Windows認証：NTLMとKerberos

Windowsでは、主に2つの認証プロトコルが使われます。NTLM（古いチャレンジレスポンス方式）とKerberos（最新のチケットベース方式）です。Active Directoryの攻撃と防御には、両方を理解することが不可欠です。

NTLMは、Negotiate、Challenge、Authenticateの3つのメッセージで動作します。クライアントは、ユーザーのパスワードをサーバーのランダムなチャレンジと組み合わせてハッシュ化します。送信されるのはハッシュであり、平文パスワードではありません。

NTLMはハッシュで認証するため、ハッシュを盗めば平文パスワードを知らなくても認証できます。これがPass-the-Hash攻撃の核心です。ハッシュ自体が認証情報なのです。

Kerberosは、信頼された第三者であるKDC（Key Distribution Center）を使ってチケットを発行します。相互認証を提供し、最初にTGTを発行した後は、ネットワーク経由で認証情報を送信する必要がありません。

1. クライアントは、パスワードハッシュで暗号化したAS-REQをASに送信します。2. ASは、krbtgtキーで暗号化したTGTを返します。3. クライアントはTGTをTGSに提示し、サービスチケットを要求します。4. クライアントはサービスチケットを対象サービスに提示します。

TGT（Ticket Granting Ticket）：KDCに対して身元を証明するチケットで、有効期間は約10時間です。サービスチケット：特定のサービスへのアクセスを許可します。どちらも、クライアントが読み取れない鍵で暗号化されます。

Kerberosが推奨されます。相互認証に対応し、平文での送信を避け、リレー攻撃にも強いためです。Kerberosが利用できない場合（IPアドレスでのアクセスや、ドメインに参加していないホストなど）はNTLMにフォールバックします。攻撃者はNTLMへのフォールバックを強制し、ハッシュを取得しようとします。

NTLMリレーは、NTLM認証の試行を傍受して別のサービスに中継し、被害者のパスワードを知らずに被害者として認証する攻撃です。Responderが取得し、ntlmrelayxが中継します。

事前認証では、TGTを受け取る前に、クライアントがパスワードハッシュでタイムスタンプを暗号化する必要があります。事前認証が必須でないアカウントはAS-REP Roastingに対して脆弱です。TGTを要求してオフラインでクラックできるためです。

Golden ticket：krbtgtハッシュで署名された偽造TGTで、あらゆるリソースへのアクセスを許可します。Silver ticket：特定のサービス用に偽造されたサービスチケットで、より発見されにくく、KDCに接続する必要がありません。

可能な限りNTLMを無効化し、リレー攻撃を防ぐためにSMB署名を強制し、すべてのアカウントで事前認証を必須にします。また、通常とは異なるチケット要求（イベントID 4768、4769）を監視し、krbtgtアカウントを保護します。

NTLMはハッシュを使ったチャレンジレスポンス方式で認証するため、リレー攻撃やPass-the-Hashに対して脆弱です。Kerberosは、信頼されたKDCが発行するチケットを使用するため、より強固ですが、KDCが侵害されるとKerberoasting、AS-REP Roasting、Golden Ticket攻撃やSilver Ticket攻撃に対して脆弱になります。Active Directoryの攻撃経路を理解し、対象を絞った強化策を適用するには、両方のプロトコルを把握する必要があります。