組織に残っていた、いちばん危険な運用です。これを解決する道具は、Windowsに最初から入っていて、追加費用が一切かかりません。Windows LAPSという機能です。

LAPS（Local Administrator Password Solution）は、各パソコンのローカル管理者パスワードを自動でランダムな値に設定し、定期的に更新し、その値をAD側に安全に保管してくれる仕組みです。
管理者は必要なときだけ、その端末のパスワードをAD経由で確認します。

項目	従来のLAPS（レガシー版）	Windows LAPS（現行）
提供形態	マイクロソフトが配布する無償ツールを別途インストール	OSの標準機能（追加インストール不要）
対応OS	旧来のWindows	Windows Server 2019以降、Windows 10／11（サポート対象ビルド）
保管先	Active Directory	Active Directory または Microsoft Entra ID
今後の扱い	Windows 11 23H2以降では非推奨。新しいOSではインストールがブロックされる	こちらへ移行する

効果は明快です。
1台のパソコンからローカル管理者パスワードを盗まれても、それはその1台にしか使えません。
前述の経路③（ローカル管理者アカウントの使い回し）が、この設定ひとつで成立しなくなります。
グループポリシーで配布する設定なので、対象台数が多くても作業量はほとんど変わりません。

▶ 関連記事：パスワードの使い回しがなぜ危険か？リスクをわかりやすく解説

ドメイン管理者は何人いる？──特権の棚卸し

これも費用ゼロで、しかも今日できる作業です。
ADの管理画面で「Domain Admins」というグループを開き、そこに入っているアカウントを全部書き出してください。
多くの中小企業では、次のようなアカウントが混ざっています。

前任の情シス担当者のアカウント（退職済みだが消していない）
業務システムを導入したベンダーの作業用アカウント（導入は3年前に終わっている）
「なんとなく便利だから」で管理者権限を付けた部長のアカウント
何のために作ったか誰も覚えていないアカウント
サービスを動かすためのアカウント（パスワードが何年も変わっていない）

JPCERT/CCは、特権の最小化について次のように書いています。

「業務遂行のためにアカウントに付与する必要がある特権を洗い出し、最小限の特権だけを与えることで、アカウントを乗っ取られて特権を悪用された時の影響を軽減できる。DC やサーバの管理端末について、認証情報窃取を防ぐために誰に対してもローカル管理者権限を与えないことも有効である。利用者が使用するアカウントに加え、サービスを実行するためのアカウントについても精査する。」
（同上 5.1.4節より）

棚卸しをするときは、「管理者権限を持つ人が、その権限で毎日メールを読んでいないか」も必ず確認してください。管理作業用のアカウントと、日常業務用のアカウントを分けるだけで、経路②（端末に残った認証情報を盗む）のリスクは大きく下がります。分けるのに費用はかかりません。

管理者アカウントにこそ多要素認証を──「階層（Tier）」という考え方

マイクロソフトが推奨している「階層管理（Tiered Administration）」は、管理者の権限を役割ごとに3つの階層に分け、階層をまたいでアカウントを使わないという考え方です。
前の節で説明したセグメント分離を、ネットワークではなくアカウント側で行うものだと考えてください。

Tier 0……ドメインコントローラとADそのものを管理するアカウント。会社でいちばん強い権限
Tier 1……ファイルサーバーや業務サーバーを管理するアカウント
Tier 2……社員のパソコンを管理するアカウント（キッティングやトラブル対応で使うもの）

中小企業では、この3つが1つのアカウントに集約されていることがほとんどです。
全部を分けるのが難しくても、「Tier 0（ADを管理するアカウント）だけは、他の作業に絶対に使わない」と決めるだけで効果があります。
あわせて、そのアカウントにはパスワードだけでなく多要素認証を掛けてください。
スマートフォンの承認やセキュリティキーを使うフィッシング耐性のある方式が望ましく、社員全員に展開するのが難しくても、管理者アカウントだけなら数個で済みます。

更新プログラムは、どこから当てる？

順番の話です。多くの会社は「社員のパソコンから」当てていますが、ADの観点では逆になります。

ドメインコントローラ……ここが取られると全部が終わるため最優先。再起動の時間を確保してでも当てます
インターネットに面している機器……VPN機器、リモートデスクトップを受けているサーバー、公開Webサーバー
ファイルサーバー・業務サーバー
社員のパソコン

