Pass-the-Hash・Pass-the-Ticket・Kerberoastingと偽造チケット

端末WS-41の侵害後、管理サーバMG-1から通常と異なる認証が増え、サービスアカウントsvc-report向けのチケット要求も急増した。『パスワードを変えればよい』では、NTLMハッシュ、発行済みチケット、サービス鍵、krbtgt鍵という別々の資格情報を扱えない。奪われた素材から可能になる操作と、失効に必要な範囲を分ける。

読む順序は、用語→実際の構成と処理→記録の照合→異常の成立条件→変更・復旧→短答演習です。以下の組織、アドレス、時刻、識別子、ログは教材用の架空例です。観測できた事実と、追加調査が必要な推論を分けて読みます。

1. 用語をこの事案の判断に結び付ける

2. 構成と判断する位置

架空のexample.testで、WS-41は一般社員端末、MG-1は管理サーバ、DC-1はドメインコントローラー、RP-1は帳票サービス。svc-reportはRP-1のSPNを保持する。09:20にWS-41で不審な管理ツール実行、09:27にMG-1へのNTLMネットワークログオン、09:32にWS-41からsvc-report向けの複数のTGS要求を確認した。後日RP-1にサービスチケットを使ったアクセスがあるが、その時間帯のDC-1に対応する4769が見つからない。監査欠落もあり得るので偽造と断定しない。

図は一つの可能な連鎖を示すが、09:27のNTLMログオンと09:32のTGS要求が同じ攻撃者の行為かは追加証拠が必要。Golden Ticketはkrbtgt秘密の窃取、Silver Ticketはサービス秘密の窃取が前提であり、一般端末での不審プロセスだけで成立しない。

3. 正常時の処理と管理

1. 管理者が特権アカウントを一般端末で使わず、サービスアカウントには長いランダム秘密や管理対象サービスアカウントを用いる。

2. DCでTGTとTGSの監査を有効化し、サービス側ログオン、端末プロセス、NTLM認証記録と共通時刻で集める。

3. サービスはSPNとサービスアカウントを適切に管理し、必要な認証方式と暗号方式を検証する。古い方式を停止する際は互換性を試験する。

4. 特権利用の端末・接続先を制限し、資格情報のメモリ保護、不要な管理プロトコルの閉鎖、アカウントの権限分離を行う。

5. 侵害疑い時に素材ごとの失効手段を用意する。利用者パスワード、サービス秘密、krbtgt秘密、チケットと既存セッションは別に扱う。

KerberoastingのTGS要求は正規のKerberos機能なので、4769が一件あるだけで攻撃ではない。短時間の大量要求、珍しいSPN、暗号方式、端末・利用者の通常行動との差、後続のサービスアカウントログオンを組み合わせる。

4. 設定・記録のフィールドを読む

以下は架空の要約ログ。セキュリティイベントの実際のフィールドはOS版と監査設定で異なる。TGS要求数は教材用の値であり閾値ではない。

09:20 WS-41 process=unknown-admin-tool user=U-41
09:27 MG-1 event=4624 type=3 package=NTLM
  account=adm-ops source=WS-41 result=success
09:32 DC-1 event=4769 account=U-41
  service=svc-report count_5m=42 result=success
10:03 RP-1 auth=Kerberos account=adm-ops result=success
10:03 DC-1 event=4769 matching_request=not_found

MG-1へのNTLMログオンは事実だが、その資格情報がハッシュから来たか平文かはこの記録だけでは不明。TGS要求42件はKerberoastingの候補だが、バッチ処理や再試行も調べる。RP-1の4769不在はSilver Ticketの可能性を示し得る一方、別DC、収集漏れ、キャッシュ済みチケットもあり得る。

5. 異常が成立する条件と証拠

ATT&CKの技法名は観測事象を整理する語であり、アラート名が付いた時点で技法の全前提が証明されたわけではない。秘密がどこから取得され、どの認証方式で、どのサービスに使われたかを証拠でつなぐ。

6. 調査で結論を強くする順序

PtHではハッシュ値自体がNTLM認証の材料になる。パスワードを知らないのに認証できるため、『ハッシュ化済みなら漏れても平文でないので安全』は誤りである。ただしNTLMログオンの記録だけでは入力素材がハッシュか平文かは区別できない。端末の資格情報取得痕跡を併せる。

PtTはTGTとサービスチケットを同じ範囲のものとして扱わない。TGTなら有効期間内にKDCへ別サービスのチケットを要求し得る。サービスチケットは原則として対象SPNに結び付く。盗難元端末の隔離だけで発行済みチケットや別端末上のセッションが消えるとは限らない。

Kerberoastingはサービスチケットを取得できる正規利用者から始まる場合がある。TGS-REPの暗号部分に対してオフライン推測を行うため、サービスアカウントの秘密が短く再利用されていると危険が増す。強いランダム秘密やgMSA、不要SPN除去、古い暗号方式の見直しを検討する。

