パス・ザ・ハッシュ（PtH）攻撃を理解する

パス・ザ・ハッシュ（Pass-the-hash）攻撃とは、攻撃者がある1台のマシンからユーザーのハッシュ化されたパスワード（NTLM/LM ハッシュ）を盗み、それを別のシステムへの認証に使用する攻撃です。

パス・ザ・ハッシュ（Pass-the-hash）攻撃とは？

パス・ザ・ハッシュ（Pass-the-hash）攻撃は、攻撃者が侵害されたマシンからユーザーのハッシュ化されたパスワード（たとえば NTLM ハッシュ）を盗み、そのハッシュを再利用して、平文のパスワードを一切必要とせずに他のシステムへ認証を行うときに発生します。多くの Windows の認証プロセスでは、パスワードの代わりにハッシュを受け付けるため、攻撃者はアカウントの資格情報が変更されるか、またはハッシュが無効化されるまでユーザーになりすませます。

この攻撃は、Windows の認証プロトコル、特に NTLM の弱点を悪用します。NTLM と古い LM プロトコルは、平文のパスワードの代わりに有効なハッシュをそのまま受け付ける、ハッシュベースの認証方式を使用します。LM は暗号学的に弱く（解読されやすい）、NTLM は同じハッシュを複数のネットワークサービスで再利用できるようにします。

パス・ザ・ハッシュ（Pass-the-hash）は Windows 環境でよく見られます。とはいえ、Active Directory に参加している Linux マシン、Samba のファイルサーバー、または NTLM/Kerberos をサポートするサービスであれば、盗まれたハッシュやリプレイされた認証情報（クレデンシャル）をすべて受け入れてしまう可能性があります。ハイブリッドクラウドや AD-Entra ID の同期設定もまた脆弱で、とりわけ NTLM 認証が有効になっている場合、あるいはレガシー互換性が有効になっている場合に影響を受けやすくなります。攻撃者が 1 つのシステムに侵入して、メモリまたはディスクから認証情報を抽出できれば、そのハッシュを「パス」して横方向への移動、権限の昇格、さらにはドメインコントローラの侵害まで行えます。

パス・ザ・ハッシュ攻撃は、ソフトウェアの脆弱性ではなく信頼されたアイデンティティを悪用するため、検知が難しくなります。リスクを下げるには、強固なアイデンティティのセキュリティ、最小権限のアクセス、そして継続的な監視が不可欠です。

パス・ザ・ハッシュ攻撃はどのように機能しますか？

パス・ザ・ハッシュ攻撃は、攻撃者がまず足場を確保し、最終的に高価値のターゲットに到達するまで、比較的わかりやすい一連の流れに沿って進みます。ここでは、よくある段階と各段階で何が起こるのかを示します。

初期アクセス

攻撃者は、フィッシング、マルウェアの投入、脆弱なサービスの悪用、または盗み出した認証情報の使用によって、ネットワークへの侵入口を確保します。ユーザー端末やサーバーに確保した足場により、対象ホスト上でコードを実行したりメモリを読み取ったりできるようになります。

ハッシュの収集

ホストに侵入した後、攻撃者は侵害されたホストまたはドメインから認証情報の素材（ハッシュ、またはその他の認証アーティファクト）を抽出します。対象は、システム格納先（ローカルの SAM データベース、またはエクスポートした NTDS.dit）、認証情報をキャッシュするメモリ常駐プロセス（ライブの LSASS メモリダンプ）、あるいは複製/AD の悪用（DCSync など）によってアカウントデータを引き出すことです。さらに、レガシーのチャレンジ–レスポンス プロトコルが使用されている場所では、ネットワークトラフィックを盗聴する場合もあります。

盗み取ったハッシュによる認証

攻撃者はキャプチャしたハッシュを再利用して、NTLM（または類似）認証を受け付ける SMB、RPC、またはその他のサービスに認証します。これにより、ハッシュを解読（クラッキング）することなく、実質的にアカウントをなりすまします。このリプレイを行うための一般的なツールには、Mimikatz、Invoke-TheHash、Sharp-SMBExec、そして Cobalt Strike のような攻撃用フレームワークがあります。