そして、当てたつもりで当たっていない端末をどう見つけるかが、実務では最大の課題になります。
「全社に配信したはずが、社外に持ち出しているノートパソコンだけ数か月分の更新が抜けていた」というのは、非常によくある話です。
ここが、IT資産管理ツールが効いてくる場面です（費用は後述します）。

乗っ取られたと分かったら、何を最初にする？

ここが、この記事でいちばんお伝えしたい実務です。「全員のパスワードを変えました」では、Golden Ticketを持った攻撃者は締め出せません。JPCERT/CCが示す緊急対処は次のとおりです。

緊急対処	何をするか	注意点
①krbtgtアカウントのパスワード変更	ドメインコントローラ上のkrbtgtというアカウントのパスワードを2回連続で変更する。あわせてドメイン管理者アカウントのパスワードも変更する	これでGolden Ticketが無効になります
②コンピュータアカウントのパスワード変更	侵害された可能性のあるコンピュータのアカウントのパスワードを2回連続で変更する	Silver Ticketを無効化します。被害範囲が特定できない場合は、DC・重要なサーバ・その管理専用端末を優先
③管理者アカウントのパスワード変更	侵害されたコンピュータの管理者アカウント（ローカル管理者を含む）のパスワードを変更する	十分な長さと複雑さを持つパスワードにします

なぜ2回なのか。理由はJPCERT/CCが明確に書いています。

「krbtgt アカウントおよびコンピュータアカウントのパスワードは 2 世代（現行と 1 つ前のパスワード）保持されており、現行のパスワードで認証に失敗した場合、1 つ前のパスワードで認証を行うため、パスワード変更は 2 回連続で実施する必要がある。」
（同上 5.2.4節対処に関する補足事項より）

1回だけ変更すると、攻撃者が持っている古い情報が「1つ前のパスワード」として生き残り、締め出せません。この点はマイクロソフトも同じ趣旨で「チケットを完全に無効化するには2回リセットする」と説明しています。ここを知らずに1回だけ変えて「対処済み」と判断してしまうのが、中小企業でもっとも起きやすい取り違えです。

そのうえで、JPCERT/CCは「本書で紹介するのはあくまで緊急対処であり、セキュリティベンダなどの専門組織に協力を依頼することも検討いただきたい」としています。
電源を慌てて落とすと調査に必要な痕跡が消えることもあるため、初動の順序は事前に決めておくのが安全です。

▶ 関連記事：サイバー攻撃を受けたらまず何をすべき？初動対応チェックリスト

AD自体が壊れたら、どうやって戻す？

見落とされやすい論点です。
ランサムウェアの被害を受けたとき、多くの会社は「ファイルサーバーのデータをどう戻すか」を考えます。
しかしドメインコントローラまで暗号化されていた場合、データを戻しても社員はパソコンにログインできません。
ADが動いていないと、そもそも誰も本人確認ができないからです。

そのため、ADには「ファイルのバックアップ」とは別に、次の3つの備えが必要です。

備え	内容	確認しておくこと
①システム状態のバックアップ	ドメインコントローラの「システム状態（System State）」を定期的にバックアップする。ADの中身はここに含まれます	取得できているか。保存先がドメインに参加していない場所（クラウドや切り離した媒体）になっているか
②ドメインコントローラの2台構成	DCを2台にしておくと、1台が壊れてももう1台で認証を継続でき、更新プログラムの適用時も業務が止まりません	Windows Serverのライセンス費用がかかるが、更新が当てられない状態を続けるより安全
③復旧手順と復元用パスワードの保管	ADを復元するときには、DCを作ったときに設定した復元モード用のパスワードが必要になります	この値が誰にも分からないと、バックアップがあっても戻せません。紙などネットワークの外に保管しておく

③は、実際に復旧の場面でつまずく典型例です。DCを構築したのが数年前で、当時の担当者も保守業者も変わっていると、「バックアップは取れているのに復元できない」という状態になります。いま担当している人に、この値がどこにあるかを一度確認してください。費用はかかりません。なお、実際の復元手順はドメインの構成によって変わるため、事前に保守業者や当社と手順を確認しておくことをおすすめします。

バックアップの置き場所については、社内のNASや外付けHDDだけでは不十分です。
ドメイン管理者権限を取られた時点で、それらはすべて攻撃者から見える場所にあります。
「ドメインに参加していない保存先」を1つ持っておくことが、この記事で最も費用対効果の高い投資です。

