Recommended
More Related Content
What's hot
What's hot (20)
Similar to Sec013 その資格情報、簡
Similar to Sec013 その資格情報、簡 (20)
More from Tech Summit 2016
More from Tech Summit 2016 (20)
Recently uploaded
Recently uploaded (14)
Sec013 その資格情報、簡
- 1. Session ID: SEC013 本情報の内容（添付文書、リンク先などを含む）は、Microsoft Tech Summit 開催日（2016年11月1－2日）時点のものであり、予告なく変更される場合があります。
- 7. • • • 7
- 10. 10 ① 入力 ②パスワードからUserKey を生成 ③ 認証要求 (AS_REQ) ④ PreAuth検証 ⑥ TGT生成 TGS Session Key PreAuth ⑤ TGS Session Key 生成 Session Key とユーザー情報を入れ Krbtgt Key で暗号化 ⑦ 認証返答(AS_Reply) TGS Session Key TGS Session Key
- 11. 11 ① 入力 ②パスワードからUserKey を生成 ③ 認証要求 (AS_REQ) ④ PreAuth検証 ⑥ TGT生成 TGS Session Key PreAuth ⑤ TGS Session Key 生成 Session Key とユーザー情報を入れ Krbtgt Key で暗号化 ⑦ 認証返答(AS_Reply) TGS Session Key TGS Session Key
- 12. 12 ③ ST 要求 (ST_REQ) 認証要求 ⑦ 認証返答(ST) ST Session Key TGS Session Key ④ 認証要求検証 ⑥ ST生成 ⑤ ST Session Key 生成 TGS Session Key
- 13. 13 ③ ST 要求 (ST_REQ) 認証要求 ⑦ 認証返答(ST) ST Session Key TGS Session Key ④ 認証要求検証 ⑥ ST生成 ⑤ ST Session Key 生成 TGS Session Key ST Session Key
- 17. 平文パスワード (可逆暗号による保存) NT (NTLM) ハッシュ LM ハッシュ TGT,TGS Keys キャッシュ ログオン 検証用 認証方式 ダイジェスト NTLM LM ケルベロス Security Accounts Manager データベース (ローカル) - 〇 △1 - - Active Directory データベース （ドメイン) - 〇 △1 - - The Credential Manager (CredMan) ストア △2 - - - - Local Security Authority Subsystem (LSASS) プロセスメモリ △3 〇 〇 〇 - ディスク (LSA シークレット) サービスアカウント、 スケジュールタスクなど コンピュー ター アカウント - - - レジストリ (HKLM¥Security) - - - - 〇 注釈 1. Windows Vista/Windows Server 2008 以降は既定で保存されていない。グループポリシーで有効化されている場合は保存される 2. ユーザーがパスワードを保存することを選択した場合のみ 3. セキュリティアドバイザリ 2871997, あるいは Windows 8.1/ Windows Server 2012 R2 以降 は無効 17
- 19. 19
- 20. 20
- 21. • • 21
- 23. • • • • • 23
- 24. Microsoft Tech Summit 24
- 37. ③ 縦 展 開 防 止 ローカル管理者権限保護 LSASS 保護 保存資格情報を減らす つかいまわし防止 ローカル管理者 リモート ログオン禁止 リモート接続 資格情報保護 特権システムの隔離 管理者アカウントの 制限と保護 ④検出 37 ②横展開防止 イベントログ 侵入検知システム 認証基盤管理 サーバー管理 データベース・アプリ管理 ① 窃盗防止 デバイス管理 ① 資格情報の窃取防止
- 39. • • 39 対策 目的 対策の効果 対策作業量 クレデンシャル ガード • 独立した仮想領域に資格情報を隔離 • LSASS プロセスに対する正当なRPC呼び出 し以外のアクセスを不可能とすることで、 資格情報の窃盗を防ぐ 非常に高い 高
- 41. 41 Hypervisor Hardware LSASS User Mode (Ring3) Kernel Mode (Ring0) VTL 0VTL 1 Memory LSAISO Process CPU Isolated User Mode 資格情報 TPM コード整合性 (Code Integrity) ProcessProcess Windows 10 Windows Server 2016
- 43. 43
- 44. • 44 対策 目的 対策の効果 対策作業量 LSA 保護モードの 有効化 LSASS プロセスに対する悪意のあるプラグイ ンやコードの挿入を防止し、プロセスが保持し ている資格情報の窃盗を防ぐ (レジストリで有効化） 高 高