横方向への移動

盗み取ったハッシュを使って、攻撃者は最初のホストから他のマシンへ移動します。彼らは遠隔管理の仕組み（SMB共有、PsExecのようなリモート実行、WMIC、スケジュールされたタスク、または組み込みの管理ツール）を用いて、追加のマシンに到達し、より多くの資格情報を収集します。また、トークンの窃取やなりすまし（impersonation）によって、他のユーザーのように振る舞います。このようにして、攻撃者は正当な管理活動に紛れながら、ネットワーク全体にわたる支配を広げていきます。

権限の昇格

横方向のアクセスができるようになると、攻撃者はより高い権限を持つアカウント（サービスアカウント、ドメイン管理者、そして RID-500 のような組み込みの高権限 SID）を狙います。さらに、設定ミスを悪用します（権限が過剰に付与されたサービスアカウント、露出している資格情報ストア）。そして脆弱なサービスを悪用して、管理者レベルのハッシュを入手します。これにより、攻撃者はより広範な支配を得ると同時に、資格情報を繰り返し盗む必要性を減らせます。

持続化と目的

攻撃者は特権的な立場を得た後も侵入を維持するために、持続性（バックドア、スケジュールされたタスク、変更されたサービスアカウント）を確立します。これにより、再起動やパスワード変更の後でも侵入を継続できます。ここから、データの窃取、ランサムウェアの展開、長期的なスパイ活動といった目的の遂行が可能になります。

Netwrix のサポート

Netwrix Auditor や Netwrix Threat Manager のようなツールは、認証およびアクセスのパターンを継続的に監視することで、パス・ザ・ハッシュ（pass-the-hash）活動の検知に役立ちます。これらは、予期しない NTLM ログオン、特権昇格、LSASS のような機密性の高いプロセスへの不自然なアクセスといった異常を特定します。これらのイベントを相関付けし、リアルタイムのアラートを行うことで、組織は潜在的な横方向への移動（lateral movement）を迅速に調査し、封じ込めることができます。

攻撃フロー図

ここでは、パス・ザ・ハッシュ（pass-the-hash）攻撃のシンプルな視覚的フローと、攻撃がネットワーク侵害から始まり、権限昇格と持続化（永続化）につながる様子を組織の観点で示した例のストーリーを見ていきましょう。

Archie Corpでは、従業員が悪意のある請求書の添付ファイルを開いてしまい、攻撃者にネットワーク内での初期侵入口を与えてしまいます。攻撃者はローダーを実行し、LSASSメモリをダンプしてNTLMハッシュを取得します。これらのハッシュを使って、SMB経由で社内のファイルサーバーに認証し、PsExecを実行して追加のホストへ到達します。さらに、ジャンプホストから権限の高いサービスアカウントを見つけ、そのハッシュを再利用してドメインコントローラにアクセスします。攻撃者は持続化（persistence）のためにスケジュールタスクを投入し、機密ファイルを持ち出した後、ランサムウェアを展開します。

パス・ザ・ハッシュ（pass-the-hash）攻撃の例

パス・ザ・ハッシュ（pass-the-hash）攻撃は、現実の侵入事例で繰り返し登場します。ここでは、この手法がランサムウェアや標的型キャンペーンでどのように現れるのかを示す実例をいくつか紹介します。

パス・ザ・ハッシュ（pass-the-hash）攻撃の影響

パス・ザ・ハッシュ（Pass-the-hash）攻撃は、攻撃者に管理者レベルのアクセス権を与えるため、影響が広範囲に及ぶ可能性があります。被害は技術的な影響にとどまりません。財務、事業継続、顧客の信頼、さらには規制への準拠にも影響します。

パス・ザ・ハッシュ（Pass-the-hash）攻撃のよくある標的：誰がリスクにさらされていますか？

パス・ザ・ハッシュ（Pass-the-hash）攻撃は、再利用可能な認証ハッシュを保存、処理、または受け付けるシステムに対して最も効果的です。以下では、よくある標的をいくつか紹介します。

