権限昇格とドメイン支配

足がかりを得ることが最終目標になることは、ほとんどありません。ADのエンゲージメントでは通常、Domain Admin、より正確にはTier 0（DCとID基盤）を制御できる経路を実証することが目的です。

ADにおける権限昇格では、ローカルでの昇格、認証情報の窃取、ディレクトリの設定ミスを連鎖させ、最も重要な資産に到達します。

ホスト上の低権限シェルから始めた場合、通常は認証情報をダンプするためにローカルのSYSTEM権限が必要です。一般的なローカル権限昇格の経路には次のようなものがあります。

• 引用符で囲まれていないサービスパスと、脆弱なサービス権限
• 書き込み可能なサービスバイナリ、またはDLLハイジャック
• AlwaysInstallElevated MSIポリシー
• SeImpersonatePrivilegeを悪用するトークン偽装（Potato family）

SYSTEM権限を取得したら、キャッシュされた認証情報をダンプしてピボットします。新たに得た認証情報によって、別のホストやより高い権限が利用できるようになります。

手順は、ダンプ → BloodHoundで到達可能な対象を特定 → ラテラルムーブメント → 再度ダンプ、という流れです。特権アカウントの認証情報が見つかるまで繰り返します。

設定ミスのあるACLは、エクスプロイトを必要としない確実な権限昇格経路です。特権オブジェクトに対する権限を持つプリンシパルを制御できれば、自分自身にアクセス権を付与できます。

• ユーザーに対するForceChangePasswordがあれば、そのユーザーのパスワードをリセットできます。
• ユーザーに対するGenericWriteがあれば、SPNを設定してKerberoastしたり、RBCDを設定したりできます。
• グループに対するWriteDaclがあれば、自分自身を追加できます。
• 特権グループに対するAddMemberは、直接的な権限昇格につながります。

委任の設定ミスは、高い価値を持つユーザーになりすますための効果的な権限昇格につながります。

• Unconstrained delegation：DCに認証を強制し（PrinterBug / PetitPotam）、そのTGTを取得してからDCSyncを実行します。
• Resource-Based Constrained Delegation：コンピューターに対する書き込み権限があれば、制御下のアカウントをそのmsDS-AllowedToActOnBehalfOfOtherIdentityに追加し、S4Uによって任意のユーザーになりすますことができます。

Active Directory Certificate Servicesは、証明書ベースの権限昇格を可能にします。設定を誤ったテンプレートによって、低権限ユーザーが任意のユーザーとして認証できる証明書を登録できてしまいます。

• ESC1：テンプレートで、申請者が指定するSANとクライアント認証EKUが許可されています。
• ESC8：Web登録エンドポイントへのNTLMリレーです。

DAにマッピングされた証明書は永続性が高く、パスワードをリセットしても有効です。

Replicating Directory Changes権限を持つプリンシパルを制御できれば、DCになりすまし、標準のレプリケーションプロトコルを介してkrbtgtを含む任意のアカウントのハッシュを取得できます。DC上でコードを実行する必要はありません。

krbtgtとDAレベルのハッシュを取得すると、ドメインを支配できます。永続化の方法には次のようなものがあります。

• Golden Ticket：krbtgtハッシュからTGTを偽造します。
• DCShadow：偽のDCを登録し、悪意のあるディレクトリ変更を適用します。
• AdminSDHolder：保護されたグループに1時間ごとに再適用されるACLテンプレートにバックドアを仕込みます。
• ADCSによる証明書ベースの永続化

影響の大きい操作は、検知可能なシグナルを発生させます。

• DC以外を送信元IPとするDCSync：レプリケーションGUIDを伴うイベント 4662
• 認証強制ツールによって、異常なマシンアカウント認証が発生します。
• AdminSDHolderのACL変更（イベント 5136）
• 申請者と一致しないSANを含む、異常な証明書登録

ドメイン支配を封じ込めるには、アーキテクチャレベルの防御が必要です。

• 厳格な階層型管理：Tier 0の管理者はTier 0のホストにのみログオンします。
• レプリケーション権限を制限し、DCSync権限を持つユーザーを監査します。
• ADCSテンプレートを堅牢化し、証明書登録の承認を有効にして、PetitPotamとリレー経路にパッチを適用します。
• AdminSDHolderのACLを修正し、保護グループの変更を監視します。
• krbtgtを2回ローテーションするための手順書を準備しておきます。

ドメイン支配に関する検出事項では、完全なキルチェーンを記録してください。獲得した各権限、それを可能にした設定ミス、そして最小限の修正方法を含めます。個別の対処よりも、チェーンを最も早い段階で断ち切る修正（例：ACL経路の修正）を優先します。

エンゲージメントを終了する前に、偽造チケット、悪意のある委任、テスト用証明書を削除してください。

ドメイン支配について理解できているか確認します。

初期の足がかりからドメイン全体の制御に至る経路を確認しました。

• ローカル権限昇格によって認証情報のダンプが可能になり、BloodHoundがピボット先の判断を支援します。
• ACLの設定ミス、委任の悪用、ADCSのESC経路によって、エクスプロイトなしで権限を昇格できます。
• DCSyncによってkrbtgtを抽出し、Golden TicketとAdminSDHolderによって永続化します。
• 階層化、レプリケーション権限の監査、ADCSの堅牢化によって、この連鎖を断ち切れます。

これでActive DirectoryとKerberosのコースは完了です。