サイバーセキュリティの話 Ver.20210904

by Fire

Slide 1

Slide 1 text

サイバーセキュリティの話 Ver.20210904 ふぁいあー（@fire_fire_2）合同勉強会 in 大都会岡山 -2021 Summer Online-

Slide 2

Slide 2 text

アジェンダ • サイバーセキュリティーについて • セキュリティ企業について • 本日の主題 • ペネトレーションテストについて • Active Directory環境へのペネトレーションテスト • ドメイン管理者権限を取得するには • まとめ 2

Slide 3

Slide 3 text

3 復習サイバーセキュリティーってなあに？

Slide 4

Slide 4 text

最近の脆弱性紹介（CVE-2020-1472） • 通称：Zerologon • ActiveDirectlyのDomainContlollerとして利用中のサーバを標的に、とあるアカウントのパスワードの無効化が可能 4 全アカウントのパスワードハッシュが奪取可能奪取したハッシュの悪用で管理者権限でログオン可能 2020年の

Slide 5

Slide 5 text

• 通称：Zerologon • ActiveDirectlyのDomainContlollerとして利用中のサーバを標的に、とあるアカウントのパスワードの無効化が可能 5 全アカウントのパスワードハッシュが奪取可能奪取したハッシュの悪用で管理者権限でログオン可能こんな強烈な脆弱性どうやって対処すればいいんだ・・・。最近の脆弱性紹介（CVE-2020-1472） 2020年の

Slide 6

Slide 6 text

• 通称：Zerologon • ActiveDirectlyのDomainContlollerとして利用中のサーバを標的に、とあるアカウントのパスワードの無効化が可能 6 全アカウントのパスワードハッシュが奪取可能奪取したハッシュの悪用で管理者権限でログオン可能こんな強烈な脆弱性どうやって対処すればいいんだ・・・。 →それを考え備えるのがサイバーセキュリティです。最近の脆弱性紹介（CVE-2020-1472） 2020年の

Slide 7

Slide 7 text

最近の脆弱性紹介（CVE-2021-34527など） • 通称：PrintNightmare • プリントスプーラの脆弱性 • SYSTEM権限（Windowsの最上位特権）でリモートからコード実行が可能 • ただし、攻撃には一般ユーザ権限のアカウントをすでに掌握済みである必要性 • 検証動画 • https://www.youtube.com/watch?v=zL2BXW0giBc • PoC • https://github.com/cube0x0/CVE-2021-1675 • 対策 • パッチを当てましょう • 必要でないサービスは無効にしましょう • https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-34527 7 ちなみに

Slide 8

Slide 8 text

ブルーチーム • 防御の観点から組織の弱点を無くしていく。 • 攻撃にあったときの対応はどうか • 監視体制に問題がないか • そもそも攻撃に強くなるにはレッドチーム • 攻撃の観点から組織の弱点を発見していく。 • 攻撃により侵入可能か • パブリック領域に秘密情報がないか • 攻撃でどこまで侵害を拡大できるか 8 組織のサイバーセキュリティーとは

Slide 9

Slide 9 text

ブルーチーム • 防御の観点から組織の弱点を無くしていく。 • インシデントレスポンス • 監視 • 堅牢化（アップデートなど）レッドチーム • 攻撃の観点から組織の弱点を発見していく。 • 脆弱性診断 • ペネトレーションテスト • レッドチーム演習 9 組織のサイバーセキュリティーとは

Slide 10

Slide 10 text

セキュリティ企業について • やっていること • SOC（Security Operation Center） • インシデントレスポンス、フォレンジック • 脆弱性診断 • ペネトレーションテスト • その他、などなど。 10 レッドチームぽいブルーチームぽい

Slide 11

Slide 11 text

セキュリティ企業について • やっていること • SOC（Security Operation Center） • インシデントレスポンス、フォレンジック • 脆弱性診断 • ペネトレーションテスト • その他、などなど。 11 ブルーチームぽいレッドチームぽい

Slide 12

Slide 12 text

脆弱性分析 • フォレンジックで必要な分析事項 • 攻撃によって何がどこまでどれぐらいできるのか。 • イベントログには何か記録されるのか。 • レジストリは書き換えられるのか。 • PoCや攻撃ツールによりログの記録内容に違いがあるのか。 • 既存のアンチウイルスやEDR製品で検知できるのか。などなど。。。 12

