Active Directory防衛ガイド＆ツール / Active Directory Kill Chain Attack & Defense – A Complete Guide & Tools


ここでは、攻撃者がActive Directoryを侵害するために利用している戦術、技術、手順（TTPs）、および緩和、検出、予防のためのガイダンスを詳しく説明します。

探索

SPN Scanning

Data Mining

User Hunting

LAPS

AppLocker

Active Directory Federation Services


特権昇格

Abusing Active Directory Certificate Services

PetitPotam

Zerologon

Passwords in SYSVOL & Group Policy Preferences

MS14-068 Kerberos Vulnerability

DNSAdmins

Kerberos Delegation

Unconstrained Delegation

Constrained Delegation

Resource-Based Constrained Delegation

Insecure Group Policy Object Permission Rights

Insecure ACLs Permission Rights

Domain Trusts

DCShadow

RID

Microsoft SQL Server

Red Forest

Exchange

NTLM Relay & LLMNR/NBNS

ラテラルムーブメント

Microsoft SQL Server Database links

Pass The Hash

System Center Configuration Manager (SCCM)

WSUS

Password Spraying

Automated Lateral Movement

防衛回避

In-Memory Evasion

Endpoint Detection and Response (EDR) Evasion

OPSEC

Microsoft ATA & ATP Evasion

PowerShell ScriptBlock Logging Bypass

PowerShell Anti-Malware Scan Interface (AMSI) Bypass

Loading .NET Assemblies Anti-Malware Scan Interface (AMSI) Bypass

AppLocker & Device Guard Bypass

Sysmon Evasion

HoneyTokens Evasion

Disabling Security Tools

Credential Dumping

NTDS.DIT Password Extraction

SAM (Security Accounts Manager)

Kerberoasting

Kerberos AP-REP Roasting

Windows Credential Manager/Vault

DCSync

LLMNR/NBT-NS Poisoning

Others

持続性

Golden Ticket

SID History

Silver Ticket

DCShadow

AdminSDHolder

Group Policy Object

Skeleton Keys

SeEnableDelegationPrivilege

Security Support Provider

Directory Services Restore Mode

ACLs & Security Descriptors

Tools & Scripts

  • Certify – Certify is a C# tool to enumerate and abuse misconfigurations in Active Directory Certificate Services (AD CS).
  • PSPKIAudit – PowerShell toolkit for auditing Active Directory Certificate Services (AD CS).
  • PowerView – Situational Awareness PowerShell framework
  • BloodHound – Six Degrees of Domain Admin
  • Impacket – Impacket is a collection of Python classes for working with network protocols
  • aclpwn.py – Active Directory ACL exploitation with BloodHound
  • CrackMapExec – A swiss army knife for pentesting networks
  • ADACLScanner – A tool with GUI or command linte used to create reports of access control lists (DACLs) and system access control lists (SACLs) in Active Directory
  • zBang – zBang is a risk assessment tool that detects potential privileged account threats
  • SafetyKatz – SafetyKatz is a combination of slightly modified version of @gentilkiwi’s Mimikatz project and @subTee’s .NET PE Loader.
  • SharpDump – SharpDump is a C# port of PowerSploit’s Out-Minidump.ps1 functionality.
  • PowerUpSQL – A PowerShell Toolkit for Attacking SQL Server
  • Rubeus – Rubeus is a C# toolset for raw Kerberos interaction and abuses
  • ADRecon – A tool which gathers information about the Active Directory and generates a report which can provide a holistic picture of the current state of the target AD environment
  • Mimikatz – Utility to extract plaintexts passwords, hash, PIN code and kerberos tickets from memory but also perform pass-the-hash, pass-the-ticket or build Golden tickets
  • Grouper – A PowerShell script for helping to find vulnerable settings in AD Group Policy.
  • Powermad – PowerShell MachineAccountQuota and DNS exploit tools
  • RACE – RACE is a PowerShell module for executing ACL attacks against Windows targets.
  • DomainPasswordSpray – DomainPasswordSpray is a tool written in PowerShell to perform a password spray attack against users of a domain.
  • MailSniper – MailSniper is a penetration testing tool for searching through email in a Microsoft Exchange environment for specific terms (passwords, insider intel, network architecture information, etc.)
  • LAPSToolkit – Tool to audit and attack LAPS environments.
  • CredDefense – Credential and Red Teaming Defense for Windows Environments
  • ldapdomaindump – Active Directory information dumper via LDAP
  • SpoolSample – PoC tool to coerce Windows hosts authenticate to other machines via the MS-RPRN RPC interface
  • adconnectdump – Azure AD Connect password extraction
  • o365recon – Script to retrieve information via O365 with a valid cred
  • ROADtools – ROADtools is a framework to interact with Azure AD. I
  • Stormspotter – Stormspotter creates an “attack graph” of the resources in an Azure subscription.
  • AADInternals – AADInternals is PowerShell module for administering Azure AD and Office 365
  • MicroBurst: A PowerShell Toolkit for Attacking Azure – MicroBurst includes functions and scripts that support Azure Services discovery, weak configuration auditing, and post exploitation actions such as credential dumping.