ログは残っているか？──DCで見るべきイベント

ADの侵害は、ドメインコントローラのイベントログに痕跡が残ります。
ただし記録する設定（監査ポリシー）を有効にしていないと、そもそも残りません。
最低限、次のイベントが記録されているかを確認してください。

イベントID	内容	見るべきポイント
4624	ログオンの成功	ドメイン管理者アカウントが、想定していない端末からログオンしていないか
4625	ログオンの失敗	短時間に大量の失敗が並んでいないか（パスワードの総当たり）
4672	特別な特権の割り当て	管理者権限が、いつ・誰に対して割り当てられたか
4768	Kerberos認証（TGT要求）	結果コードが0x0以外なら失敗。普段使わない時間帯の要求がないか
4769	Kerberos認証（サービスチケット要求）	エラーコードが「0xf」のログがあれば、脆弱性を悪用した攻撃を受けた可能性
4698	タスクの作成	運用で使っていないタスクが作られていないか（攻撃の仕込み）
1102	監査ログの消去	正規の運用者による消去かどうか。身に覚えがなければ最優先で調査

なお、Silver Ticketが使われた場合はドメインコントローラに認証要求が届かないため、接続先のサーバー側のログも定期的に確認する必要があります。
ログの保存期間も重要で、3か月分しか残っていなければ、半年前に始まった侵害は追えません。

中小企業はADをやめてクラウドに寄せるべき？

よく受ける質問です。
結論としては「業務システムがADに依存していなければ、クラウド側に寄せたほうが守りやすい」と考えています。
ただし、寄せられるかどうかは会社によって事情が違うので、判断軸を表にします。

構成	どんな会社に向くか	セキュリティ面の特徴	注意点
オンプレミスAD （社内にDCを置く）	ファイルサーバーや業務システムがADのログイン情報を使っている会社	細かい制御ができるが、DCの守りと更新をすべて自社（または保守業者）が担う	この記事の対策が全部必要。DCが止まると全社がログインできなくなる
Microsoft Entra ID （クラウドのみ）	Microsoft 365中心で、社内にファイルサーバーを持たない会社	DCの管理が不要。多要素認証や条件付きアクセスを標準の仕組みで組める	AD前提の古い業務システムが動かない場合がある
ハイブリッド（社内ADとクラウドを連携）	業務システムはAD、メールとファイルはクラウドという会社（中小でいちばん多い構成）	利便性は高いが、社内ADが侵害されるとクラウド側にも波及しうる	社内ADの守りを固めることが、そのままクラウドの守りになる

多くの中小企業は3番目のハイブリッドです。
この場合、「クラウドに移したから社内ADはもう関係ない」という理解が危険で、社内ADの守りを固めることがクラウド側の防御にも直結します。
ログインまわりを整理したい場合は、IDaaS（クラウドでIDを管理する仕組み）で認証を集約する方法もあります。

費用ゼロでできることは、どこまで？

ここまでの内容を「今日から0円でできること」に絞って並べます。ADの守りは、その大半が設定と運用の見直しで前進します。

やること	作業の内容	所要の目安
ドメイン管理者の棚卸し	Domain Adminsグループの中身を書き出し、不要なアカウントを外す	半日
管理用と業務用のアカウントを分ける	管理者が日常業務（メール・Web）で管理者アカウントを使わないようにする	1日
Windows LAPSの有効化	グループポリシーで各PCのローカル管理者パスワードを自動生成・自動更新にする	1日
管理専用端末を決める	DCの管理に使う端末を1台に限定し、その端末ではメールとWebを見ない	即日
DCへの接続元を絞る	ファイアウォールやルータの設定で、DCへ入れる端末を管理専用端末だけにする	1日〜
監査ポリシーの有効化	上の表のイベントが記録されるようグループポリシーで設定する	半日
DCの更新順序を決める	月例更新を、DC→公開機器→サーバー→PCの順で当てる運用に変える	即日
krbtgtの定期変更を予定に入れる	少なくとも180日ごとに、2回連続で変更する作業を年間予定に組み込む	即日（実施は都度）

この8項目のうち、外部に依頼が必要になりがちなのは「DCへの接続元を絞る」だけです。残りは社内の判断と操作で完結します。予算が取れないことは、ADの守りを始めない理由になりません。

