Windows認証

Windows認証は、アクセスを許可する前にユーザーが誰であるかを確認します。ドメイン環境では、クライアントとドメインコントローラーの間でこの処理が常に行われています。

主なプロトコルは、NTLM（古いチャレンジレスポンス方式）とKerberos（現代的なチケット方式）の2つです。どちらも頻繁に攻撃対象になります。

Windowsはローカルアカウントのパスワードを平文で保存せず、SAMデータベースにハッシュとして保存します。主要な形式はNTハッシュ（パスワードのMD4値）です。

攻撃者がこれらのハッシュをダンプすると、オフラインで解析したり、そのまま再利用したりできます。

NTLMは、パスワードを送信せずに認証します。

• サーバーがランダムなチャレンジを送信します。
• クライアントがNTハッシュで暗号化して応答します。
• サーバー（またはDC）が応答を検証します。

これはレガシーな方式ですが、互換性のために現在も多くのネットワークで有効になっています。

NTLMは平文ではなくハッシュを使って認証するため、攻撃者はハッシュを盗めば、解析しなくても認証できます。

これがPass-the-Hash（PtH）です。NTLMに対する強力なラテラルムーブメント手法です。

KerberosはActive Directoryのデフォルト認証方式です。ドメインコントローラー上の信頼されたKey Distribution Center（KDC）と有効期限付きのチケットを使用し、認証情報を繰り返し送信する必要がありません。

Kerberosの処理の流れは次のとおりです。

• ユーザーが認証され、Ticket Granting Ticket（TGT）を受け取ります。
• サービスを利用する際、クライアントがTGTを提示してService Ticket（TGS）を取得します。
• サービスがチケットを検証します。パスワードは送信されません。

Kerberoastingは、サービスを実行しているアカウント（SPN）のサービスチケットを要求します。このチケットは、サービスアカウントのパスワードハッシュで暗号化されています。

攻撃者はチケットを抽出し、オフラインでクラックしてサービスアカウントのパスワードを復元します。

Kerberosチケットは盗み出して再利用することもできます（Pass-the-Ticket）。さらに深刻なのは、攻撃者がkrbtgtアカウントのハッシュを侵害すると、ドメイン全体へのアクセスを許可する自己作成のTGT、つまりGolden Ticketを偽造できることです。

多くの攻撃は、侵害されたホストからの認証情報の抽出から始まります。ツールはlsass.exeのメモリやSAM/SECURITYハイブからハッシュやチケットをダンプします。

Mimikatzが最も有名なツールであり、secretsdumpは一般的なリモートでの代替手段です。

防御側は、次の方法でこれらのリスクを軽減します。

• 可能な場合はNTLMを無効にします。
• サービスアカウントに強力で長いパスワードを適用します。
• lsass（Credential Guard、PPL）を保護します。
• krbtgtキーをローテーションし、管理者アカウントの使い回しを制限します。

セッションから、現在の認証コンテキストとキャッシュされたKerberosチケットを確認できます。

NTLM固有の攻撃を見分けてください。

Windowsの認証方法と攻撃方法について学びました。

• SAM内のNTハッシュにより、オフラインクラックとPass-the-Hashが可能になります。
• KerberosはKDC、TGT、サービスチケットを使用します。
• Kerberoasting、Pass-the-Ticket、Golden TicketはKerberosを悪用します。
• 強化策は、NTLMの無効化、lsassの保護、サービスアカウントへの強力なパスワードの設定です。

次は、攻撃に使われるPowerShellです。