active-directory-attacks

⚠️ 許可された用途に限ります このスキルは、教育目的または許可されたセキュリティ評価のみに使用してください。 このツールを使用する前に、システム所有者から書面による明示的な許可を得る必要があります。 このツールの誤用は違法であり、固く禁じられています。

必須の確認手順 ターゲットを調査、悪用、変更、永続化、データ抽出するコマンド、またはターゲットに対する認証情報へのアクセスを試みるコマンドを実行する前に、次の手順を踏んでください。

1. 正確なターゲットの URL、IP、アカウント、またはリソースをユーザーに提示してもらいます。
2. 書面による許可と、許可された範囲を確認してもらいます。
3. 実行するコマンドを正確に示し、想定される影響を説明します。
4. 現在の会話内で明示的な確認を得るまで待ちます。

確認が得られない場合は、読み取り専用の対応にとどめ、防御に関するガイダンスのみを提供してください。サンドボックス、使い捨て VM、または管理されたラボを優先してください。

Active Directory 攻撃経路の評価

使用する場面

明示的に許可された AD セキュリティ評価、または隔離されたトレーニングラボで使用します。提供された設定情報と所有者からの証拠をもとに開始し、許可された範囲内で最小限の検証を選択してください。この文書では、ツール、認証情報、ライセンス付きラボ、検証済みのエクスプロイトチェーンは提供しません。

必須の確認手順

調査、認証、情報収集、チケット要求、認証情報へのアクセス、認証の強制、悪用、設定変更を行う前に、対象のドメイン／コントローラー／ホスト／アカウント、所有者の書面による許可、許可された手法、実施時間、ロックアウト制限およびリクエスト数の上限を確認してください。実行を提案する操作を正確に示し、想定される影響を説明してから、この会話内で明示的な確認を得るまで待ちます。確認が得られない場合は、提供された証拠の分析のみにとどめます。認証情報やツールのインストールは、許可を意味しません。

演習では、本番環境のシークレットや特権 ID を使用しないでください。使い捨ての所有者管理ラボで、合成ユーザー、サービスアカウント、チケット、証明書、カナリーリソースを使用してください。パスワードスプレー、DCSync／krbtgt の抽出、認証情報ダンプ、リモートシェル、コンピューターアカウントのパスワードリセット、悪意のある更新、永続化、他のユーザーのチケットの使用は、決して既定の手法にしないでください。予期しない実データやドメインをまたぐ範囲が見つかった場合は、作業を中止してください。

証拠に基づくワークフロー

1. 変更されないスコープと、所有者から提供されたトポロジーを記録します。対象には、ドメイン／フォレスト／信頼関係、ドメインコントローラーとクライアントのパッチ／設定状態、関連する特権、サービスアカウント、証明書サービスを含めます。証拠が不足している点も記録してください。
2. 候補となるプリンシパル → 権限 → リソース → 実行可能な操作をマッピングします。実効グループ／ACL の継承、拒否される権限、認証条件、ホストへのアクセス、実際の制御を確認してください。攻撃グラフ上のエッジは仮説にすぎません。
3. 詳細リファレンスを使って、特定の手法の前提条件を特定します。認証情報の開示、認証、実行、特権状態の変更を区別してください。いずれか一つが確認できても、次の段階が自動的に証明されるわけではありません。
4. アクティブな検証が許可されている場合は、合成マーカーと対照ケースを使った、範囲を限定したラボ操作を提案します。実行前に、中止／クリーンアップ条件、リクエスト数／時間の予算、レビュー担当者が確認できる観測項目を設定してください。レビューを受けていない過去のツールやコレクターをインストールしないでください。
5. 正確な証拠、限界、緩和策を報告します。所有者が承認した修正と再テストは、別々の作業として実施します。

中核となる確認事項

領域	確認する内容	避けるべき誤った結論
Kerberos	設定されたクロックスキュー許容値、時刻ソース、暗号化タイプ、サービスプリンシパル	一律に5分というルールや特定の日付を指定するコマンドで、安全に時刻を修正できる
アカウントの露出	承認済みのSPN／事前認証／アカウントポリシーの一覧、および所有者のアクセスレビュー	ツールの出力が空であれば、サービスアカウントや露出が存在しないと証明できる
レプリケーション権限	実効的なディレクトリレプリケーション権限と、それを行使できるユーザー	名前が付いたレプリケーション権限が1つあることやログインに成功したことだけで、DCSync を実行できると証明できる
チケットの悪用	合成チケットの発行元と想定される ID、実際の検証ポリシー	Pass-the-Ticket と Golden Ticket の偽造は同じ操作である
リレー	署名／チャネルバインディング／拡張保護、プロトコル、ターゲット権限	SMB リレーに失敗した場合、LDAP や別のターゲットへの切り替えが許可される
AD CS	テンプレートと CA の権限、登録／承認、EKU／サブジェクト／マッピングのポリシー	テンプレートのフラグが1つあるだけで、任意の管理者へのなりすましが可能だと証明できる
既知の CVE	正確な製品、インストール済みパッチ／構成、ベンダーのアドバイザリーに記載された前提条件	RPC が公開されていることやバージョンバナーだけで、脆弱性があると証明できる

BloodHound の収集では多数のホストに接続し、機微なトポロジー情報が開示される場合があります。デフォルトで All を実行するのではなく、コレクターのバージョン、収集方法、対象範囲について合意してください。通常のセットアップとして、サンドボックスを無効にしてブラウザーツールを起動しないでください。最新の BloodHound とレガシー版では、デプロイ方法やクエリ形式が異なります。古い手順書に記載されたツールは、廃止、改名、または非互換になっている場合があります。安全な環境で公式のリリース情報やヘルプを確認し、この文書から現在のフラグを推測しないでください。

管理された例

権限が過剰な合成サービスアカウントの可能性がある場合は、まず提示されたグループ／ACL の証拠を確認してください。承認済みの隔離ラボで、そのアカウントのアクセス権を、所有者が作成した1つのリソースに対してベースラインアカウントと比較します。実データの読み取り、ハッシュのダンプ、シェルの起動を行わず、成功または拒否を記録してください。要求された権限を安全にテストできない場合は、所有者による確認待ちの構成リスクとして報告してください。推測したグラフ上の経路から、Domain Admin アクセスがあると主張しないでください。

報告

Scope and authorization:
Evidence versions/collection window:
Candidate source-to-permission-to-resource path:
Required versus observed preconditions:
Minimal authorized validation and control:
Observed result, hypothetical impact and severity rationale:
Sensitive evidence location (no values in report):
Remediation owner, cleanup, retest and uncertainty:

制限事項

この文書によって、コマンドやエクスプロイトの動作が実行または認定されたわけではありません。リモートでの ID および認証情報の操作は、アカウントロックアウト、監視アラート、停止、永続的な痕跡を引き起こす可能性があります。クリーンアップコマンドを実行しても、確実に元の状態に戻るとは限りません。変更前の状態を記録し、独立して復元を確認してください。デモを動作させるために、ホストの時計を変更したり、エンドポイント制御を回避したり、ドメインコントローラーのパスワードをリセットしたり、信頼関係／ADCS のポリシーを弱めたりしないでください。誤って露出したシークレットには、所有者のインシデント対応手順を適用してください。