道具を足すとしたら、何をいくらで？

0円でできることをやり切ったあと、残るのは次の3つです。

当てたつもりの更新が、本当に全端末に当たっているかを見える化する（資産管理）
侵入されたときに、誰かが気づく（EDRと24時間365日の監視）
壊されても戻せるようにする（ADの外側に置くバックアップ）

当社で取り扱っている製品を、この3点に対応させて並べます。金額はいずれも税別です。

項目	LANSCOPE エンドポイントマネージャー	ISM CloudOne	SentinelOne データお守り隊	GMOトラスト・ログイン	クラウドバックアップ powered by Acronis
ADの守りで担う役割	資産台帳と更新の適用状況を見える化	脆弱性の自動診断と操作ログ	侵入の検知と24時間365日の監視	ログインの集約と多要素認証	ADの外側にバックアップを置く
初期費用	30,000円／契約	30,000円	0円	—	—
料金	月500円／台（ライトA 300円・ライトB 400円）	月360〜600円／台（台数で逓減）	月1,000円／台（Control 1,100円・Complete 1,660円）	月300円／ID（30ID〜・12か月契約）※無料プランあり	100GB 月3,000円／年36,200円
更新プログラムの管理	Windowsアップデートの適用状況をレポート化。社外PCにも配信可	毎日更新の辞書と突合し自動で脆弱性診断	OS以外のパッチ情報も一元把握（Control以上）	—	—
特権・アカウント管理	操作ログを標準2年保存（最大5年）	操作ログ10種類以上。外部デバイス制御に申請ワークフロー	USB・Bluetooth制御（Control以上）	AD連携とパスキー・OTPなど多要素認証	—
侵入後の検知・対応	—	5エンジンのふるまい検知	AIが24時間365日監視。プロセス停止・隔離・ワンクリック復旧	—	—
バックアップ	—	—	—	—	端末数無制限。バックアップ側もランサム対策済み
補足	導入12,000社以上。60日間の体験あり	導入90,000社（2025年3月時点）	サイバー保険最大50万円。30台以上で値引き	累計10,000社。約8,800アプリ連携	30日間の評価版あり
詳細	詳細を見る	詳細を見る	詳細を見る	詳細を見る	詳細を見る

従業員30名・パソコン30台・ドメインコントローラ1台という会社を想定して、費用を試算します。

内訳	金額（税別）
LANSCOPE エンドポイントマネージャー（ベーシック 30台）	初期30,000円＋年180,000円
SentinelOne データお守り隊（30台）	年360,000円
GMOトラスト・ログインプロプラン（30ID）	年108,000円
クラウドバックアップ powered by Acronis（100GB）	年36,200円
特権の棚卸し・Windows LAPS・監査ポリシー・セグメント分離のルール化	0円
初年度合計	約714,200円（月あたり約59,500円）
2年目以降	年684,200円（月あたり約57,000円）

比較のために、実際に感染が疑われたときの費用も挙げておきます。当社のマルウェア感染調査サービスは300台まで298,000円、詳細レポートが別途500,000円で、合わせて798,000円と、上の初年度費用を上回ります。しかも調査費用を払って分かるのは「何が起きたか」であって、暗号化されたファイルや止まった業務が戻ってくるわけではありません。

感染調査サービスを見る

補助金は使える？

使える可能性があります。
デジタル化・AI導入補助金では、IT資産管理・エンドポイントセキュリティ・バックアップ・ID管理といったITツールが補助対象になるケースが多く、当社は同補助金のIT導入支援事業者です。

枠	補助額	補助率
通常枠	5万円〜450万円	原則1/2（小規模事業者は最大4/5）
セキュリティ対策推進枠	5万円〜150万円	小規模2/3・中小1/2（サービス利用料は最大2年分）

注意点が2つあります。ひとつは交付決定前に発注したものは対象になりませんということ。もうひとつは、申請にSECURITY ACTIONの自己宣言IDとGビズIDが必要になることです。要件は年度ごとに変わりますので、実際の申請時は最新の公募要領をご確認いただくか、当社にご相談ください。なお、サーバー本体などのハードウェアは枠や年度によって扱いが変わります。

