Windowsã®æ–°ã‚»ã‚ュリティ機能を検証ã™ã‚‹:LSAã®ä¿è·ãƒ¢ãƒ¼ãƒ‰ã¨Credential Guard(2016-09-07) - JPCERT/CC EyesLSAã®ä¿è·ãƒ¢ãƒ¼ãƒ‰ã§ã¯ã€mimikatzã¨gsecdumpã®2検体ã¯å›³ 2や図 4ã®ã‚ˆã†ã«ã‚¨ãƒ©ãƒ¼ãŒç™ºç”Ÿã—ダンプã«å¤±æ•—ã—ã¾ã—ãŸã€‚一方ã€LSAã®ä¿è·ãƒ¢ãƒ¼ãƒ‰ã‚’有効ã«ã—ã¦ã„ãªã„å ´åˆã€mimikatzã¨gsecdumpã®2検体ã¯ã€ãƒã‚°ã‚ªãƒ³ã—ã¦ã„るドメインユーザーã®æƒ…å ±ã‚’å›³ 1や図 3ã®ã‚ˆã†ã«ãƒ€ãƒ³ãƒ—ã§ãã¾ã™ã€‚ドメインユーザーã®æƒ…å ±ã¯ã€ãƒ‰ãƒ¡ã‚¤ãƒ³å†…ã®ä»–ã®ã‚³ãƒ³ãƒ”ューターã¸ä¾µå…¥ã™ã‚‹æ‰‹ãŒã‹ã‚Šã¨ãªã‚Šå¾—ãˆã¾ã™(Pass-the-Hash攻撃ãªã©)。LSAã®ä¿è·ãƒ¢ãƒ¼ãƒ‰ã§ã¯ã€ã“ã®æƒ…å ±ã®çªƒå–を防ãŽã€æ¨ªæ–的侵入を困難ã«ã™ã‚‹åŠ¹æžœã‚’期待ã§ãã¾ã™ã€‚ 図 1: mimikatz (ä¿è·ãƒ¢ãƒ¼ãƒ‰ç„¡åŠ¹) 図 2: mimikatz (ä¿è·ãƒ¢ãƒ¼ãƒ‰æœ‰åŠ¹) 図 3: gsecdump (ä¿è·ãƒ¢ãƒ¼ãƒ‰ç„¡åŠ¹) 図 4: gsecdump (ä¿è·ãƒ¢ãƒ¼ãƒ‰æœ‰åŠ¹) 図 5: PwDump7 図 6: QuarksPwDump ãªãŠã€PwDump7ã¨Quar
{{#tags}}- {{label}}
{{/tags}}