リスク評価

Pass-the-hash は、攻撃者がユーザーをなりすまして、特権資格情報により Active Directory ドメインを完全に制御できるため、高リスクな攻撃です。

Pass-the-hash 攻撃を防ぐ方法

Pass-the-hash 攻撃は、弱い認証の運用と過剰な権限を悪用します。防ぐには、組織は資格情報の露出を減らし、管理者権限を厳格に制限し、誤用の兆候がないかを綿密に監視する必要があります。以下のベストプラクティスが役立ちます。

資格情報と認証の強化

• 可能な限り NTLM を無効化するか段階的に廃止し、Kerberos ベースの認証を強制してください。NTLM は時代遅れで、悪用されやすさがはるかに高くなっています。
• NTLM がまだ必要な場合は、より強力な暗号化による保護のために NTLMv2 に制限してください。
• Windows Defender Credential Guard を有効にして LSASS を分離し、資格情報のデータが盗まれないよう保護します。
• LSA 保護（RunAsPPL）を有効にして、信頼されていないプロセスが LSASS のメモリを読み取れないようにします。
• WDigest を無効にして、平文のパスワードがメモリにキャッシュされないようにします。

特権アクセス制御

• 最小権限の原則（PoLP）を適用します。ユーザーには、本当に必要なアクセス権のみを付与し、不必要な管理者権限は与えないでください。
• just-in-time（JIT）および Just Enough Administration（JEA）を使用して、特定のタスクに対してのみ一時的な管理者権限を付与します。
• 資格情報の再利用を防ぐために、Microsoft LAPS または LAPS2 でローカル管理者のパスワードをランダム化します。
• 複数のマシンでローカル管理者のパスワードを再利用しないでください。
• 機密性が高く価値の高いアカウントを Protected Users グループに追加します。

アイデンティティとアカウントのセキュリティ

• 特権アクセス管理 (PAM) またはパスワード保管庫を導入して、特権資格情報を制御し、監査します。
• 固定のサービスアカウントを、グループ Managed Service Accounts (gMSAs) に置き換えます。
• すべての高価値アカウントに対して、定期的かつ自動のパスワードローテーションを強制します。
• リモートアクセスおよび特権アクセスには、多要素認証 (MFA) を必須にします。
• 特権アカウントを継続的に監査し、非アクティブおよび古いアカウントを削除します。

ネットワークおよびプロトコルの防御

• ワークステーション間の SMB/RPC トラフィックをブロックし、横方向への移動を防ぎます。ファイアウォール ルールやホストファイアウォール ポリシーなどで、エンドポイント間の SMB/RPC を拒否するように east-west セグメンテーションを強制することで実現できます。
• セッションの完全性をより強固にするために、SMB の署名と暗号化を有効にします。
• RDP セッション中の資格情報を保護するために、Remote Credential Guard を使用します。
• 管理者アカウントを階層（例えば、Tier 0 はドメイン コントローラー、Tier 1 はサーバー）ごとに分離し、潜在的な侵害を封じ込めます。
• ログオン制限を適用して、特権アカウントが承認済みのシステムにのみアクセスできるようにします。

IT と運用の衛生管理

• 定期的にパッチを適用してください。特に認証や NTLM に関連する脆弱性に重点を置きます。
• 定期的に侵入テストとレッドチーム演習を実施し、防御が機能していることを検証します。
• 従業員に対して、フィッシングの試みと認証情報（credential）窃取のリスクを見分けるよう教育します。
• インシデント後に迅速に復旧できるよう、golden images と不変（immutable）またはオフラインのバックアップを維持します。
• すべてのユーザー、デバイス、およびリクエストを継続的に検証する Zero Trust モデルへ移行しましょう。

Netwrix がどのように支援できるか

パス・ザ・ハッシュ（Pass-the-hash）攻撃は、有効な認証情報（credential）を悪用するため、従来の防御だけで止めるのは困難です。Netwrix のソリューションは、不審な認証挙動を検知し、特権アクセスを制御し、アカウント活動を完全に可視化することで、アイデンティティのセキュリティを強化します。