Ebooks

Cheat Sheets

Other Resources

Azure Active Directory

Defense & Detection

Tools & Scripts

  • Invoke-TrimarcADChecks – Invoke-TrimarcADChecks.ps1 PowerShellスクリプトは、Active Directoryセキュリティアセスメント（ADSA）を実行するために、単一ドメインのADフォレストからデータを収集するように設計されています。
  • Create-Tiers in AD – プロジェクト名 Active Directory あらゆる環境におけるTierの自動配置を行います。
  • SAMRi10 – Hardening SAM Remote Access in Windows 10/Server 2016
  • Net Cease – Hardening Net Session Enumeration
  • PingCastle – A tool designed to assess quickly the Active Directory security level with a methodology based on risk assessment and a maturity framework
  • Aorato Skeleton Key Malware Remote DC Scanner – Remotely scans for the existence of the Skeleton Key Malware
  • Reset the krbtgt account password/keys – This script will enable you to reset the krbtgt account password and related keys while minimizing the likelihood of Kerberos authentication issues being caused by the operation
  • Reset The KrbTgt Account Password/Keys For RWDCs/RODCs
  • RiskySPN – RiskySPNs is a collection of PowerShell scripts focused on detecting and abusing accounts associated with SPNs (Service Principal Name).
  • Deploy-Deception – A PowerShell module to deploy active directory decoy objects
  • SpoolerScanner – Check if MS-RPRN is remotely available with powershell/c#
  • dcept – A tool for deploying and detecting use of Active Directory honeytokens
  • LogonTracer – Investigate malicious Windows logon by visualizing and analyzing Windows event log
  • DCSYNCMonitor – Monitors for DCSYNC and DCSHADOW attacks and create custom Windows Events for these events
  • Sigma – Generic Signature Format for SIEM Systems
  • Sysmon – System Monitor (Sysmon) is a Windows system service and device driver that, once installed on a system, remains resident across system reboots to monitor and log system activity to the Windows event log.
  • SysmonSearch – Investigate suspicious activity by visualizing Sysmon’s event log
  • ClrGuard – ClrGuard is a proof of concept project to explore instrumenting the Common Language Runtime (CLR) for security purposes.
  • Get-ClrReflection – Detects memory-only CLR (.NET) modules.
  • Get-InjectedThread – Get-InjectedThread looks at each running thread to determine if it is the result of memory injection.
  • SilkETW – SilkETW & SilkService are flexible C# wrappers for ETW, they are meant to abstract away the complexities of ETW and give people a simple interface to perform research and introspection.
  • WatchAD – AD Security Intrusion Detection System
  • Sparrow – Sparrow.ps1 was created by CISA’s Cloud Forensics team to help detect possible compromised accounts and applications in the Azure/m365 environment.
  • DFIR-O365RC – The DFIR-O365RC PowerShell module is a set of functions that allow the DFIR analyst to collect logs relevant for Office 365 Business Email Compromise investigations.
  • AzureADIncidentResponse – Tooling to assist in Azure AD incident response
  • ADTimeline – The ADTimeline script generates a timeline based on Active Directory replication metadata for objects considered of interest.

Sysmon Configuration

  • sysmon-modular – A Sysmon configuration repository for everybody to customise
  • sysmon-dfir – Sources, configuration and how to detect evil things utilizing Microsoft Sysmon.
  • sysmon-config – Sysmon configuration file template with default high-quality event tracing

Active Directory Security Checks (by Sean Metcalf – @Pyrotek3)

General Recommendations

  • Manage local Administrator passwords (LAPS).
  • Implement RDP Restricted Admin mode (as needed).
  • Remove unsupported OSs from the network.
  • Monitor scheduled tasks on sensitive systems (DCs, etc.).
  • Ensure that OOB management passwords (DSRM) are changed regularly & securely stored.
  • Use SMB v2/v3+
  • Default domain Administrator & KRBTGT password should be changed every year & when an AD admin leaves.
  • Remove trusts that are no longer necessary & enable SID filtering as appropriate.
  • All domain authentications should be set (when possible) to: “Send NTLMv2 response onlyrefuse LM & NTLM.”
  • Block internet access for DCs, servers, & all administration systems.