- 45. 45 対策名 目的 対策の効果 対策作業量 既定の Local Administrator の 無効化 既知のアカウントを狙った攻 撃を防ぐ 高 低 一般ユーザーをローカル管理者 グループから外す 資格情報窃取やシステムへの 攻撃を防ぐ 非常に高い 高 セキュリティ更新プログラムの 適用 ※特に特権昇格、情報漏洩、バ イパスの脆弱性 脆弱性を悪用する攻撃を防ぐ 中 中
- 46. • 攻撃の機会を減らすことで防御力を高める 46 対策名 目的 対策の効果 対策作業量 平文パスワード を保存しない LSASSメモリに平文パスワードを保存しないこと で、攻撃者の窃盗を防ぐ 中 低 LM ハッシュを 保存しない LM ハッシュは総当たり攻撃などに対して脆弱であ るため、パスワード解析のリスクを減らす 中 低 ログオフ後の資 格情報消去 ユーザーのログオフ後に LSASS メモリから消去す る 中 低 NTLMプロトコ ルを無効にする NTLM 認証を利用しないことで、NTLM ハッシュ を悪用する攻撃を防ぐ 低 高 ARSO 無効化 Windows 8.1 以降の Automatic Restart Sign-On (ARSO) による資格情報保持をしない 中 低
- 47. つかいまわし防止 ローカル管理者 リモート ログオン禁止 47 ②横展開防止 認証基盤管理 サーバー管理 データベース・アプリ管理 ① 窃盗防止 デバイス管理 ① 資格情報の窃取防止 ローカル管理者権限保護 LSASS 保護 保存資格情報を減らす
- 48. • • 48
- 49. • • 49
- 50. 50
- 51. • 51 対策名 目的 対策の効果 対策作業量 異なるローカル管理者アカウント資 格情報 ※LAPS ツール 攻撃者がドメイン内の異なる端 末へ侵入を広げる機会を減らす 高 中～高 ローカルアカウントのネットワーク 越しの操作制限、ログオン防止 ※新しい well-known SIDs の活用 遠隔地にいる攻撃者がローカル 管理者を悪用することを防ぐ 高 中
- 52. ③ 縦 展 開 防 止 つかいまわし防止 ローカル管理者 リモート ログオン禁止 リモート接続 資格情報保護 特権システムの隔離 管理者アカウントの 制限と保護 52 ②横展開防止 認証基盤管理 サーバー管理 データベース・アプリ管理 ① 窃盗防止 デバイス管理 ① 資格情報の窃取防止 ローカル管理者権限保護 LSASS 保護 保存資格情報を減らす
- 53. 53 Tier 0 認証管理 Tier 1 サーバー管理 Tier 2 端末管理 • フォレスト、ドメイン管理者 (Domain Admins, Enterprise Admins) • 証明書などの認証管理 • アプリケーション、データベース 管理 • クライアント端末、デバイス 管理
- 54. 54 Tier 0 認証管理 Tier 1 サーバー管理 Tier 2 端末管理 (Domain Admins, Enterprise Admins)
- 56. RDP 接続の認証情報保護 (Restricted Admin mode) 56 資格情報 資格情報 資格情報 資格情報 資格情報 Restricted Admin mode Restricted Admin
- 57. • • • • 57
- 58. • • 特に Tier 0 ドメイン管理権限が利用する端末 • • ネットワーク分離をする (インターネット接続との分離、DC 接続以外との分離） • ローカル管理者権限と分離する 58
- 59. • • 59
- 60. • • 60
- 61. • 61 対策 目的 対策の効果 対策作業量 組織内の権限を分離する 攻撃者がドメイン内の異なる端末へ侵 入を広げる機会を減らす 非常に高い 高 特権アカウントの保護 特にドメイン管理権限を保護 非常に高い 中 高い権限を持つ端末の要 塞化 高い権限を扱う端末を要塞化すること で攻撃者の機会を減らす 高 中～高 リモートセッション資格 情報保護 侵害にあっている端末へ接続をしてく るユーザーの資格情報を盗まれないよ うにする 高 中
- 62. ③ 縦 展 開 防 止 つかいまわし防止 ローカル管理者 リモート ログオン禁止 リモート接続 資格情報保護 特権システムの隔離 管理者アカウントの 制限と保護 ④検出 62 ②横展開防止 イベントログ 侵入検知システム 認証基盤管理 サーバー管理 データベース・アプリ管理 ① 窃盗防止 デバイス管理 ① 資格情報の窃取防止 ローカル管理者権限保護 LSASS 保護 保存資格情報を減らす (Domain Admins, Enterprise Admins)
- 63. 63 目的 場所 ID 内容 プロセス開始 システム 4688 アプリケーション実行 認証状況監視 セキュリティ 4648,4624 認証の要求 セキュリティ 4769, 4768,4776 ケルベロスチケットの要求、 検証実行 保護対象アカウントの認証 監視 Microsoft¥Windows¥Auth entication¥ProtectedUserF ailures-DomainControllers 100, 104 Protected Users で保護さ れたアカウントの許可され た認証方式以外の利用 Microsoft¥Windows¥Auth entication¥ProtectedUserF ailures-DomainControllers 101, 105, 106, 305, 306 Authentication Policy Silo で定義されたr認証方式以外 の利用 LSA プラグイン検知 Microsoft¥Windows¥Auth entication¥CodeIntegrity 3065, 3066 LSASS プロセスに承認され ていないドライバの挿入
