performing-active-directory-forest-trust-attack について
impacket を使って Active Directory のフォレスト信頼を調べるセキュリティ評価スキルです。信頼設定とフォレスト間の関係を分析し、許可されたテスト向けにリスクと修正案をまとめます。
主な機能
- 01フォレスト信頼関係の列挙
- 02SID フィルタリング設定の確認
- 03信頼境界を越えた SID 検索
- 04外部セキュリティプリンシパルの検出
- 05信頼の方向と推移性の評価
- 06リスクと修正案の報告
活用シーン
- 01フォレスト信頼設定の監査
- 02SID History 悪用リスクの評価
- 03フォレスト間の横方向移動経路の確認
- 04許可されたセキュリティテストの支援
インストール
コマンドをコピーしてターミナルで実行します。
$
npx skills add https:/インストール後、Claude Code で/performing-active-directory-forest-trust-attackを入力して読み込まれたか確認します。
同梱ファイル
SKILL.md と一緒にインストールされる参考資料やスクリプト。
LICENSEreferences/api-reference.mdscripts/agent.py詳細
Active Directory フォレストトラスト攻撃の実施
概要
Active Directory のフォレストトラストは組織の境界を越えた認証を可能にしますが、設定に不備があると攻撃対象領域が生じます。このスキルでは impacket を使用して、トラスト関係の列挙、SID フィルタリング設定の分析、SID 履歴の悪用経路の検出、LSA/LSAT RPC 呼び出しによるフォレスト間 SID 検索の実行、そしてトラストチケットの偽造リスクを評価するためのレルム間 Kerberos チケット設定の確認を行います。
使用するタイミング
- Active Directory フォレストトラスト攻撃の実施を伴うセキュリティ評価を行うとき
- 関連するセキュリティイベントに対してインシデント対応手順を実行するとき
- 定期的なセキュリティテストまたは監査活動を実施するとき
- 実機によるテストを通じてセキュリティ管理策を検証するとき
前提条件
impacket、ldap3を導入した Python 3.9 以上- AD トラストオブジェクトへの読み取りアクセス権を持つドメイン資格情報
- ドメインコントローラーへのネットワーク接続（ポート 389、445、88）
- 認可されたペネトレーションテストの契約、またはラボ環境
法的通知: このスキルは、認可されたセキュリティテストおよび教育目的のみを対象としています。所有していない、または試験の書面による許可を得ていないシステムに対して無断で使用することは違法であり、コンピューター不正アクセス法などに抵触するおそれがあります。
手順
- LDAP の信頼されたドメインオブジェクトを介して、フォレストトラスト関係を列挙する
- 各トラストについて、トラスト属性と SID フィルタリングの状態を照会する
- LsarLookupNames3 を使用して、トラスト境界を越えた SID 検索を実行する
- 信頼されたドメイン内の外部セキュリティプリンシパルを列挙する
- フォレスト間のアカウントに SID 履歴が存在するかを確認する
- 横方向移動の経路を検討するため、トラストの方向と推移性を評価する
- リスク所見を含むトラストのセキュリティ監査レポートを作成する
期待される出力
- すべてのトラスト関係、SID フィルタリングの状態、外部プリンシパル、トラストの方向と推移性、およびリスク評価を一覧化した JSON レポート
- 是正策の推奨事項を含む、フォレスト間の攻撃経路分析
コメント
Markdown 対応