Netwrix Threat Manager

Threat Manager は、欺けん（ディセプション）と行動分析を組み合わせて、認証情報の窃取や横方向への移動（lateral-movement）を見つけることで、PtH 活動の検知に役立ちます。

• 欺けん（honeytokens）： Threat Manager では、環境内に honeytokens を「餌（bait）」となる認証情報として展開できます。攻撃者がそれらを使用したり認証しようとした場合、それは悪意のある認証情報の収集とリプレイの強い兆候です。システムは調査のためのアラートを生成します。
• 行動分析と異常検知： 製品は、通常のユーザーおよびサービスの振る舞いをベースライン化し、その後、例えば「これまで一度も使ったことのないホストからアカウントが認証している」「あるアカウントがアクセスするホスト数が急増している」「管理ツールの不審な使用がある」といった、認証情報の窃取や横方向への移動（lateral-movement）パターンに一致する異常を検出してフラグを立てます。これらのアイデンティティに基づく検知は、AD、Entra ID、およびファイルシステムのイベントと相関付けされるため、誤検知を減らし、リアルタイムのアラートを生成できます。

Netwrix Privilege Secure

Privilege Secure は、特権アカウントを保護することで、盗まれて再利用される認証情報のリスクを低減します。常駐（standing）の権限を取り除き、just-in-time アクセスを強制し、認証情報の保管（credential vaulting）を提供し、特権アクティビティを監視します。これにより、攻撃者が保存されたパスワードやハッシュを悪用することを防ぎ、パス・ザ・ハッシュ（pass-the-hash）攻撃の成功を難しくします。

• JIT アクセスで常駐（standing）の特権ゼロ： Privilege Secure は、タスクが承認された場合にのみ昇格された権限を発行し、その後は自動的に取り消します。これにより、攻撃者が収集（harvest）できる長期間有効な管理者アカウントをなくします。
• 認証情報の保管（credential vaulting）： 本製品は、保管庫（vault）と統合することも、必要なシークレットを自ら仲介（broker）することもできます。特権の認証情報を一元管理し、エンドポイント全体で再利用されるパスワードを減らします。中央の保管庫と自動ローテーションにより、攻撃者がダンプしてリプレイできる“安定した”認証情報を見つけにくくなります。
• セッション監視と監査： Privilege Secure は、監査およびフォレンジック対応に向けて、特権セッションとアクションを記録・監視します（誰が何に、いつ、どのようにアクセスしたか）。
• きめ細かな特権制御とローカル管理者権限の削除： 本製品では、ユーザーからローカル管理者権限を削除し、タスク固有の権限のみを付与して、昇格されたアクセスを中央で管理できます。
• 隠れた特権アカウントの発見：Privilege Secure はエンドポイント全体をスキャンし、隠れた未管理の特権アカウントを特定できます。

Netwrix Auditor

Auditor により、ユーザーのアクティビティとシステムの変更を完全に可視化できます。環境全体で、ログオン、アカウントおよび権限の変更、構成の変更を追跡します。すべてのアクションは、「誰が」「何を」「いつ」「どこで」の詳細とともに記録されます。これにより、チームは異常な挙動を調査し、インシデントに対応し、規制への準拠をより容易に行えます。

• 疑わしいログオンと NTLM アクティビティを検出：Auditor は、成功したログオンと失敗したログオンをすべて追跡します（NTLM 認証を含む）。ログオン時刻、ホスト、アカウントの使用状況を示す詳細な監査証跡を提供するため、なりすまし（ID 盗難）や侵害されたアカウントを示唆する可能性のある異常なログオンをチームが特定するのに役立ちます。
• 特権アカウントの使用を監視：この製品は、特権アカウント（Domain Admins やサービスアカウントなど）が想定されたシステムや稼働時間外で使用されたときに、そのタイミングを記録し、チームに警告するアラートを通知します。
• 機密性の高いアカウントおよびグループの変更を監査します。攻撃者は PtH を使用した後、侵害されたアカウントを管理者グループに追加することがよくあります。Auditor は、重要な Active Directory グループが変更されたときにアラートを提供します。
• フォレンジックの監査ログを提供します。誰が何に、いつアクセスしたかの詳細なログにより、調査担当者は盗み出されたハッシュがどのように使われたかを追跡できます。