Protect Admin Credentials

  • No “user” or computer accounts in admin groups.
  • Ensure all admin accounts are “sensitive & cannot be delegated”.
  • Add admin accounts to “Protected Users” group (requires Windows Server 2012 R2 Domain Controllers, 2012R2 DFL for domain protection).
  • Disable all inactive admin accounts and remove from privileged groups.

Protect AD Admin Credentials

  • Limit AD admin membership (DA, EA, Schema Admins, etc.) & only use custom delegation groups.
  • ‘Tiered’ Administration mitigating credential theft impact.
  • Ensure admins only logon to approved admin workstations & servers.
  • Leverage time-based, temporary group membership for all admin accounts

Protect Service Account Credentials

  • Limit to systems of the same security level.
  • Leverage “(Group) Managed Service Accounts” (or PW >20 characters) to mitigate credential theft (kerberoast).
  • Implement FGPP (DFL =>2008) to increase PW requirements for SAs and administrators.
  • Logon restrictions – prevent interactive logon & limit logon capability to specific computers.
  • Disable inactive SAs & remove from privileged groups.

Protect Resources

  • Segment network to protect admin & critical systems.
  • Deploy IDS to monitor the internal corporate network.
  • Network device & OOB management on separate network.

Protect Domain Controller

  • Only run software & services to support AD.
  • Minimal groups (& users) with DC admin/logon rights.
  • Ensure patches are applied before running DCPromo (especially MS14-068 and other critical patches).
  • Validate scheduled tasks & scripts.

Protect Workstations (& Servers)

  • Patch quickly, especially privilege escalation vulnerabilities.
  • Deploy security back-port patch (KB2871997).
  • Set Wdigest reg key to 0 (KB2871997/Windows 8.1/2012R2+): HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlSecurityProvidersWdigest
  • Deploy workstation whitelisting (Microsoft AppLocker) to block code exec in user folders – home dir & profile path.
  • Deploy workstation app sandboxing technology (EMET) to mitigate application memory exploits (0-days).

Logging

  • Enable enhanced auditing
  • “Audit: Force audit policy subcategory settings (Windows Vista or later) to override audit policy category settings”
  • Enable PowerShell module logging (“*”) & forward logs to central log server (WEF or other method).
  • Enable CMD Process logging & enhancement (KB3004375) and forward logs to central log server.
  • SIEM or equivalent to centralize as much log data as possible.
  • User Behavioural Analysis system for enhanced knowledge of user activity (such as Microsoft ATA).

Security Pro’s Checks

  • Identify who has AD admin rights (domain/forest).
  • Identify who can logon to Domain Controllers (& admin rights to virtual environment hosting virtual DCs).
  • Scan Active Directory Domains, OUs, AdminSDHolder, & GPOs for inappropriate custom permissions.
  • Ensure AD admins (aka Domain Admins) protect their credentials by not logging into untrusted systems (workstations).
  • Limit service account rights that are currently DA (or equivalent).


Labels:

従業員のストレスと、セキュリティにおける内部脅威の関係 / Stress prompts employees to break cybersecurity policies


内部脅威というと、不満を抱えた従業員が雇用主や上司に怒りをぶつける、というイメージが一般的です。しかし、セントラルフロリダ大学の研究によると、このようなケースはめったにないことが分かっています。

サイバーセキュリティへの投資は、パンデミック時の攻撃の急増に直面して大幅に増加しましたが、多くの場合、この投資はデータやシステムの安全を確保するための技術に集中しています。このような投資は価値がありますが、どのようなシステムにおいても最も脆弱なのは、ほぼ間違いなく私たち人間です。著者らは、組織がサイバーセキュリティのトレーニングを行う場合、内部脅威の攻撃は悪意を持って行われるという暗黙の前提が存在することが多いことを強調しています。

しかし、現実には、従業員が会社のサイバーセキュリティプロセスを遵守できないのは、ストレスが原因である可能性が高いのです。研究者たちは、武漢ウイルスのパンデミック時にリモートで勤務していた約330人の従業員にクイズを行いました。従業員は、会社のサイバーセキュリティポリシーを遵守しているか、ストレスレベルなどとともに尋ねられました。

さらに、パンデミックの影響でリモートワークに移行したことがサイバーセキュリティにどのような影響を与えたかについて、36名の従業員に詳細なインタビューを実施しました。その結果、セキュリティポリシーの遵守はかなり断続的であることがわかりました。実際、典型的な勤務日において、参加者の67%が少なくとも一度は公式のサイバーセキュリティポリシーを回避したことがあると答え、任意のタスクにおいて回避する確率は5%でした。

