所有者の書き込み

説明

ソースセキュリティプリンシパルは、自身を所有者として割り当てることを含め、ターゲットオブジェクトの所有者を変更するアクセス許可を持っています。所有者には「コントロールの読み取り」および「DACLの書き込み」の黙示的な権利があるため、所有者自身または他のユーザーのために追加の権利を取得し、最終的にターゲットオブジェクトを侵害することができます。

詳細は、所有関係を参照してください。

悪用

ソースのセキュリティプリンシパルを侵害した攻撃者は、Windows のネイティブコマンド (例: dsacls/takeownership)、PowerShell (例: Set-ACL)、管理ツール (例: Active Directory ユーザーとコンピューター)、専用ハッカーツール (例: PowerSploit) を使用して、自分をターゲットの所有者に割り当てることができます。

その後、同様の方法を使用して、ターゲットオブジェクトのセキュリティ記述子を編集できます。

修正方法

ソースセキュリティプリンシパルがターゲットオブジェクトの所有者を変更する正当なアクセス許可を持っていない場合は、このアクセス許可を削除する必要があります。

ターゲットオブジェクトのセキュリティ記述子を変更するには

「Active Directory ユーザーとコンピューター」で、オブジェクトを右クリックし、[プロパティ] > [セキュリティ] > [詳細] を選択します。
ソースセキュリティプリンシパルの「所有者の変更」のアクセス許可を削除します。

注意: オブジェクトは、Active Directory ツリーの上位にあるオブジェクトからこのアクセス許可を継承できます。