ラテラルムーブメント：Pass-the-HashとPass-the-Ticket

ラテラルムーブメントとは、攻撃者がネットワーク内に初期 footholdを確立した後、ネットワーク内を段階的に移動し、ドメインコントローラー、データベース、管理用ワークステーションなど、より価値の高い標的へ到達するために使用する手法を指します。通常、単一のエンドポイントを標的とする初期アクセスとは異なり、ラテラルムーブメントでは、正規ユーザーが日常的に利用するシステム間の信頼関係（認証メカニズム、共有認証情報、ネットワーク接続、管理ツール）が悪用されます。効果的なラテラルムーブメントにより、侵害された低権限アカウント1つから、最終的に環境内のすべてのシステムへ到達できる可能性があります。

NTLM（NT LAN Manager）は、チャレンジレスポンス方式に基づく旧式のWindows認証プロトコルです。クライアントがサーバーに対して認証を行うと、サーバーはランダムなチャレンジを送信します。クライアントは、ユーザーのNTハッシュ（パスワードから導出された固定ハッシュ）でチャレンジをハッシュ化して応答します。設計上の重大な欠陥は、パスワードそのものではなく、NTハッシュだけで認証できることです。NTハッシュは、ワークステーションではSecurity Account Manager（SAM）データベースに、ドメインコントローラーではNTDS.DITに保存されています。攻撃者がNTハッシュを取得すると、パスワードを知ることなくそのユーザーとして認証できます。

Pass-the-Hash（PtH）は、攻撃者が取得したNTLMハッシュを使用し、元の平文パスワードを知らずに他のシステムへ認証する攻撃手法です。1台のシステムを侵害してメモリ（LSASS）またはSAMデータベースからハッシュを抽出した後、攻撃者は認証要求で自分の認証情報マテリアルを盗んだハッシュに置き換えます。これは、ローカル管理者パスワードの共有（LAPSを導入していない環境で一般的）があると、1つのハッシュで数百台、数千台のマシンが侵害される可能性があるため、特に深刻です。Mimikatz、Impacket's psexec.py、CrackMapExecなどのツールを使うと、PtH攻撃を自動化できます。

いくつかの緩和策により、PtH攻撃の有効性を低下させることができます。Local Administrator Password Solution（LAPS） — Microsoftのツールで、各マシンに一意で定期的に変更されるローカル管理者パスワードを割り当てます。これにより、1台のマシンから盗まれたハッシュで解除できるのはそのマシンだけになります。Credential Guard（Windows 10/11） — 仮想化ベースのセキュリティを使用してLSASSを安全なエンクレーブに分離し、ハッシュを抽出できないようにします。可能な場合はKerberosを優先してNTLMを無効化すること、Privileged Access Workstations（PAW）と階層型管理モデルを通じて管理アクセスを制限すること、そしてActive DirectoryのProtected Usersセキュリティグループを使用し、メンバーアカウントのハッシュキャッシュを防ぐことも有効です。

Kerberosは、Active Directory環境における既定の認証プロトコルです。暗号化されたチケットを使用するため、ネットワーク上でパスワードやハッシュを送信する必要がありません。処理の流れは次のとおりです。(1) クライアントがKey Distribution Center（KDC）（ドメインコントローラーが担う役割）に対して認証を行い、KRBTGTアカウントのハッシュで暗号化されたTicket Granting Ticket（TGT）を受け取ります。(2) クライアントがサービスへのアクセスを必要とすると、TGTを提示して、対象サービスのキーで暗号化されたService Ticket（TGS/ST）を受け取ります。(3) クライアントがサービスチケットを対象サービスに提示すると、対象サービスはKDCに問い合わせることなくチケットを検証します。チケットの既定の有効期間は10時間です。

Pass-the-Ticket（PtT）は、Pass-the-Hashに相当するKerberosの攻撃手法です。攻撃者は、侵害したシステムのメモリから有効なKerberosチケットを抽出し、自分のセッションにインポートして、チケット所有者として認証します。KerberosチケットはWindowsのメモリに保存されており、Mimikatz's kerberos::listおよびkerberos::pttコマンドで抽出できます。盗まれたTGTは、チケット所有者がアクセスできる任意のサービスのサービスチケットを要求できるため、最も価値があります。盗まれたService Tickets（TGS）は、発行対象となった特定のサービスへのアクセスしか許可しないため、より限定的です。