検出、緩和、および対応の戦略

pass-the-hash 攻撃は静かに進行することがあります。そのため、早期の検出と迅速な対応が極めて重要です。防御の戦術は、可視性、厳格な認証情報管理、そして秩序ある対応を組み合わせることで、この種の攻撃による被害を抑えるべきです。

検知

早期検知は、微妙な認証異常と認証情報の不正使用パターンを見つけることにかかっています。

Windows イベント ID を監視する

セキュリティチームは、異常なログオン、失敗した試行、特権の使用を捉えるために、Windows イベント ID 4624、4625、4648、4672、および 4688 を監視する必要があります。

• 4624: ユーザーまたはサービスが正常にログオンしたときにトリガーされます。NTLM のネットワーク ログオンのような、異常または予期しないログオンの検出に役立ちます。
• 4625: ログオン試行が失敗したときに記録されます。
• 4648: ユーザーまたはプロセスが、明示的な資格情報（例：runas、マップされたドライブ、リモート接続）を使ってログオンしようとしたときに発生します。PtH や横方向への移動の試みによく見られます。
• 4672: ログオン セッションが昇格された特権を受け取ったことを示します。
• 4688: プロセスが開始されたときに記録されます。Mimikatz、PsExec、PowerShell ペイロードなどの疑わしいツールやスクリプトを検出するために不可欠です。

LSASS.exe への不審なアクセス試行

攻撃者は、メモリから認証情報（credential material）をダンプするために LSASS プロセスを狙います。Sysmon のイベント ID 10 は、たとえば Mimikatz や Cobalt Strike のような認証情報窃取ツールがプロセスメモリを読み取ろうとする場合など、LSASS への直接アクセス試行を記録します。このようなアクセスは通常の運用ではまれなので、繰り返し発生する、または不自然な LSASS へのアクセス試行はアラートとして扱うべきです。

リモート NTLM 認証の急増

不自然な NTLM 認証の急増に注目してください。NTLM のログオンでタイプ 3（ネットワーク）またはタイプ 10（リモート インタラクティブ）は、SMB、RPC、RDP 経由で行われる認証を示します。これらのイベントが単一のアカウントやホストから突然増加する場合、横方向への移動（lateral movement）のためにハッシュを再利用していることを示唆する可能性があります。

不審なエンドポイントからの NTLM アクティビティまたは認証

これまで見たことのないマシンからの NTLM ログオンや認証の増加は、攻撃者がシステム間でハッシュをリプレイ（再送・再利用）している可能性を示唆します。

ワークステーション間の SMB または RPC アクティビティ

通常の業務フローでは、従業員のワークステーションが別のワークステーションに対して SMB と RPC セッションを開始することはほとんどありません。そのため、異常なイーストウエスト（east-west）トラフィック（例：2 台のユーザー用ラップトップ間）に注意してください。これは横方向への移動（lateral movement）を示す可能性があります。

ログ監視を EDR、XDR、Identity threat detection & response (ITDR) ソリューションで補完する

エンドポイント検知・対応（Endpoint detection and response（EDR））、拡張検知・対応（extended detection and response（XDR））、および Identity threat detection & response（ITDR）ソリューションは、アイデンティティに基づく脅威をリアルタイムに特定できます。これらのツールは、複数のホストにわたるシステムとアイデンティティの挙動を分析します。通常のログオンパターンをベースライン化し、アカウントが新しいマシンからログインしたり、NTLM のような古い認証方式を使用したり、PtH の戦術に一致する横方向への移動（lateral movement）を示したりした場合にアラートを通知します。

ハニーポットアカウントとトークンを展開する

ハニーポットアカウント（honeytokens とも呼ばれる）は、攻撃者が通常プローブするシステム内またはメモリ上の場所に配置された、偽のユーザーアカウントまたは認証情報です。これらのアカウントにアクセスされたり、認証に使用されたりすると、防御側は誰かが認証情報を収集またはリプレイしていることを直ちに把握できます。