このような規模の違反が、上司や会社に対する広範な不満によって引き起こされるとは考えにくいことは、おそらく自明であり、研究者は実際にそれを発見した。実際、セキュリティ・プロトコルを回避した理由を尋ねたところ、最も多かった回答は、自分自身や同僚のために、そうすることで物事をうまく処理することができるから、というものでした。この理由は、意図的なセキュリティルール違反の約85%を占めた。一般的な認識とは異なり、損害を与えたいという意図的な欲求は、セキュリティ違反の3%に過ぎませんでした。つまり、悪意のない違反は、意図的な悪意のある違反の約28倍もあることになります。

重要なことは、比較的穏やかな違反は、従業員がストレスに苦しんでいる日にはるかに多く見られたということです。このことは、ストレスにさらされることで、やるべきことができなくなると認識されると、ルールを守ろうとする気持ちが弱まることを強く示唆しています。

ストレスの原因はよく言われることで、家族の要求、仕事の不安、同僚との衝突、さらにはサイバーセキュリティの規則そのものの要求などがあります。しかし、仕事をする上で直面するプレッシャーと、サイバーセキュリティの規定がその仕事を阻害しているという考えとの間には、明確な関連性が見られました。規則に従うと、仕事を完了するのに多くの時間や労力を要すると感じることが多く、また、規則のせいで自分が監視されているように感じ、信頼できないと不満を漏らす従業員もいました。

この調査結果は、インサイダー脅威が悪意ある意図的なものであることは少なく、むしろトレーニングの欠如や、できるだけ早く物事を終わらせたいという強いプレッシャーによるものであることを気づかせてくれます。

リスクを減らすには？

では、ガイドラインの遵守、ひいてはシステムのセキュリティを向上させるために、管理者は何をすればよいのでしょうか。まず、セキュリティ違反の圧倒的多数が意図的であり、良性であることを認識することが大切です。サイバーセキュリティのトレーニングは、それを基本に、セキュリティを維持しながら業務を遂行する方法を従業員に伝える必要があります。

また、セキュリティポリシーに違反したときには、自信を持って発言してもらうことも重要です。そうすることで、より早く問題に対処し、セキュリティリスクを低減することができます。

「従業員がミスをしたとき、人々はどのように反応するのか」とカスペルスキーのクリス・ハーストは言います。「社員がミスをした場合、そのことをオープンにし、起こりうるリスクに対して何かできる人にエスカレートさせるだけの自信を持つことが非常に重要です。」

また、セキュリティ規則の作成には、一般の従業員も参加することが望ましいと思います。そうすることで、従業員の業務を阻害するような規則は作られず、その結果、従業員は回避策を見つけようとし、規則自体の有効性が低下するのを防ぐことができるのです。規則が人々の業務にどのような影響を与えるかをより良く理解することで、セキュリティチームはより良い遵守の機会を得ることができます。これは、リモートワークに移行し、異なる働き方をする人々が増えているため、特に重要なことです。

もちろん、従業員のストレスやプレッシャーに対処することも悪いことではありませんが、この調査から得られる重要なポイントは、仕事の設計方法とサイバーセキュリティの設計方法が本質的に関連していることです。サイバー攻撃は増加傾向にあり、ほとんどの組織に影響を与えているため、インサイダー脅威は仕事とセキュリティ規則の設計の仕方が悪いせいだと考えるのはもはや十分ではありません。このことを理解することで、私たちは前向きな前進を始めることができるのではないでしょうか。

Labels:

13万ドルで市民権が得られる「サトシ島」 / Satoshi Island: 'Crypto paradise' where citizenship costs $130,000


サトシ島は3200万平方フィートのプライベートアイランドで、手つかずの海、一年中降り注ぐ日光、モジュール式の家、そして分散型民主主義の約束が手に入るのです。

サトシ島はフィクションではなく、暗号資産コミュニティに捧げられた現実のプライベートアイランドなのです。

2023年から始まる、暗号通貨好きが集う場所

オーストラリアとフィジーの間に位置する熱帯の楽園バヌアツにあるこの島は、Satoshi Island Holdings Ltd.によって所有され、「世界の暗号資産の首都」として、暗号資産の愛好家や専門家が繁栄する場所にすることを意図しているそうです。

この島の名前は、ビットコイン（BTC）の開発者とされるサトシ・ナカモトにちなんでいる。

「バヌアツ首相と財務大臣から認可を受け、何年もの準備期間を経て、サトシ島は暗号資産経済とブロックチェーンベースの民主主義を実現するための準備が整いました」と同社は述べており、将来的には「分散型自治組織」として運営されることを予見しています。

