クレデンシャルアクセス.

クレデンシャルアクセス(MITRE ATT&CK 戦術 TA0006)は、攻撃者が再利用可能な認証情報を取得し、正規ユーザーとして認証するために用いる手法群です。その中核となる技術は T1003 OS Credential Dumping であり、そのサブテクニックは機密情報が存在する場所にきれいに対応します。すなわち、T1003.001(LSASS メモリ)、T1003.002(レジストリの SAM ハイブ)、T1003.003(ドメインコントローラ上の NTDS.dit)、T1003.004(LSA secrets)、T1003.006(ディレクトリレプリケーションプロトコルを利用した DCSync)、T1003.008(Linux の /etc/shadow)です。隣接する手法には、Kerberoasting と AS-REP Roasting、Responder による NTLM の取得、ブラウザ資格情報やクラウドトークンの窃取、MFA フィッシングや OAuth 同意の悪用などがあります。

資格情報が窃取される場所

flowchart TD
  A[ローカル管理者/SYSTEM 権限を持つ攻撃者] --> B[LSASS メモリ<br/>T1003.001]
  A --> C[SAM ハイブ<br/>T1003.002]
  A --> D[DC 上の NTDS.dit<br/>T1003.003]
  A --> E[DCSync レプリケーション<br/>T1003.006]
  B --> F[平文 / NT ハッシュ / チケット]
  C --> F
  D --> F
  E --> F
  F --> G[横展開]
  F --> H[権限昇格]
  F --> I[永続化]

これらの手法はマルウェアを設置するのではなく正規の OS 機能を悪用するため、シグネチャベースのツールをしばしば回避します。2017 年の NotPetya をはじめ数多くのランサムウェア侵入は、LSASS からダンプした資格情報を足がかりに拡散しました。防御側は、Windows の Credential Guard と LSA 保護(RunAsPPL)を導入し、フィッシング耐性のある MFA を強制し、ワークステーションでのドメイン管理者ログオンを阻止する階層化管理者モデルを採用し、特権的な機密情報を保管庫に格納してローテーションし、可能な限り NTLM を無効化し、LSASS ハンドルへのアクセス、ntdsutil の使用、異常なレプリケーション(DCSync)要求に対してアラートを発します。