何から始める？──7つの手順

順番	やること	誰がやるか	費用
1	ドメインコントローラが社内に何台あるか、どのサーバーで動いているかを確認する	社内（保守業者に聞いてもよい）	0円
2	Domain Adminsグループの中身を書き出し、不要なアカウントを外す	社内	0円
3	管理者が日常業務で管理者アカウントを使っていないか確認し、分ける	社内	0円
4	Windows LAPSを有効にして、全PCの共通管理者パスワードをやめる	社内または当社	0円
5	DCの監査ポリシーを有効にし、ログの保存期間を確認する	社内または当社	0円
6	DCへ接続できる端末を管理専用端末だけに絞る	ネットワーク保守業者または当社	0円〜
7	更新の適用状況の見える化・侵入の検知・ADの外側へのバックアップを整える	当社	有料（前掲の試算を参照）

1〜6は費用がかかりません。まず1と2だけでも、今週中にやってみてください。「ドメイン管理者が11人いた」「3年前に辞めた担当者のアカウントが生きていた」というのは、実際によくある結果です。

よくある質問

Q. 従業員10名の会社でも、ここまで必要ですか？

A. Active Directoryを使っているのであれば、必要な考え方は同じです。
ただし優先順位は変わります。
10名規模であれば、まず「ドメイン管理者の棚卸し」「管理用と業務用のアカウントを分ける」「Windows LAPSの有効化」の3つで十分に効果が出ます。
いずれも費用はかかりません。
逆に、そもそもADを使っておらず、Microsoft 365だけで運用している会社であれば、この記事の内容は該当しません。

Q. ドメインコントローラがどれか分かりません。どう確認しますか？

A. 社内にWindows Serverが動いていて、社員がパソコンにログインするときに「会社のIDとパスワード」を使っているなら、そのサーバーがドメインコントローラである可能性が高いです。
保守を依頼している会社があれば「ドメインコントローラはどのサーバーですか」「何台ありますか」と聞くのが確実です。
この質問に答えられる人が社内に誰もいない場合、それ自体がいちばん大きなリスクです。

Q. ウイルス対策ソフトを入れていれば、ADは守れますか？

A. 守れません。
ADへの攻撃の多くは、ウイルスを使わずWindowsの正規の機能と認証の仕組みを使って行われるためです。
またドメイン管理者権限を取られた場合、攻撃者はウイルス対策ソフト自体を止めたり、除外設定を追加したりできます。
ウイルス対策ソフトは入口を減らす役には立ちますが、ADの守りは設定と運用、そして侵入後に気づく仕組み（EDRと監視）で作ります。

Q. ドメインコントローラを再起動できません。更新はどうすればよいですか？

A. 実務でいちばん多い悩みです。
現実的な進め方は、（1）業務が止まる時間帯を年間で決めて予定に組み込む、（2）ドメインコントローラを2台にして交互に再起動できるようにする、の2つです。
2台構成にすると、片方を再起動しても社員のログインは止まりません。
ライセンス費用はかかりますが、「再起動できないから更新できない」という状態を毎月続けるより安全です。

Q. すでに侵害されているかどうかを確認する方法はありますか？

A. 完全な確認は専門的な調査が必要ですが、最初に見るべき点は3つあります。
Domain Adminsグループに身に覚えのないアカウントが増えていないか、ドメインコントローラのイベントID 1102（監査ログの消去）が記録されていないか、そして深夜や休日にドメイン管理者アカウントのログオン（イベントID 4624）がないかです。
いずれかに該当する場合は、社内だけで判断せず専門の調査を検討してください。

Q. krbtgtのパスワードを変えると、業務は止まりますか？

A. 正しい手順で行えば、通常は止まりません。
ただし変更後に認証チケットが再発行されるため、一時的にドメインコントローラへの認証要求が増える可能性があります。
また、2回の変更を短時間で連続して行う必要がある一方、極端に間隔を詰めると正規利用者の認証に影響する場合があります。
初めて実施する場合は、業務時間外に、保守業者や当社と手順を確認したうえで行ってください。

Q. クラウド（Microsoft 365）に移行すれば、この問題はなくなりますか？

A. 社内のドメインコントローラを完全に廃止できれば、この記事のリスクはなくなります。
ただし多くの中小企業は、社内ADとクラウドを連携させたハイブリッド構成です。
この場合、社内AD側が侵害されるとクラウド側のアカウントにも影響が及びうるため、「クラウドに移したから安心」とはなりません。
まずは社内AD側の守りを固めることをおすすめします。