- 64. 64 ATA デバイス、サーバー SIEM Active DirectoryActive Directory Windows Defender ATPAdvanced Threat Analytics 専用のテナント Windows Defender ATP Windows 10 管理者 管理 送信 Microsoft Threat Intelligence 活用 SIEM
- 65. • • 65
- 66. ③ 縦 展 開 防 止 リモート接続 資格情報保護 特権システムの隔離 管理者アカウントの 制限と保護 ④検出 66 ②横展開防止 イベントログ 侵入検知システム認証基盤管理 サーバー管理 データベース・アプリ管理 ① 窃盗防止 デバイス管理 ① 資格情報の窃取防止 (Domain Admins, Enterprise Admins) つかいまわし防止 ローカル管理者 リモート ログオン禁止ローカル管理者権限保護 LSASS 保護 保存資格情報を減らす (Domain Admins, Enterprise Admins)
- 67. Microsoft Tech Summit 67
- 68. 68 ぜひ対策の検討を
- 69. 69
- 70. Microsoft Tech Summit 70
- 71. ③ 縦 展 開 防 止 ローカル管理者権限保護 LSASS 保護 保存資格情報を減らす つかいまわし防止 ローカル管理者 リモート ログオン禁止 リモート接続 資格情報保護 特権システムの隔離 管理者アカウントの 制限と保護 ④検出 71 ②横展開防止 イベントログ 侵入検知システム 認証基盤管理 サーバー管理 データベース・アプリ管理 ① 窃盗防止 デバイス管理 ① 資格情報の窃取防止
- 72. 利用可能 OS Windows 10 (Enterprise）, Windows Server 2016 AD 要件 なし 機能 LSASS プロセス (Lsass.exe) から仮想的に独立した資格情報管理領域 (LSAISO.exe) にて 資格情報を管理する 効果 Windows が資格情報を保持しないため攻撃者は盗むことがそもそもできない また、LSAISO プロセスに対する正当なRPC呼び出し以外のアクセスを不可能とすることで、 攻撃の糸口を与えない 注意事項 対象は、Kerberos 認証と NTLM 認証のみ ローカルユーザーは対象外 物理 PC のみに設定可能（仮想OSは設定できない） 設定方法 [コンピューターの構成]、[管理用テンプレート]、[システム]、[Device Guard] [仮想化ベースのセキュリティを有効にする] 関連情報 Credential Guard によるドメインの派生資格情報の保護 https://technet.microsoft.com/ja-jp/library/mt483740(v=vs.85).aspx 72
- 73. 利用可能 OS Windows 8.1 , Windows Serer 2012 R2 以降 AD 要件 なし 機能 LSASS プロセス (Lsass.exe) に読み込まれるプラグインは認定された署名を必要とするこ とで、プロセスを保護する 効果 LSASS プロセスに対する悪意のあるプラグインやコードの挿入を防止し、プロセスが保持 している資格情報の窃盗を防ぐ 注意事項 LSASS プロセスへの攻撃すべてが防げるわけではない。 LSASS 以外に保持されている資格情報の保護は対象外 現在利用中のプラグインがエラーになる可能性がある • 事前に監査ログを設定し利用中のプラグインをイベントから確認する 設定方法 HKEY_LOCAL_MACHINE¥SYSTEM¥CurrentControlSet¥Control¥Lsa "RunAsPPL"=dword:00000001 関連情報 追加の LSA の保護の構成 https://msdn.microsoft.com/ja-jp/library/dn408187(v=ws.11).aspx 73
- 74. 利用可能 OS Windows 7、Windows Server 2008 R2、Windows 8、または Windows Server 2012 (セキュリティ更新プログラム 2871997 の適用) Windows 8.1, Windows Server 2012 R2 以降は既定で有効 AD 要件 なし 機能 平文パスワードでの保存を行わないようにする (ドメインアカウント, Wdigest 認証情報, Terminal Service Package (TSpkg)) 効果 平文パスワードが攻撃者に入手されるリスクを減らす 注意事項 ダイジェスト認証が利用不可となる 設定方法 既定ではWdigest は引き続き平文パスワードを保持（機能に必要なため） • セキュリティ イベント 4776, 4624 によりWdigest の利用状況を確認 • HKEY_LOCAL_MACHINE¥System¥CurrentControlSet¥Control¥SecurityProviders¥ Wdigest を 0 に設定することで保持しなくなる 関連情報 マイクロソフト セキュリティ アドバイザリ 2871997 https://technet.microsoft.com/ja-jp/library/security/2871997.aspx サポート技術情報 2871997 https://support.microsoft.com/kb/2871997 74
