mcpField
E
exploiting-active-directory-with-bloodhound

exploiting-active-directory-with-bloodhound

github.com/mukul975セキュリティ35.2k108 回インストール8 週間前に更新
リポジトリ

exploiting-active-directory-with-bloodhound について

SharpHound によるデータ収集と BloodHound のグラフ分析を用いて、Active Directory の調査と攻撃経路分析を行う、許可を得たセキュリティテスター向けのスキルです。侵害済みアカウントから高権限の対象への経路を調べ、ACL、グループ所属、委任設定に関わる経路を記録できます。

主な機能

  1. 01SharpHound による AD データ収集
  2. 02高権限対象への経路の可視化
  3. 03ACL とグループ設定の不備検出
  4. 04Kerberos 委任設定の分析
  5. 05権限昇格経路の計画と記録

活用シーン

  1. 01許可された侵入テストでの経路調査
  2. 02侵害済みアカウントから Domain Admin への経路特定
  3. 03ACL とグループポリシーのリスク確認
  4. 04Active Directory の権限経路の記録

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill exploiting-active-directory-with-bloodhound

インストール後、Claude Code で/exploiting-active-directory-with-bloodhoundを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
assets/
template.md
references/
api-reference.md
standards.md
workflows.md
scripts/
agent.py
process.py

詳細

BloodHound による Active Directory の悪用

法的通知： このスキルは、許可を得たセキュリティテストおよび教育目的に限り使用してください。所有していないシステムや、テストの書面による許可を得ていないシステムに対する無許可の使用は違法であり、コンピューター詐欺に関する法律に違反する可能性があります。

概要

BloodHound はグラフベースの Active Directory 偵察ツールです。グラフ理論を用いて、AD 環境内に潜む意図しない関係を明らかにします。レッドチームは BloodHound を使い、侵害されたアカウントから Domain Admins などの重要な標的に至る攻撃経路を特定し、手作業ではほぼ見つけられない権限昇格の連鎖を把握します。SharpHound は、AD オブジェクト、関係、ACL、セッション、グループメンバーシップを収集する公式のデータ収集ツールです。

使用する場面

  • BloodHound を使って Active Directory の悪用を伴う、許可を得たセキュリティテストを実施する場合
  • 管理された環境でマルウェアのサンプルや攻撃の痕跡を分析する場合
  • レッドチーム演習やペネトレーションテストを実施する場合
  • 攻撃手法の理解に基づいて検知機能を構築する場合

前提条件

  • レッドチームの概念とツールに関する知識
  • 安全に実行できるテスト環境またはラボ環境へのアクセス
  • 必要な依存関係をインストールした Python 3.8+
  • あらゆるテスト活動に対する適切な許可

目標

  • SharpHound または BloodHound.py を使用して Active Directory の関係データを収集する
  • 侵害されたアカウントから Domain Admin への攻撃経路を可視化する
  • 設定ミスのある ACL、グループメンバーシップ、委任設定を特定する
  • 重要な標的への最短攻撃経路を見つける
  • 悪用可能な Kerberos 委任設定をマッピングする
  • 特定したすべての権限昇格の連鎖を記録する

MITRE ATT&CK マッピング

  • T1087.002 - アカウント探索：ドメインアカウント
  • T1069.002 - 権限グループ探索：ドメイングループ
  • T1482 - ドメイン信頼関係の探索
  • T1615 - グループポリシーの探索
  • T1018 - リモートシステムの探索
  • T1033 - システム所有者／ユーザーの探索
  • T1016 - システムネットワーク設定の探索

ワークフロー

フェーズ 1：SharpHound によるデータ収集
  1. SharpHound のコレクターを侵害されたホストに転送する
  2. 適切な収集方法（All、DCOnly、Session、LoggedOn）で実行する
  3. 複数のドメインがある環境では、到達可能なすべてのドメインから収集する
  4. ZIP データファイルを分析用ワークステーションに持ち出す
  5. データを BloodHound CE または Legacy にインポートする
フェーズ 2：攻撃経路の分析
  1. 所有しているプリンシパル（侵害されたアカウント）を設定する
  2. Domain Admins への最短経路を検索する
  3. 管理者権限を持つ Kerberoast 対象アカウントを特定する
  4. AS-REP Roast 対象アカウントを探す
  5. ACL ベースの攻撃経路（GenericAll、GenericWrite、WriteDACL、ForceChangePassword）を分析する
  6. GPO の悪用機会を確認する
フェーズ 3：悪用計画の策定
  1. 複雑さと隠密性に基づいて攻撃経路の優先順位を決める
  2. 連鎖の各ステップで必要なツールを特定する
  3. 各手法の OPSEC 上の考慮事項を計画する
  4. 特定した攻撃の連鎖を実行する
  5. 各ステップで証拠を記録する

ツールとリソース

ツール用途プラットフォーム
BloodHound CEグラフの可視化と分析Web ベース
SharpHoundAD データ収集（.NET）Windows
BloodHound.pyAD データ収集（Python）Linux/Windows
Cypher queriesカスタムグラフクエリNeo4j/BloodHound
PlumHoundBloodHound レポートの自動生成Python
Max (BloodHound)BloodHound の自動化Python

BloodHound の主なクエリ

クエリ目的
ドメイン管理者への最短経路ドメイン管理者への最速ルートを見つけます
ドメイン管理者への経路がある Kerberoast 対象ユーザーを検索ドメイン管理者につながる SPN アカウントを特定します
AS-REP Roasting 対象ユーザーを検索事前認証が無効なアカウントを特定します
所有しているプリンシパルからの最短経路侵害されたアカウントからの経路を特定します
サポート対象外の OS を使用しているコンピューターを検索悪用可能なレガシーシステムを特定します
DCSync 権限を持つユーザーを検索AD を複製できるアカウントを特定します
ローカルグループメンバーシップを変更する GPO を検索GPO ベースの権限昇格を特定します

検証基準

  • すべてのドメインから SharpHound のデータを収集済み
  • 所有しているアカウントからドメイン管理者に至る攻撃経路を特定済み
  • ACL ベースの攻撃経路を文書化済み
  • Kerberoast および AS-REP Roasting の対象アカウントを特定済み
  • 優先順位を付けた経路を含む悪用計画を作成済み
  • レポート用の証拠スクリーンショットを撮影済み

コメント

Markdown 対応