Over-Pass-the-Hash（oPtH）はPass-the-Keyとも呼ばれ、NTLMハッシュの窃取とKerberosチケットの取得の間をつなぐ手法です。攻撃者は、盗んだNTハッシュまたはAESキーを使用して、平文パスワードを知らなくてもドメインコントローラーにKerberos TGTを要求します。これにより、盗んだハッシュが完全なKerberos TGTに変換され、PtT攻撃と同等の柔軟性が得られます。多くの組織がNTLMを無効にしてKerberosを優先しているため、この手法は有用です。oPtHを使えば、Kerberosのみの環境に対してもハッシュベースの攻撃を成功させられます。Mimikatzでは、これをsekurlsa::pthとして実装しています。

攻撃者は、盗んだ認証情報やチケットを使ってラテラルムーブメントを行うために、複数のプロトコルを使用します。SMB（Server Message Block）では、PsExecを介してコマンドをリモート実行でき、リモートファイルアクセスやサービスの作成も可能です。WMI（Windows Management Instrumentation）では、リモートコマンドを実行できます。広く普及している一方でログの不足もあるため、管理者と攻撃者の双方に多用されています。RDP（Remote Desktop Protocol）では、対話型のデスクトップセッションを利用できます。また、WinRM/PowerShell Remotingでは、リモートシステム上でPowerShellコマンドを実行できます。防御側は、これらのプロトコルを正当に使用するシステムを把握し、異常な使用パターンを検知する必要があります。

BloodHoundは、レッドチームと防御側の双方がActive Directoryにおける権限昇格とラテラルムーブメントの経路を可視化するために使用するオープンソースツールです。誰がどのグループに所属しているか、誰がどのマシンの管理者権限を持っているか、どのアカウントで委任が有効になっているかといった関係データを収集し、ユーザー、マシン、グループをノード、権限をエッジとするグラフとして表示します。BloodHoundの'Find Shortest Paths to Domain Admins'クエリを使うと、攻撃者や防御側は、ドメイン全体の制御につながる侵害の手順を正確に確認できます。防御側はBloodHoundを使用して、攻撃者に悪用される前に不要な権限経路を排除します。

ラテラルムーブメントを検知するには、複数のシステムにまたがるイベントを相関させる必要があります。主な検知シグナルには、WindowsイベントID 4648（明示的な認証情報によるログオン。PtH/PtTでよく見られます）、イベントID 4769（Kerberosサービスチケットの要求。ほとんどアクセスされないサービスのチケットを要求している場合は異常です）、イベントID 7045/4697（新しいサービスのインストール。PsExecベースのラテラルムーブメントでよく見られます）、非管理者ワークステーションからの通常とは異なる管理ツールの使用（wmic.exe、psexec.exe）、そしてワークステーションが別のワークステーションに対して認証を行うSMB認証の異常があります（通常の通信はワークステーションからサーバーへ流れ、ピアツーピアにはなりません）。EDRプラットフォームは、ネットワーク全体でこれらのパターンを行動分析によって検知できます。

階層型管理モデル（Microsoftが推奨するActive Directory設計）は、ある階層から認証情報が盗まれても、上位階層が侵害されないようにします。Tier 0（ID制御プレーン — ドメインコントローラー、Azure AD）では、Tier 0の管理者アカウントだけが管理を行い、これらのアカウントでTier 1またはTier 2のシステムにログインすることはありません。Tier 1（サーバーとクラウドサービス）では、専用のTier 1管理者アカウントを使用します。Tier 2（ワークステーションとデバイス）では、ヘルプデスクおよび標準管理者アカウントを使用します。認証情報を階層ごとに分離することで、侵害されたワークステーション管理者アカウントをドメインコントローラーへの攻撃に利用できなくなります。これは、PtHおよびPtTによるラテラルムーブメントに直接対抗します。

このレッスンで学んだ CompTIA Security+ (SY0-701) の概念について、理解度を確認します。

このレッスンでは、次のことを学びました。Pass-the-Hash は、NTLM の「ハッシュを認証情報として使用する」設計を悪用します。つまり、NT ハッシュだけでパスワードなしに認証でき、主な対策は LAPS と Credential Guard です。Pass-the-Ticket は、メモリから有効な Kerberos チケットを窃取します。これにより別のユーザーとして認証できます。特に、窃取した TGT は任意のサービス用のサービスチケットを生成できるため、非常に強力です。また、階層型管理モデルにより、ある階層で認証情報を窃取されても、より高い権限を持つ階層へのラテラルムーブメントを防止できます。次は、Active Directory の Kerberos 実装を標的とする Kerberoasting と Golden Ticket 攻撃について学びます。