先週行われたCointelegraphのインタビューで、デニス・トロヤック、ジェームズ・ロー、タラス・フィラトフ、ベンジャミン・ネロのSatoshi Islandチームは、この暗号資産の楽園は、すべてが暗号通貨で支払い、購入できる「真の暗号資産経済」になると述べています。この島の資産の所有権はすべて、ブロックチェーンを利用したNon-Fungible Token（NFT）で表現される予定です。

現在、モジュール式住宅を建設中で、2023年から世界に門戸を開く予定です。


「現実に映し出されたメタバース」

NFTのようないわゆるモジュール式住宅が、デジタル世界だけに存在すると思ってはいけないのです。すべての住宅は「Satoshi Island Land NFT」となり、NFTのように取引することができるのです。

「サトシアイランドは、デジタルの所有権をフィジカルに変える方法を導入し、NFTの進化における次のステップを踏み出そうとしています」と同社は説明します。

"従来の不動産の譲渡に伴う複雑な手続きなしに、簡単に売買できるSatoshi Island Land NFTを取得することで、誰でも島の一部を所有することができます。"

しかし、NFTの保有者は、バヌアツの公式な土地登記簿で、デジタルな権利を物理的な文書に変えることができると、創設者は説明しています。

そして、これだけでは終わりません。この島の壮大な計画には、暗号資産に焦点を当てたイベントを一年中開催し、暗号資産プロジェクトを収容し、世界中の暗号資産愛好家のために場所を集めることも含まれています。

市民権NFTは無料、市民権取得には13万ドルかかります

Satoshi Islandの創設者は、「永住権を持つ居住者」になりたい世界中の暗号愛好家から、5万件を超えるビザ nonfungible token (NFT) 申請が殺到していると述べています。

そして、Satoshi IslandのNFT「市民」になった人々は、さらに、2022年の第4四半期に設定された初期の「プライベートオープニング」を楽しむことができます。これは、島の国境がNFT市民権保持者に短期間の旅行で開放される時です。


また、NFT市民は、島を統治する政策について投票する権利を得ます。1つの財布に1つの市民権を持つことができ、そのNFTは1票としてカウントされます。また、NFT Mints & Airdropsは、このような市民に与えられるもう一つの特典です。「市民権NFTを保有するアドレスは、自動的にホワイトリストに登録され、Satoshi IslandのすべてのNFTミントとエアドロップに早くアクセスできるようになります」と同社は説明します。

ただし、ビザや市民権のNFTは、それ自体が、政府による別のビザ手続きを伴う島への移住許可を表すものではなく、またそれ自体でもないことに注意してください。

サトシ島NFTの市民権は誰でも今日から申請できますが、それは口語で理解されている「市民権」という言葉と混同しないでください。

島のウェブサイトには「サトシ島民権NFTはバヌアツの市民権とは関係ありません」と明記されており、同社はその事実を補強する説明文をツイートしています。

バヌアツ共和国への入国が許可されており、政府発行の有効なビザ、またはバヌアツへのビザなし渡航を許可している130カ国のパスポートを所持していれば、サトシ島の市民権NFTを所有しているかどうかにかかわらず、誰でも入国できるものとします。

バヌアツ共和国は、投資ルートによる市民権申請手続きを別途行っており、その費用は申請者一人につき最低でも130,000米ドルかかります。

「"サトシ島市民権NFT "と "バヌアツ市民権 "は別物であることを覚えておいてください。しかし、バヌアツには、第二のパスポートを求める人々のために、定評ある投資による市民権プログラムがあります」と、島チームは説明します。

このプログラムを利用する場合、Satoshi Island Citizenship NFTは、バヌアツ投資移住局の迅速な手続きを利用することができます。

しかし、暗号通貨やNFTのような不安定な金融資産を扱う新規事業は、バヌアツ首相の承認を得たとはいえ、実現しないことも含め、常に固有のリスクを伴います。

2022年1月には、Crypolandと同様のベンチャー企業、「暗号通貨愛好家のための熱帯の楽園」が、1200万ドルの取引でフィジーのリゾートを確保できず、破綻している。

さらに、バヌアツ政府の政策により、「NFT市民」にどのような法的保証や権利が与えられるのか、まだわかっていません。このように、Satoshi Islandの壮大な計画が実現するまでは、お金を払っても受け取れない商品やサービスによって損をするリスクがあります。

出典：Satoshi Island: 'Crypto paradise' where citizenship costs $130,000:
Labels:
登録: コメント (Atom)