・Pass the Hash

Last-modified: 2020-11-08 (日) 14:12:49

情報システム開発契約のセキュリティ仕様作成のためのガイドライン
MITRE ATT＆CKに基づく詳細設定対策

戦術：水平展開 †

• MITRE ATT&CK
  • T1550.002 Use Alternate Authentication Material: Pass the Hash

概説 †

Windowsには、Kerberos認証、NTLM認証があります。このうちNTLM認証は、Kerberos認証が使えないドメインに参加していないメンバーサーバーやNASでの認証、ローカルアカウントなどで利用される認証方法です。
このNTLM認証は端末のメモリ、レジストリにパスワードのNTLMハッシュ値を保存します。攻撃者はこのNTLMハッシュ値をツールを利用して窃取し、ログオンの際に、NTLMハッシュ値をベースにした認証情報を送信します。サーバー側も同様の情報を保有しているため、NTLMハッシュ値をベースに送られた認証情報をサーバー側でも計算し、合致すれば正しい資格情報が入力されたとしてログオンを許可します。
攻撃者は、ツールを使いメモリ上やレジストリのSecurity Account Manager（SAM：アクセスには管理者権限が必要）のNTLMハッシュ値を取得し、正規のユーザーをなりすましパスワードを利用せず認証情報を計算してサーバーに送信し、ログオンします。
ローカル Administrator は端末の管理を容易にするため、全社的に統一されている場合が多く見受けられますが、ローカルのAdministratorのNTLMハッシュ値が取得されると、全社的な水平展開が可能となり、非常に危険です。

緩和の方針 †

Pass the Hash 対策は拡散を防止する観点から、最も重要な防御、緩和策のひとつです。
Mimikatz、PWDump7などの攻撃ツールが公開されており、保存されているパスワードやパスワードのハッシュ値を窃取するために、多角的な攻撃が存在します。このため、多重防御が必要です。
資格情報管理する LSASS プロセスへの攻撃を防ぎ、資格情報を極力保持しないことが重要です。

運用やNetworkが変更された場合の影響の有無 †

各端末において、ローカルのAdministratorのパスワードが同一の場合、拡散のリスクが高まります。
ビルトイン Administrators を使用した場合、攻撃のリスクが高まります。

優先すべき措置 †

Hashの取得阻止、取得された場合の水平展開、垂直展開（特権アカウントに対する侵入）の阻止の観点で防御を講じます。

Hashの取得阻止 †

以下の措置の実施を検討します。

• Windows Defender Credential Guard の導入を検討します。
  Windows 10 の場合、Enterprise Edition のライセンスが必要です。Windows Server 2016/2019はライセンスが付与されています。なお、ドメインコントローラーでの Credential Gurad の有効化はサポートされていません。
• LSA 保護モードの有効化。
• 一般ユーザーをローカル Administrators に所属させません。

水平展開の阻止 †

以下の措置の実施を検討します。

• 既定の Local Administrator を無効化します。
• LAPS の導入を検討します。
• ローカルアカウントのネットワーク越しの操作とログオンを制限します。

垂直展開の阻止 †

以下の措置の実施を検討します。

• 組織内の権限を分離します。ドメインコントローラー、メンバーサーバー、端末の管理者IDを分け、厳格な運用をします。
• 管理者権限を最小化し、特権アカウントの露出を最小限に抑えます。

ユーザー運用管理責任 †

リスクの受容 †

Pass The Hash は攻撃者にとって水平展開を図る最も有効な攻撃手法であり、拡散防止の観点からリスク受容は困難です。

啓発・教育 †

• 対象：すべての端末利用者
  • 「一般ユーザーをローカル管理者グループから外す」ことで、アプリケーションのインストールや各種設定の際に手間が増えますが、最も安価かつ最も攻撃の耐性が高くなることについて、理解を求めてください。
  • 「一般ユーザーをローカル管理者グループから外す」を実施しないことで、コストの高いシステム監査が必要になることについても理解を得てください。

管理規程 †

以下の規程の整備を検討します。

• 端末管理規定に「一般ユーザーをローカル管理者グループから外す」措置を実施しない端末の文書化と監査規程を追加します。

情報システム設計開発部門・運用部門（ベンダー代行を含む) †

ポリシー ①LSASS保護 + 認証情報の削減 †

ポリシー ②水平展開の阻止 †

• マイクロソフト セキュリティ アドバイザリ 3062591 Local Administrator Password Solution (LAPS) の提供を開始：https://docs.microsoft.com/ja-jp/security-updates/securityadvisories/2015/3062591?redirectedfrom=MSDN

ポリシー ③縦展開防止対策 †

ネットワークデザイン †

該当しません。

アクセスコントロール †

以下の設定を検討して下さい。
LSA保護を構成する方法：https://docs.microsoft.com/ja-jp/windows-server/security/credentials-protection-and-management/configuring-additional-lsa-protection#BKMK_HowToConfigure

フィルタリング †

該当しません。

仮想端末運用 †

該当しません。

エンドポイント対策 †

• Endpoint Detection and Response の導入を検討します。

受託開発ベンダー管理責任 †

セキュアコーディング †

該当しません。

開発環境管理 †

ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。

サプライチェーン正常性維持" †

ユーザー運用管理責任、情報システム設計開発部門・運用部門責任に準じる。 例外はすべて文書化し、適切な監査を実施する。

攻撃ベクトルの研究
OWASP ASVS 4.0
最低限検討すべきデフォルト緩和策 端末編
最低限検討すべきデフォルト緩和策 セキュリティ仕様・Webアプリケーション編
詳細設定対策に必要な措置
MITRE ATT＆CKに基づく詳細設定対策