Mimikatz で Pass-the-Hash 攻撃を実行する

Mimikatz は、メモリからパスワードやハッシュを抽出し、pass-the-hash 攻撃 を実行し、Golden Tickets によってドメインの永続化を作成するための標準的なツールになっています。

Mimikatz が pass-the-hash およびその他の認証ベースの攻撃をいかに簡単に実行できるようにしているのか、そしてこれらの攻撃から身を守るために何ができるのかを見ていきましょう。

Mimikatz を使ったパス・ザ・ハッシュ（Pass the Hash）の仕組み

パス・ザ・ハッシュ（pass-the-hash）攻撃を実行するために必要なのは、Active Directory ユーザーアカウントの NTLM ハッシュだけです。このハッシュは、ローカルのシステムメモリから抽出するか、Ntds.dit ファイル（Active Directory ドメイン コントローラーから）から取得できます。

Ntds.dit ファイルから取得したハッシュを手に入れれば、Mimikatz によりドメイン内の Administrator アカウントの代わりに操作を実行できるようになります。まず、ドメイン内で特別な権限を持たないユーザー Adam として、自分のコンピューターにログインします。

Adam として、リモートの PowerShell 実行を可能にするツールである PSExec を自分のドメイン コントローラーに対して実行しようとすると、「アクセスが拒否されました」というメッセージが表示されます。:

しかし、Mimikatz でコマンドを発行すれば、アカウントを Domain Administrator アカウントに昇格し、この昇格したトークンで指定した任意のプロセスを起動できます。この場合は、新しいコマンドプロンプトを起動します：

このコマンドプロンプトから、Windows はまだ私が Adam だと思っている一方で、私は Domain Administrator の Jeff としてアクティビティを実行できます。ここでは、pass-the-hash の手法を使って PSExec セッションを起動し、ドメインコントローラーの NTDS ディレクトリの内容を列挙できるようになったことが分かります：

Ntds.dit ファイルが復号されると、すべてのユーザーのパスワードハッシュが私の管理下に入るため、どのユーザーの代わりでも同じように簡単に操作できます。これは、無制限のアクセスを得るだけでなく、自分の足跡を隠し、私がなりすましているユーザーそのもののように紛れ込むための、恐ろしい方法です。

Pass the Hash への対策 Pass the hash は完全に防ぐのが難しいものの、Windows には実行をより困難にするいくつかの機能が導入されています。最も効果的なアプローチは、ログオン制限を実装して、特権アカウントのハッシュが抽出され得る場所に決して保存されないようにすることです。Microsoft は 階層化された管理モデルに従うためのベストプラクティス を Active Directory 向けに提供しており、そのような手法を用いた特権アカウントの侵害を大幅に難しくします。pass the hash から守るその他の方法には、LSA Protection の有効化、Protected Users セキュリティ グループの活用、リモート デスクトップで Restricted Admin モードを使用することなどがあります。

適切な事前セキュリティを確立することに加えて、進行中の攻撃を示す可能性のある異常について認証およびログオンのアクティビティを監視することが不可欠です。こうした攻撃は、アカウントが通常とは異なる方法で使用されるといったパターンに従うことがよくあります。この活動が起きたときにアラートを受け取ることができれば、手遅れになる前に攻撃を検知して対応することが可能になります。

Netwrix のソリューションがどのように役立つか

Netwrix Threat Manager は、pass-the-hash（パス・ザ・ハッシュ）攻撃を検出するための効果的なツールです。ここでは、本ソリューションがサポートする2つのアプローチを紹介します：

Honey tokens — 対象マシンの LSASS メモリに偽の認証情報（credentials）を注入し、その認証情報の使用を監視できます。認証情報が使われているのを確認したら、それがハニーポットマシンの1台のメモリから取得され、横方向の移動（lateral movement）に使用されたことが分かります。

異常行動の検出 — 通常のユーザー行動をベースライン化することで、pass-the-hash やその他の横方向の移動（lateral movement）攻撃を示唆する、アカウントの異常な使用を見つけやすくなります。注目すべき行動には以下が含まれます：

• これまで認証（authenticated）したことのないホストからアカウントが使用されている
• これまで一度もアクセスしたことのないホストに、アカウントが使われてアクセスされている
• 通常のアクセスパターンと矛盾する方法で、ネットワーク上の多数のホストにアカウントがアクセスしている

そもそも pass-the-hash 攻撃が実行されるリスクを軽減するには、Netwrix Access Analyzer を使用してください。これにより、次のことが可能になります:

• サーバーやデスクトップでの管理者権限を最小限にする
• ユーザーが管理者権限を使ってワークステーションにログインすることを防止する
• 資格情報の抽出や pass the hash に悪用できる疑わしい PowerShell コマンドを監視する
• 高度に特権を持つアカウントが、権限の低いシステムにログインできないように制限する
• 重要なシステムで LSA Protection を有効化し、LSASS から資格情報を抽出しにくくする