Windowsアーキテクチャ

ほとんどのエンタープライズ環境ではWindowsが使われています。プロセス、サービス、権限の境界など、その内部の仕組みを理解することは、攻撃と防御の両方に不可欠です。

このレッスンでは、エンゲージメント中に推論することになる中核アーキテクチャを扱います。

Windowsでは、実行環境が2つのリングに分かれています。

• ユーザーモード - アプリケーションが、制限されたアクセス権で実行されます。
• カーネルモード - OSの中核とドライバーが、ハードウェアへの完全なアクセス権で実行されます。

カーネルモードに到達するエクスプロイト（脆弱なドライバーを介するものなど）によって、完全な制御が可能になります。

プロセスは独自のメモリを持つ実行中のプログラムで、スレッドはその内部で実行される単位です。各プロセスには一意のPIDがあります。

コマンドプロンプトまたはPowerShellからプロセスを一覧表示できます。

常に実行されているプロセスがいくつかあります。これらを装ったプロセスはマルウェアの兆候です。

• System（PID 4） - カーネルスレッド。
• smss.exe - セッションマネージャー。
• csrss.exe - クライアント／サーバーランタイム。
• lsass.exe - 認証情報を保持する、攻撃者にとって主要な標的。
• winlogon.exe、services.exe。

lsass.exe（Local Security Authority Subsystem）は認証を管理し、認証情報のデータをメモリにキャッシュします。

Mimikatzなどのツールはlsassの内容をダンプし、パスワードハッシュやKerberosチケットを盗みます。これは理解しておくべき最重要攻撃の1つです。

サービスはService Control Managerが管理するバックグラウンドプログラムで、起動時に高い権限で実行されることがよくあります。

設定ミスのあるサービス（弱い権限や引用符で囲まれていないパスなど）は、典型的な権限昇格経路です。

アプリケーションは、kernel32.dllやntdll.dllなどのDLLが公開するWindows APIを介してOSと通信します。

マルウェアや攻撃ツールは、これらのAPI（CreateProcess、VirtualAlloc、WriteProcessMemory）を直接呼び出してコードを注入し、検出を回避します。

すべてのプロセスは、ユーザー、グループ、権限を示すアクセストークンを保持しています。Windowsは、保護された操作を行うたびにこのトークンを確認します。

攻撃者はトークンを盗んだり偽装したりして、より高い権限を持つユーザーとして操作します。これは多くの権限昇格手法の基盤です。

Windowsは整合性レベル（Low、Medium、High、System）を割り当てます。User Account Control（UAC）では、管理者も昇格するまではMediumで実行されます。

UACバイパスは、プロンプトを表示せずにMediumからHighの整合性レベルへ移行するためによく使われる手順です。

プログラムはDLLから共有コードを読み込みます。Windowsは特定のディレクトリを決められた順序で検索してDLLを見つけます。

書き込み可能なディレクトリが先にある場合、攻撃者は悪意のあるDLLを配置できます。これはDLLハイジャック／検索順序の悪用です。

MicrosoftのSysinternalsスイートは、防御側にも攻撃側にも非常に役立ちます。

• Process Explorer - 詳細なプロセスツリーとハンドル。
• Process Monitor - ファイル、レジストリ、プロセスのイベントをリアルタイムで監視。
• Autoruns - 自動起動場所をすべて表示（永続化の発見に有効）。

認証情報を保持するプロセスを思い出してください。

Windowsのアーキテクチャを整理しました。

• ユーザーモードとカーネルモード。カーネルに到達すると完全な制御が可能です。
• 主要なプロセス、特に認証情報を扱うlsass.exe。
• サービス、アクセストークン、整合性レベル、UAC。
• DLLの検索順序の悪用と、調査に使うSysinternals。

次は、Windowsレジストリです。