緩和

Pass-the-hash の緩和には、認証情報の強化、権限の引き締め、信頼境界の分離（セグメンテーション）が必要です。

認証情報の保護

強力な認証情報の保護は、PtH（Pass-the-hash）攻撃の緩和の要です。攻撃者は保存またはキャッシュされた認証データに依存しているため、それらを分離して確実に保護することで成功を制限できます。

• NTLM を無効化するか、NTLMv2 のみを適用してください： NTLM は、悪用されることが多い認証プロトコルです。完全に無効化すると、システムはより強力な Kerberos 認証を使用せざるを得なくなります。レガシー依存のために無効化が現実的でない場合は、暗号学的に強度が高く、リプレイ攻撃への露出を抑えるのに役立つため、NTLMv2 を適用してください。
• Credential Guard と LSA Protection を有効化してください： Windows Defender Credential Guard は、仮想化ベースのセキュリティを使用して、NTLM ハッシュや Kerberos チケットのようなシークレットをオペレーティング システムの残りの部分から隔離します。これにより、メモリ ダンプによる窃取を防ぐのに役立ちます。同様に、LSA Protection（RunAsPPL）は、信頼され署名されたプロセスのみが LSASS プロセスにアクセスできるようにし、Mimikatz のようなツールによる資格情報の抽出をブロックします。
• 平文パスワードのキャッシュを止めるために WDigest を無効化してください： 古い Windows システムや一部の構成では、WDigest 認証パッケージを介して平文のパスワードがメモリに保存されます。WDigest を無効化して、これらの平文パスワードがキャッシュされないようにします。これにより、攻撃者が LSASS のメモリをダンプした場合でも、取得できるのは暗号化済みまたはハッシュ化された資格情報のみになります。

ネットワークおよびプロトコルの制御

ネットワーク レベルの防御により、攻撃者が盗んだハッシュを使ってシステム間で横方向に移動することを防止できます。トラフィックをセグメント化し、暗号化し、検証することで、正当な通信のみが行われるようにします。

• ワークステーション間の SMB/RPC トラフィックをブロック：攻撃者は、ユーザーのワークステーション間にある SMB または RPC 接続を介してハッシュを再利用することで、横方向に拡散します。これらの接続は通常の業務運用では使用されません。初期の侵害後、攻撃者がネットワーク内をピボットして移動する能力を制限するために、ワークステーション間の直接通信をブロックしてください。
• SMB の署名／暗号化を必須にする：SMB の署名は SMB パケットの完全性を検証し、改ざんを防止します。SMB 暗号化は、認証情報や機密データが転送中にさらされないようにします。これらの機能を適用して、攻撃者が認証トラフィックを傍受したりリプレイしたりできないようにしてください。
• RDP で Remote Credential Guard を有効化：Remote Credential Guard は、RDP セッション中に資格情報（credentials）がリモート システムへ送信されるのを防ぎます。代わりに認証はクライアント側で処理されるため、リモート マシンからハッシュや Kerberos チケットが収集されるリスクが低減します。

運用上の衛生管理

適切なセキュリティの衛生管理により、資格情報（credentials）、システム、設定が悪用（exploitation）に対して強靭になります。

• サービス アカウントのパスワードをローテーションするか、gMSA に置き換えます： 固定または共有されたサービス アカウントの資格情報は、攻撃の主要な標的になりがちです。Group Managed Service Accounts はパスワードのローテーションを自動化し、頻繁なローテーションによって盗まれたハッシュは攻撃者にとってすぐに無用になります。
• 悪用可能な脆弱性を取り除くために、システムを定期的にパッチ適用します： PtH を含む多くの資格情報の窃取攻撃は、SYSTEM またはローカル管理者へのアクセスを与える権限昇格のエクスプロイトから始まります。システムをパッチ適用したまま維持し、攻撃者が既知の脆弱性を使って LSASS に到達したり、資格情報データをダンプしたりできないようにしてください。
• 定期的にペンテストとレッドチーミングを実施します： 定期的な侵入テストやレッドチーム演習では、PtH の技術を含む現実の攻撃チェーンをシミュレーションします。これらの評価により、弱い設定、検知における死角、横方向への移動に対する防御のギャップを特定できます。
• フィッシングと資格情報の盗難に関する認識をスタッフに教育します： 多くの PtH キャンペーンは、悪意のあるメールの添付ファイルまたはリンクによって最初の足場を与えるソーシャル エンジニアリングから始まります。定期的なトレーニングにより、従業員はフィッシングの試みを見分けられるようになり、資格情報を決して再利用してはいけない理由を理解し、不審なメールを早期に報告できるようになります。