- 75. 利用可能 OS Windows 7, Windows 8/8.1, Windows 10 Windows Serer 2008 R2 以降 AD 要件 なし 機能 LAN Manager （LM) ハッシュを利用しない 効果 LM ハッシュは総当たり攻撃などに対して脆弱であるため、パスワード解析のリスクを減ら すことができる 注意事項 LM ハッシュを利用するレガシーアプリケーションが利用不可能となる（LM 認証) 設定方法 [コンピュータの構成]、[Windows の設定]、[セキュリティの設定]、[ローカル ポリシー] [セキュリティ オプション] [ネットワーク セキュリティ : 次のパスワードの変更で LAN マネージャのハッシュの値を保存しない] HKEY_LOCAL_MACHINE¥SYSTEM¥CurrentControlSet¥Control¥Lsa NoLMHash 関連情報 サポート技術情報 299656 https://support.microsoft.com/ja-jp/kb/299656 75
- 76. 利用可能 OS Windows 7, Windows Serer 2008 R2 以降 (セキュリティ更新プログラム 2871997 の適 用, セキュリティ更新プログラム 3126593 (MS16-014) で既定で有効 Windows 8.1, Windows Server 2012 R2 以降は既定で有効 AD 要件 なし 機能 ユーザーのログオフ後に LSASS メモリから消去する (平文パスワード、NT/LM ハッシュ, Kerberos TGT, セッションキー) 効果 ユーザーのログオフ後に行われる資格情報の窃盗を防ぐ 注意事項 LSASS メモリ以外に保存されている資格情報は機能の対象外 設定方法 HKEY_LOCAL_MACHINE¥SYSTEM¥CurrentControlSet¥Control¥Lsa¥TokenLeakDetec tDelaySecs 関連情報 マイクロソフト セキュリティ アドバイザリ 2871997 https://technet.microsoft.com/ja-jp/library/security/2871997.aspx サポート技術情報 2871997 https://support.microsoft.com/kb/2871997 76
- 77. 利用可能 OS Windows 7, WindowsWindows 8.1 , Windows Serer 2012 R2 以降 ※KB3062591 の追加インストールが必要 AD 要件 スキーマ拡張が必要 (「ms-Mcs-AdmPwd」と「ms-Mcs-AdmPwdExpirationTime」) クライアント端末オブジェクトへの書き込み権限設定が必要 機能 ドメイン クライアント端末ローカルの管理者アカウントに対して、ランダムなパスワード を設定し、Active Directory で一元管理を行うことができる 効果 同じパスワードやハッシュを悪用して、ほかの端末へ侵入を広げることを防ぐことができる 注意事項 Active Directoryの利用が必要 設定方法 HKEY_LOCAL_MACHINE¥SYSTEM¥CurrentControlSet¥Control¥Lsa "RunAsPPL"=dword:00000001 関連情報 マイクロソフト セキュリティ アドバイザリ 3062591 https://technet.microsoft.com/ja-jp/library/security/3062591.aspx マイクロソフト サポート技術情報 3062591 https://support.microsoft.com/kb/3062591 77
- 78. 利用可能 OS Windows 7 以降 Windows Serer 2008 R2 以降 AD 要件 なし 機能 ローカルアカウントに対する新しい Well-Known SID の割り当てを利用しローカルアカウ ントへの制限を実施する S-1-5-113 – ローカルアカウント S-1-5-114 –ローカルアカウント、Administrators グループに所属するアカウント 効果 グループポリシーにてローカルアカウントへの制限を行いやすくする 注意事項 LSASS メモリ以外に保存されている資格情報は機能の対象外 設定方法 [ネットワーク経由のアクセスを拒否] [リモート デスクトップ サービスを使ったログオン を拒否] にて新しい Well-known SIDを利用する 関連情報 セキュリティ識別子の技術概要 https://technet.microsoft.com/ja-jp/library/dn743661(v=ws.11).aspx 78
