Windowsのログオンイベントから、高権限や特権情報を詳細に取得できるようになった

解説

近年、認証情報の悪用や特権アカウントの不正利用といった脅威が深刻化する中で、従来のログ記録だけでは「誰が」「どの程度の権限で」アクセスしたかを完全に追跡することが困難でした。

今回の更新により、Windowsのログオン時に作成されるアクセストークンに含まれる重要な特権情報や認証コンテキストをより詳細に取得できるようになりました。これにより、「単なるログインがあった」という事実だけでなく、「そのセッションがドメイン管理者などの高い権限を持っていたか」「ローカルアカウントを利用したアクセスだったか」といった付加的な情報を、脅威調査の場で扱えるようになりました。

自社環境では、これらの特権情報を含む新たなログデータフィールドの活用を検討しておきたいところです。具体的には、従来のイベントログと合わせて新しいトークンコンテキストデータを組み合わせて分析することで、特権アカウントが通常とは異なる形で利用されたり、認証プロセス自体に異常がないかを詳細に検証する仕組みづくりが参考になります。

ポイント

• Microsoft Defenderが、ユーザーのログオン時（トークン作成時）の特権情報を取得しやすくなりました。
• これにより、セッションに含まれるドメイン管理者などの高権限SIDやローカルアカウント利用といった詳細なコンテキストを脅威調査で追跡できます。
• 従来の標準イベントログだけでは得られなかった、より高い精度での不正アクセス・特権濫用の検知が可能になります。

情シスへの影響

■ ログオンイベントの監視および検出ルールの高度化

従来の認証成功ログ（例：セキュリティイベント4624）はネットワーク情報などを提供しますが、付与されたグループメンバーシップや特殊な認証手段の情報までは取得できませんでした。

今回追加されたトークンコンテキストデータを利用することで、セッション開始時の特権レベル（ドメイン管理者SIDの有無など）を直接クエリ可能となり、検出ルールの精度と網羅性が大幅に向上します。

■ 侵害後の行動分析（IRプロセス）の強化

攻撃者が一時的に獲得・利用した昇格された特権や、PAC（Privilege Attribute Container）への不正な操作痕跡が、ログオン時に生成されるトークン内に残るため、事後調査において特権濫用の証拠をキャッチしやすくなります。

■ 監視システムのデータ構造変更への対応

Advanced Huntingで参照するDeviceLogonEventsテーブルに新たなフィールド（例：TokenHasDomainAdminSid）が追加されたため、既存の脅威ハンティングクエリや検出ルールはこれらの新しいフィールドを利用するように更新が必要です。

影響範囲

Windows OSを利用した全ての端末（デバイス）、およびそれに紐づくログオンイベントデータ。特にAdvanced Huntingで収集されるDeviceLogonEventsテーブル内のロギング期間（過去のデータ適用可否）。対象となる認証コンテキストは、SIDや特定のステータスフラグに依存するため「要確認」。

重要度

★★★★★

対象者

• セキュリティ担当者
• M365管理者
• Entra管理者
• ネットワーク管理者

優先度

早めに対応

優先度の理由

本機能は、特権アカウントの不正利用や標的型攻撃など、セキュリティ上の重要度の高い脅威を検出するために設計されたものです。早期にログ収集と監視システムへの反映を進めることで、自社のログ分析能力が大きく向上します。ただし、これはログデータ構造に関する強化であり、システムの緊急停止リスクはないため「早めに対応」と判断しました。既存の検出ルールを見直し、新しいフィールドを活用するための検証作業が必要です。

確認手順

• Microsoft Defenderまたは利用中のSIEM/XDR製品の公式ドキュメントを確認し、DeviceLogonEventsテーブルにおける追加フィールド名（例：TokenHasDomainAdminSidなど）を正確に把握する。
• テスト環境において、管理者権限のユーザーやローカルアカウントでのログオンイベントが適切にキャプチャされ、新しいフィールドに値が入ることを確認する。
• 高権限アカウントを用いた想定される異常なログオンパターン（例：通常利用しない場所からの管理者ログイン）を定義し、新しいフィールドを利用したハンティングクエリを作成・実行し、感度と特異度を検証する。
• データ保持期間内において、過去の重要なインシデントに対応するための十分な履歴データの網羅性を確認する。