Q. ADのバックアップは、いつものバックアップに含まれていますか？

A. 含まれていないことがよくあります。
多くの会社で日々取っているのは「共有フォルダのファイル」で、ドメインコントローラのシステム状態（AD の中身そのもの）は対象外になっているケースが目立ちます。
取得対象にドメインコントローラが入っているか、そして保存先がドメインに参加していない場所になっているかを、一度だけ確認してみてください。
確認自体は費用ゼロでできます。

Q. IT担当者がいなくても対応できますか？

A. 前掲の7つの手順のうち、1〜5は社内の判断と操作で進められます。
6のネットワークの分離と、7の有料の道具の導入は、当社のような外部の支援を使うのが現実的です。
また、24時間365日の監視は人を採用しても実現できないため、監視付きのサービス（EDR＋SOC）を使う形になります。

Q. まず何から相談すればよいですか？

A. 「社内にドメインコントローラが何台あるか分からない」という状態からで構いません。
現状の構成をうかがったうえで、費用ゼロでできる部分と、道具が必要な部分を切り分けてご提案します。
補助金を使う場合は、交付決定前の発注が対象外になる関係で逆算した日程が必要になりますので、その点もあわせてご説明します。

まとめ

Active Directoryは、社内のすべての鍵を配っている親元です。
JPCERT/CCは「対応支援を実施した被害組織のほとんどでドメイン管理者アカウントが悪用されていた」と書いており、ランサムウェアが一晩で全社に広がる被害の多くは、この経路をたどっています。
権限を奪われる道筋は、①ADの脆弱性、②端末に残った認証情報、③ローカル管理者パスワードの使い回しの3つです。
とくに③は、JPCERT/CCの調査で60％の組織に残っていた運用で、Windows LAPSというOS標準の無料機能で解消できます。
対策の中心は、予防策6つ（管理専用端末・セグメント化・特権の最小化・更新の適用・認証情報の保護・適切なパスワード）で、このうち追加費用が必ず必要になるものはひとつもありません。
もし乗っ取られた場合、krbtgtのパスワードは2回連続で変更する必要があります。1回だけでは古いパスワードが生き残り、攻撃者を締め出せません。
また、ドメインコントローラ自体が暗号化されるとデータを戻してもログインできなくなるため、システム状態のバックアップと復元用パスワードの保管も、あわせて確認しておく必要があります。
有料の道具が効いてくるのは「更新の適用状況の見える化」「侵入後に気づく仕組み」「ADの外側のバックアップ」の3点で、従業員30名・PC30台の会社なら初年度で約714,200円（月あたり約59,500円）が目安です。
これは、感染が疑われたときの調査費用（298,000円＋詳細レポート500,000円＝798,000円）を下回る金額です。
まずは費用ゼロでできる「ドメイン管理者の棚卸し」から着手してください。

▶ 関連記事：ランサムウェアとは？感染したら会社はどうなるか具体的に解説

AD環境の対策を相談する

法人向けセキュリティソフト　7社料金 10秒一括比較はこちら➡

渡邊　賢

株式会社アーデント　代表取締役。2006年にオフィス専門不動産会社アーデントを創業。その後、オフィス賃貸仲介、ワークプレイス作りに10年以上携わり、合計500社以上のオフィス移転をサポート。2018年よりクラウドＰＢＸを中心にネットワーク、通信分野を専門に400社以上の電話、ネット環境づくりをサポート。2022年より100以上のクラウドサービスの販売を開始。

デジタル化・AI導入補助金を使って、150社以上にクラウドツールを提供。IT活用による業務改善のDXコンサルを提供。ノーコードツールを使ったExcelやAccessからの基幹システム移行によるDX実績多数。サイバーセキュリティ対策の導入も50社以上を担当実績あり。

アマゾンで出版している書籍はこちら！

「AppSheetで作る中小企業の基幹システム」～Excel限界からの脱出。GoogleWorkspaceを使って、失敗しない業務アプリ導入を解説～

https://amzn.to/42w9uJA

「Google Workspace完全活用マニュアル」 ～Google Workspaceをフル活用する方法を徹底解説！～
amzn.to/3w5zWfT

「中小法人向けサイバーセキュリティ完全ガイド」～サイバーセキュリティ対策で、特に中小企業が守るべきポイントを網羅！～
amzn.to/3Y9Nm5n

運営会社	株式会社アーデント
所在地	〒150-0002 東京都渋谷区渋谷3-15-5 パールビル3階
電話番号	03-5468-6097
営業時間	10:00〜19:00（土日祝・年末年始除く）
URL	https://ardent.jp/