対応

PtH（pass-the-hash）攻撃の活動を示す兆候が現れたら、迅速な封じ込めとフォレンジック調査が、被害を最小限に抑えるための重要な要素です。

即時の対応

pass-the-hash（PtH）攻撃が検出されたら、速やかに封じ込めます。目的は、被害を最小限に抑え、攻撃者の行動（移動）を止め、調査のための証拠を保全することです。

• 侵害されたアカウントをリセットして、盗まれたハッシュを無効化します：PtH 攻撃は再利用されたパスワードのハッシュに依存しているため、影響を受けたアカウントを直ちにリセットして、それらの認証情報を無効にする必要があります。
• フォレンジック調査のため、影響を受けたエンドポイントを隔離します：侵害されたシステムをネットワークから切り離し、攻撃者がそれらを横方向（lateral movement）の移動のための踏み台（ピボット）として使用できないようにします。隔離したデバイスを分析し、認証情報がどのように盗まれたのか、さらに他のシステムにリスクがあるのかを判断してください。
• 感染したシステムをセグメント化して、横方向への移動を封じ込めます。: ネットワークのセグメンテーションにより、攻撃者が環境内で横方向に移動する能力を阻止できます。感染したシステムは制限されたネットワークゾーンに配置し、管理用の共有を制限し、不必要なリモートプロトコル（SMB/RDP）を無効化して侵害を封じ込めてください。

フォレンジック調査

封じ込め後のフォレンジック分析により、チームは侵害の範囲を把握しやすくなります。

• LSASSダンプ、SAM、NTDS.ditを分析して侵害の兆候（IOC）を確認します。: LSASSメモリダンプ、Security Account Manager（SAM）データベース、NTDS.ditのActive Directoryデータベースを確認し、資格情報が抽出されたかどうか、また影響を受けているアカウントがどれかを明らかにします。
• 認証ログを確認して、攻撃者の動きを把握します。: イベントログには、ログオンと権限昇格（privilege escalation）の時系列が記録されます。これらのイベントを相関させることで、分析者は攻撃者がどのように複数のシステムで認証を行ったのかを再構築し、横方向への移動経路を特定し、最初の侵入ポイントを突き止めることができます。
• 永続化（パーシステンス）のメカニズムを特定する（新規ユーザー、スケジュールされたタスク、GPO の変更）： 攻撃者は、パスワードのリセット後やシステムの再構築後に再びアクセスできるようにバックドアを作成します。復旧の前に、未許可のユーザーアカウント、悪意のあるスケジュールタスク、スタートアップ項目、および変更された Group Policy Objects を確認し、永続化の手段が確実に削除されていることを確認してください。

復旧と強化

調査が完了したら、業務を復旧し、再発を防ぐために防御を強化することに重点が移ります。

• 侵害されたホストはゴールデンイメージで再構築する：攻撃の一部となったシステムは消去して、信頼できるゴールデンイメージを使って再構築する必要があります。これにより、攻撃者が残した隠れたマルウェア、ルートキット、レジストリの改変を完全に取り除けます。
• オフライン/不可変（immutable）バックアップから復元する：ネットワークから切断されたバックアップ、または不可変ストレージ（immutable storage）に保存されたバックアップは、クリーンな復旧に不可欠です。検証済みで改ざんされていないバックアップから復元し、侵害されたデータや設定を再び持ち込むことなく、システムを迅速にオンラインに戻してください。
• 高価値の認証情報（Domain Admin、サービスアカウント、KRBTGT）をローテーションします： 高い権限を持つ認証情報は、PtH キャンペーンにおける最優先の標的です。盗まれたパスワードやトークンを無効化するために、Kerberos チケットを発行する KRBTGT アカウントを含め、これらのパスワードをローテーションしてください。
• より強力なアイデンティティ防御を導入します（PAM、MFA、EDR/ITDR）： 管理者セッションを制御するための PAM、単一要素の誤用を防ぐための MFA、異常な認証挙動や認証情報の不正使用（credential misuse attempts）を検知するための EDR/ITDR ソリューションを導入してください。

