ネットワークセキュリティにおけるGPPとは？仕組みと脆弱性リスクを徹底解説

ネットワークセキュリティにおけるGPPとは

GPP（Group Policy Preferences：グループポリシー設定）は、Microsoft WindowsのデスクトップおよびサーバーOSにおいて、ドメインに参加したコンピュータやユーザーの構成を細かく管理するための機能です。グループポリシーの一部として提供されており、ドメインコントローラー上で一元的に管理されます。

GPPとGPOの違いは何ですか？

GPO（Group Policy Object：グループポリシーオブジェクト）は、ポリシー設定をファイルシステムおよびActive Directory内で表現する仕組みです。Active Directoryの階層構造により、クライアントはGPOの設定を自動的に評価・適用します。

一方、GPPは項目レベルターゲティング（Item-level targeting）に対応しており、ハードウェア構成やIPアドレス、グループ所属などの条件に応じて、きめ細かい設定の展開と制御が可能です。

「ポリシー」と「設定」の動作の違い

両者には重要な挙動の違いがあります。GPOによる「ポリシー」は、対象ユーザーやコンピュータがスコープ外になると設定が自動的に解除されます。しかし「設定（Preference）」は、GPOの適用が終わった後も設定値が残り続けます。この特性を理解せずに運用すると、意図しない構成が残存する原因となります。

GPPパスワードの脆弱性とは

GPPの誤った使い方は重大なセキュリティ脆弱性につながります。特に危険なのは、ローカル管理者アカウントのパスワードをGPP経由で配布するケースです。アカウント管理はドメインコントローラーの「Groups」セクションを通じて行われますが、ここに平文に近い形で認証情報が露出してしまう恐れがありました。

cpasswordとは

cpassword（スペルミスではありません）は、Active Directoryのグループポリシー機能の一つで、管理者がパスワードを暗号化して管理・配布できるようにする属性です。しかし、この暗号化に使用されるAESキーはMicrosoftによって公開されている既知のものであったため、実質的に誰でも復号可能な状態でした。この問題を受け、2014年にMS14-025パッチが公開された後、cpasswordを使用するポリシーは禁止されました。

GPPはどこに保存されるのか

GPPの設定ファイルは、ドメインコントローラー上のSYSVOL共有フォルダに格納されます。SYSVOLは認証済みのドメインユーザーであれば誰でも読み取り可能なため、暗号化された認証情報（cpassword）も容易に取得できてしまうという深刻なリスクを抱えていました。

SYSVOLフォルダの場所

SYSVOLフォルダは、デフォルトでは C:\Windows\SYSVOL に配置されますが、構築時に変更することも可能です。SYSVOLはActive Directoryの中核を担うシステムコンポーネントであり、すべてのドメインコントローラーのNTFSボリューム上に存在し、ドメイン全体で自動複製されます。

MS14-025とは

MS14-025は、2014年5月にMicrosoftが公開したセキュリティ更新プログラムです。Group Policy Preferencesで保存されるパスワードの脆弱性を修正するもので、Windows Vista、Windows 7、Windows 8、および各種Windows Serverの対象エディションに対して「重要（Important）」の深刻度評価が付与されました。未適用の環境では、攻撃者がドメイン認証情報を取得し、権限昇格につなげる可能性があります。

GPOの具体例

グループポリシーは、企業環境で次のような用途に活用されています。

• パスワードの複雑性要件を強制し、単純すぎるパスワードの設定を防止する
• 特定フォルダへのアクセスを制限または遮断する
• 許可されたユーザーのみがリモートからネットワーク共有へアクセスできるよう制御する

GPPのパスワードを復号できるツール

Metasploit Frameworkには、GPPに保存されたパスワードを自動的に復号するポストエクスプロイトモジュールが用意されています。攻撃者はSYSVOLからGroups.xmlファイルを取得し、cPasswordを抽出・復号することで認証情報を手に入れられます。また、PowerSploitのGet-GPPPasswordなども同じ目的で広く知られるツールです。これらはペネトレーションテストでも活用されるため、自社環境の監査にも役立てられます。

Active Directoryへの攻撃とは

Active Directoryは、その大規模かつ複雑な攻撃対象領域ゆえに、貴重な情報や特権を狙う攻撃者の主要な標的となり続けています。実際、多くのインシデント調査においてADが攻撃経路として悪用されており、防御側にとってその管理・監視・設定の見直しは喫緊の課題です。特にレガシーなGPPパスワードの残存有無は、定期的に点検すべき重要項目といえます。