Pass-the-Hash.

Pass-the-Hash(PtH)は、NTLM 認証がパスワードのハッシュそのものを実質的な資格情報として扱う仕様を悪用します。ハッシュさえ保持していれば、平文パスワードを知らなくても認証が成立します。攻撃者は Mimikatz や secretsdump などを用いて LSASS メモリや SAM データベースからハッシュを抽出し、それを SMB・WMI・リモート管理サービスに再生して水平展開を行います。MITRE ATT&CK では T1550.002(Use Alternate Authentication Material)として整理されています。対策には Credential Guard の有効化、LAPS によるローカル管理者の使い回し抑止、階層化管理、可能な範囲での NTLM 無効化、LSASS への異常アクセスや異常ログオンの監視が挙げられます。