業界別の影響

パス・ザ・ハッシュ（Pass-the-hash）攻撃はほぼすべての業界に影響しますが、その結果は、関係するデータの種類、システム、規制によって異なります。ここでは、さまざまな業界がどのように影響を受けるのかを説明します。

攻撃の進化と今後の動向

パス・ザ・ハッシュ（pass-the-hash）攻撃を仕掛けるには、かつては高度な技術スキルが必要でした。しかし現在では、すぐに利用できる自動化ツールキットによって、攻撃者がこの手法をより大規模な攻撃チェーンの一部として活用できるようになっています。

重要な統計データとインフォグラフィック

このセクションでは、パス・ザ・ハッシュ（pass-the-hash）攻撃が現実の場面でどのような影響を与え、どの程度広く成立しているのかを示す、いくつかの統計データと指標を取り上げます。世界規模の調査結果から侵害（ブリーチ）の調査まで、資格情報（クレデンシャル）の窃取と再利用がサイバーインシデントの中心的な役割を果たしています。

• 2026 Verizon Data Breach Investigations Report (DBIR) によると、盗まれた資格情報が関与した侵害は36%でした。一方で、すべての侵害の62%には、ソーシャルエンジニアリング、特権の悪用、資格情報の窃取といった人的要素が含まれていました。これらの結果は、資格情報の侵害がサイバー攻撃において継続的かつ重大な要因であり続けていることを示しています。
• Sophosの「The State of Ransomware 2025」レポートによると、侵害された認証情報がランサムウェア攻撃の23%における根本原因でした。Sophos's The State of Ransomware 2025 report pass-the-hash を含む認証情報ベースの攻撃手法は、このベクターに寄与する方法の一つです。さらに、他の認証情報ベースの攻撃ベクターと組み合わさることで、盗まれた、または悪用された認証情報は、ランサムウェアの展開を可能にする最も重要な要因の一つとして残り続けます。
• 「Sophos Active Adversary Report 2025」によると、2024年に調査されたインシデント対応ケースの41%で、侵害された認証情報が最も主要な根本原因でした。Microsoftをはじめとする各種セキュリティベンダーは、PtH攻撃の重要なステップであるLSASSの認証情報ダンピングが、攻撃者が企業環境内で横方向に移動するために必要な認証情報を入手する、最も一般的な手段の一つであり続けていると引き続き警告しています。

初期アクセス・ベクターの内訳（2025年）

以下のデータは Mandiant's M-Trends 2026 report から引用したもので、2025年に特定された初期アクセス・ベクターのうち、盗まれた認証情報が9%を占めていることが分かります。これは、攻撃者が侵入後に横方向へ移動し、権限を引き上げるために利用する「侵入口」として、その役割が継続していることを裏付けています。

Mandiantの2025年データより：

• 脆弱性の悪用：32%
• ボイスフィッシング：11%
• 事前の侵害：10%
• 盗難された認証情報：9%
• その他の手法：38%

最後に

パス・ザ・ハッシュ（Pass-the-hash）攻撃は何十年も前から存在しており、Windows の認証がどのように動作するかについての根本的な仕組みを悪用するため、いまでも機能します。これをただパッチで潰したり、「自分には起きないはずだ」と期待したりするだけでは不十分です。PtH に対する防御策はよく理解されており、効果もあります。特権アクセスのワークステーション、資格情報のティアリング（credential tiering）、横方向の移動（lateral movement）を監視することは、実際の運用で成果が出る対策です。

キャッシュされた資格情報（cached credentials）は、実在し、かつアクセス可能な標的です。そこに至る経路を厳格にロックダウンしてください。ギャップ（弱点）がどこにあるのかを把握するのを、インシデント対応（incident response）の段階まで待たないでください。