Golden Ticketはkrbtgt秘密の侵害を要するため、ドメインコントローラーの侵害可能性が高い。krbtgtを二回更新する運用は、旧鍵が履歴に残ることを考慮したものだが、順序、複製、既存チケット、サービス停止影響をMicrosoftの手順に沿って計画する。単に二回ボタンを押せば復旧するわけではない。

Silver Ticketはサービスアカウント秘密から対象サービスのチケットを偽造する。新たなTGS要求なしにサービス側で受理され得るため、DCの4769だけを監視していると見落とし得る。サービス側のログオン・操作と、サービス鍵更新後の旧チケット拒否を確認する。

パスワード変更は旧ハッシュを使う新規認証を防ぐ一手だが、発行済みチケット、既存ログオンセッション、保存済み資格情報、サービス再起動、ドメインコントローラー複製を別に扱う。特にサービスアカウント秘密を変えると依存アプリが停止し得るので、対象SPNと実行サービスを棚卸しする。

異常な暗号方式やチケット寿命は調査の手掛かりであるが、正当な旧アプリや設定不備でも起こり得る。DCの4768/4769、サービス側4624、端末プロセス、ID権限変更、横展開先の操作を時系列にし、観測事実から言える範囲で技法を絞る。

7. 変更・障害・例外運用

失効操作は証拠保全と並行して計画する。攻撃者の活動を止める緊急性が高ければ封じ込めを優先するが、その時点までのログ、メモリ、セッション情報を可能な範囲で保存し、後続調査の根拠を残す。

8. 封じ込めと復旧条件

Golden Ticketの疑いならkrbtgtとDCの信頼性が問題になる。Silver Ticketならサービス秘密の更新が中心となる。PtHなら該当アカウントと横展開先を追う。技法未確定でも、観測された危険なセッションの封じ込めは進める。

1. WS-41、MG-1、RP-1、全DCの時刻・認証・操作ログを保全し、監査欠落の範囲を記録する。

2. 不審端末と特権セッションを隔離し、NTLM・Kerberos両方の横展開先を追う。

3. 盗まれたと判断した利用者・サービス秘密を更新し、依存サービスの再起動と既存セッション失効を計画する。

4. krbtgt侵害が疑われるならDCの完全性を評価し、複製・チケット寿命を考慮した公式手順で更新する。

5. 旧資格や旧チケットでのアクセス拒否、新資格での正常業務、追加の不審なTGS要求やサービス操作の停止を確認する。

PtH、PtT、Kerberoasting、Golden/Silver Ticketは違う素材と範囲を持つ。すべてを一律のパスワード変更で済ませず、攻撃経路と証拠に応じて秘密とサービスを更新する。

9. 科目B（午後）の解答手順

技法名を答える前に、奪われた素材・認証方式・提示先・必要な鍵を表にする。『4769がないのでSilver Ticket』のような断定は避け、欠落・再利用・偽造を区別し、追加で取るべきログを述べる。

• PtHはNTLMハッシュ、PtTはKerberosチケットを中心に捉える。

• Kerberoastingの前提はSPNとサービス秘密の推測可能性。

• Goldenはkrbtgt、Silverはサービス秘密を区別する。

• 4769とサービス側ログを組み合わせ、ログ欠落を検討する。

10. 短答演習

演習1：NTLMログオン

条件：MG-1にadm-opsのNTLMログオン。

質問：PtHが確定か。

解答：確定しない。端末上の資格情報取得と後続操作を調べる。

誤答の理由：NTLMという方式だけで使った素材を断定している。

演習2：大量4769

条件：WS-41からsvc-report宛の要求が急増。

質問：何を調べるか。

解答：通常処理との差、暗号方式、SPN、サービス秘密の強度、後続ログオンを調べる。

誤答の理由：件数だけで秘密の解読成功を断定している。

演習3：4769なし

条件：RP-1でKerberos認証、DCに対応ログなし。

質問：Silver Ticket確定か。

解答：違う。全DC、監査設定、キャッシュ済みチケットを確認する。

誤答の理由：ログの不存在を偽造の直接証拠と扱っている。

演習4：Golden Ticket

条件：krbtgt秘密の侵害を確認。

質問：一般利用者のパスワード変更で十分か。

解答：不十分。DCの完全性とkrbtgt秘密の計画的な二回更新を要する。

誤答の理由：TGTを保護する秘密が残る。

演習5：Silver Ticket

条件：svc-report秘密が漏えい。

質問：何を更新するか。

解答：svc-report秘密と依存サービス、旧セッションを更新・確認する。

誤答の理由：利用者IDだけ変えてもサービス鍵が残る。

演習6：再イメージ

条件：WS-41を再構築した。

質問：横展開は終わりか。

解答：MG-1、RP-1、DCと盗難資格情報・チケットの有効性を調べる。

誤答の理由：侵害元端末だけを復旧対象にしている。

11. 一次資料

MITRE ATT&CK：Pass the Hash

MITRE ATT&CK：Pass the Ticket

MITRE ATT&CK：Kerberoasting

MITRE ATT&CK：Golden Ticket

MITRE ATT&CK：Silver Ticket

Microsoft：krbtgt更新