detecting-pass-the-hash-attacks

Pass The Hash 攻撃の検出

使用するタイミング

• 環境内で Pass the Hash 攻撃の兆候を積極的に探すとき
• 脅威インテリジェンスにより、これらの手法を使った攻撃キャンペーンが進行中であると判明した後
• これらの手法に関連する侵害の範囲を特定するインシデント対応中
• 関連する兆候を検知して EDR または SIEM アラートが発生したとき
• 定期的なセキュリティ評価やパープルチーム演習中

前提条件

• プロセスおよびネットワークのテレメトリを備えた EDR プラットフォーム（CrowdStrike、MDE、SentinelOne）
• 関連するログデータを取り込んだ SIEM（Splunk、Elastic、Sentinel）
• 包括的な設定で導入された Sysmon
• Windows Security Event Log の転送が有効になっていること
• IOC 相関用の脅威インテリジェンスフィード

ワークフロー

1. 仮説を立てる：脅威インテリジェンスまたは ATT&CK のギャップ分析に基づいて、検証可能な仮説を定義します。
2. データソースを特定する：仮説を検証または否定するために必要なログとテレメトリを特定します。
3. クエリを実行する：SIEM および EDR プラットフォームに対して検出クエリを実行し、関連イベントを収集します。
4. 結果を分析する：クエリ結果を調べ、複数のデータソースを相関させながら異常を確認します。
5. 調査結果を検証する：コンテキスト分析を通じて真陽性と偽陽性を区別します。
6. アクティビティを相関させる：調査結果を、より広範な攻撃チェーンや脅威アクターの TTP と関連付けます。
7. 記録して報告する：調査結果を記録し、検出ルールを更新して、対応策を推奨します。

主な概念

概念	説明
T1550.002	Pass the Hash
T1550.003	Pass the Ticket
T1078	有効なアカウント

ツールとシステム

ツール	用途
CrowdStrike Falcon	EDR テレメトリと脅威検出
Microsoft Defender for Endpoint	KQL による高度なハンティング
Splunk Enterprise	SPL クエリによる SIEM ログ分析
Elastic Security	検出ルールと調査タイムライン
Sysmon	詳細な Windows イベント監視
Velociraptor	エンドポイントアーティファクトの収集とハンティング
Sigma Rules	クロスプラットフォーム対応の検出ルール形式

よくあるシナリオ

1. シナリオ 1：窃取した NTLM ハッシュを使った Mimikatz sekurlsa::pth
2. シナリオ 2：ハッシュを使った Impacket psexec.py によるリモート実行
3. シナリオ 3：ホスト間での CrackMapExec によるハッシュスプレー
4. シナリオ 4：Pass-the-Hash を介した WMI ラテラルムーブメント

出力形式

Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1550.002
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]