重要情報 説明: パス・ザ・ハッシュ (Pass the Hash): 攻撃者が平文パスワードの代わりに、ユーザーのパスワードのNTLMまたはLMハッシュ値を使用して、リモートサーバーまたはサービスに対して認証を行うためのハッキング技術。 動作原理: 認証プロトコルにおける実装の脆弱性を悪用し、パスワードが変更されるまで、セッション全体を通じてパスワードハッシュが静的に維持される性質を利用する。 適用範囲: Windows、Unix、その他のオペレーティングシステム上で動作しているかに関わらず、LMまたはNTLM認証を使用するすべてのサーバーまたはサービスに適用可能。 歴史: 起源: 1997年にポール・アシュトン (Paul Ashton) によって初めて公開され、当初は平文パスワードの代わりにパスワードハッシュを受け入れるように変更されたSamba SMBクライアントであった。 発展: SMBおよびNTLMプロトコルの進化に伴い攻撃難易度は上昇したものの、攻撃者は「Pass-the-Hash Toolkit」などの他の手段を用いて攻撃を実行し続けている。 ハッシュの収集: 手法: 攻撃者は、ターゲットユーザーアカウントのパスワードハッシュを取得する必要がある。これには、メモリからキャッシュされたハッシュの読み取り、ローカルユーザーアカウントデータベース (SAM) のダンプ、LMおよびNTLMチャレンジ-レスポンス対のスニファリング、RDPなどの認証を介してユーザーの資格情報をダンプすることが含まれる。 対策: 防御策: 単一の防御手段では不十分であり、ファイアウォール、侵入防止システム (IPS)、802.1x認証、IPsec、アンチウイルスソフトウェアの導入、特権ユーザーの削減、LMまたはNTLM認証の使用回避、ドメインコントローラーへのドメイン管理者ログインの制限、「最小権限」原則の適用、デバッグ特権の制限など、多層防御アプローチを採用する必要がある。 新機能: Windowsは「制限付き管理者モード」を導入し、攻撃の効果を低減することを目的としている。 参考文献 Microsoft Pass the Hash Mitigation Guidance Amplia Security SMBShell