hunting-for-ntlm-relay-attacks

NTLM リレー攻撃のハンティング

概要

NTLM リレー攻撃は、NTLM 認証メッセージを傍受して転送し、ネットワークリソースへの不正アクセスを得る攻撃です。攻撃者は、LLMNR/NBT-NS ポイズニングのための Responder や、資格情報リレーのための ntlmrelayx などのツールを使用します。このスキルは、Windows セキュリティイベント 4624（ログオン成功）を照会し、NTLMSSP 認証を伴うタイプ 3 のネットワークログオンを検出します。さらに、WorkstationName と送信元 IpAddress の不一致を特定し、単一アカウントによる数秒以内の複数ホストへの高速な認証を検出し、ドメイン内ホストの SMB 署名構成を監査します。

使用するタイミング

• NTLM リレー攻撃のハンティングが必要なセキュリティインシデントを調査する場合
• この分野の検知ルールや脅威ハンティングクエリを作成する場合
• SOC アナリストがこの種の分析に対する体系的な手順を必要とする場合
• 関連する攻撃手法に対するセキュリティ監視のカバレッジを検証する場合

前提条件

• Windows イベントログへのアクセス、またはエクスポートされたログを備えた Python 3.9 以降
• Windows セキュリティ監査ログが有効であること（イベント ID 4624、4625、5145）
• SMB 署名状態を確認するためのネットワークアクセス

主な検知領域

1. IP とホスト名の不一致 — イベント 4624 の WorkstationName が送信元 IpAddress に解決されない
2. NTLMSSP 認証 — ドメイン参加済みホストからの、Kerberos ではなく NTLM を使用したログオンイベント
3. マシンアカウントのリレー — 想定外の IP から認証を行うコンピューターアカウント（末尾が $）
4. 高速な認証 — 単一アカウントが数秒以内に複数ホストへ認証する
5. 名前付きパイプへのアクセス — Spoolss、lsarpc、netlogon、samr パイプへのアクセスを示すイベント 5145
6. SMB 署名の無効化 — SMB 署名を強制していないため、リレー攻撃を可能にするホスト

出力

疑わしいリレーイベント、IP とホスト名の相関の異常、SMB 署名の監査結果、および T1557.001 への MITRE ATT&CK マッピングを含む JSON レポート。