- 79. ③ RDP 接続の認証情報保護 (Restricted Admin mode) 利用可能 OS Windows 7 以降, Windows Serer 2008 R2 以降 (マイクロソフト セキュリティ アドバイ ザリ 2871997） Remote Desktop service (RDP Session Host) : Windows 8.1, Windows Server 2012 R2 以降 AD 要件 なし 機能 RDP 接続において、資格情報を接続先（RDP Session Host) へ渡さないようにする 効果 侵害にあっている端末へ接続をしてくるユーザーの資格情報を盗まれないようにする 注意事項 NTLM 認証、Kerberos 認証における資格情報保護 接続先の端末で管理者権限を保持している必要がある 設定方法 2973351 および 297562を適用 HKLM¥System¥CurrentControlSet¥Control¥Lsa DisableRestrictedAdmin DisableRestrictedAdminOutboundCreds 関連情報 マイクロソフト セキュリティ アドバイザリ 2871997 https://technet.microsoft.com/ja-jp/library/security/2871997.aspx サポート技術情報 2871997 https://support.microsoft.com/kb/2871997 79
- 80. ③ Protected Users グループ 利用可能 OS Windows 7 以降, Windows Serer 2008 R2 以降 AD 要件 Windows Server 2012 R2 ドメイン機能レベル (すべてのDCがWindows Server 2012R2) 機能 Protected Users セキュリティグループが利用可能 (Kerberos 認証のみ、キャッシュログオン、DES, RC4 の禁止, Delegation 禁止、チケッ ト有効期限 4 時間) 効果 より強力なセキュリティポリシーを設定するグループを設定することで、管理を容易にし高 いセキュリティを保つことができる 注意事項 常にKerberos 認証を必要とする (NTLM, キャッシュログオン不可） すでに侵害されている端末に対するログオンに対してはほかの機能を併用し保護する必要が ある 設定方法 Protected Users グローバル セキュリティ グループに管理者アカウントを追加する 関連情報 Protected Users セキュリティ グループ https://technet.microsoft.com/ja-jp/library/dn466518(v=ws.11).aspx 80
- 81. 利用可能 OS Windows 8.1 / Windows Server 2012 R2 以降 AD 要件 Windows Server 2012 R2 ドメイン機能レベル (すべてのDCがWindows Server 2012R2) 機能 より強力なKerberos 認証ポリシーを行う 効果 より強力なセキュリティポリシー適用することで高い管理者権限を持つユーザーを保護し管 理しやすくする 注意事項 Kerberos 認証を必要とする (NTLMは対象外） ドメイン全体の認証に影響するためDC へのポリシー適用を避ける必要がある 設定方法 ポリシーを定義し、対象のユーザー、コンピューター、サービスアカウントへ適用する 関連情報 認証ポリシーと認証ポリシー サイロ https://technet.microsoft.com/ja-jp/library/dn486813(v=ws.11).aspx 81
- 82. 82 © 2016 Microsoft Corporation. All rights reserved. Microsoft, Windows, Windows Vista and other product names are or may be registered trademarks and/or trademarks in the U.S. and/or other countries. The information herein is for informational purposes only and represents the current view of Microsoft Corporation as of the date of this presentation. Because Microsoft must respond to changing market conditions, it should not be interpreted to be a commitment on the part of Microsoft, and Microsoft cannot guarantee the accuracy of any information provided after the date of this presentation. MICROSOFT MAKES NO WARRANTIES, EXPRESS, IMPLIED OR STATUTORY, AS TO THE INFORMATION IN THIS PRESENTATION.