Slide 13

Slide 13 text

13 今日の話題

Slide 14

Slide 14 text

セキュリティ企業について • やっていること • SOC（Security Operation Center） • インシデントレスポンス、フォレンジック • 脆弱性診断 • ペネトレーションテスト • その他、などなど。 14 ブルーチームぽいレッドチームぽい

Slide 15

Slide 15 text

ペネトレーションテストとは。 • Penetration Testing、ペネトレ • Penetrate • 主な意味 • (…に)突き刺さる、(…を)貫く、突き進む、(…を)通す、通る、(…に)入り込む、(…を)見通す、見抜く、洞察する、理解する • 入り込むテスト＝侵入テスト 15

Slide 16

Slide 16 text

ペネトレーションテストとは。 • Penetration Testing、ペネトレ • Penetrate • 主な意味 • (…に)突き刺さる、(…を)貫く、突き進む、(…を)通す、通る、(…に)入り込む、(…を)見通す、見抜く、洞察する、理解する • 入り込むテスト＝侵入テスト • 対象 • 万物 • 情報システム、IoTデバイス、スマホアプリなど、すべてのものが対象 16

Slide 17

Slide 17 text

情報システムに対するペネトレ • 公開サーバへのペネトレ（Webサーバなど） • 空いているポートで使用しているサービスの脆弱性を悪用して侵入 • Webアプリの脆弱性、弱い認証情報、など • 企業のOAネットワークへのペネトレ（Active Directory環境など） • メールやWebページの閲覧によりクライアント端末がマルウェアに感染したことによる侵入（前提） • いわゆるAPT攻撃（持続的標的型攻撃）を想定した侵入テスト • ターゲット • 特権アカウント、ドメインコントローラ、機密情報（顧客情報や技術情報など） 17

Slide 18

Slide 18 text

Slide 19

Slide 19 text

Active Directoryとは（イメージ） 19 ドメイン Active Directoryサーバ（ドメインコントローラ）端末をドメインに参加メリット一元管理可能 • コンピュータ端末の設定 • ユーザアカウント • 権限ユーザアカウント • Domain Admins（特権） • Domain Users よく使うのはこの2つ。

Slide 20

Slide 20 text

Active Directoryとは（イメージ） 20 ドメイン Active Directoryサーバ（ドメインコントローラ）端末をドメインに参加メリット一元管理可能 • コンピュータ端末の設定 • ユーザアカウント • 権限ユーザアカウント • Domain Admins（特権） • Domain Users よく使うのはこの2つ。

Slide 21

Slide 21 text

AD環境ペネトレのながれ 21 ドメインA C2サーバ（遠隔操作用サーバ）

Slide 22

Slide 22 text

AD環境ペネトレのながれ 22 ドメインA C2サーバ（遠隔操作用サーバ） ①C2サーバと通信を確立させる

Slide 23

Slide 23 text

AD環境ペネトレのながれ 23 ドメインA C2サーバ（遠隔操作用サーバ） ①C2サーバと通信を確立させる ②侵入したコンピュータ自体の管理者権限を窃取する

Slide 24

Slide 24 text

AD環境ペネトレのながれ 24 ドメインA C2サーバ（遠隔操作用サーバ） ①C2サーバと通信を確立させる ②侵入したコンピュータ自体の管理者権限を窃取する ③他のコンピュータに侵入する

Slide 25

Slide 25 text

AD環境ペネトレのながれ 25 ドメインA C2サーバ（遠隔操作用サーバ） ①C2サーバと通信を確立させる ②侵入したコンピュータ自体の管理者権限を窃取する ③他のコンピュータに侵入する ④ドメイン管理者権限（Domain Admins）を窃取して、ドメインコントローラに侵入する

Slide 26

Slide 26 text

AD環境ペネトレのながれ 26 ドメインA C2サーバ（遠隔操作用サーバ） ①C2サーバと通信を確立させる ②侵入したコンピュータ自体の管理者権限を窃取する ③他のコンピュータに侵入する ⑤ファイルサーバなどから機密情報を窃取する ④ドメイン管理者権限（Domain Admins）を窃取して、ドメインコントローラに侵入する

Slide 27

Slide 27 text

AD環境ペネトレのながれ 27 ドメインA C2サーバ（遠隔操作用サーバ） ①C2サーバと通信を確立させる ②侵入したコンピュータ自体の管理者権限を窃取する ③他のコンピュータに侵入する ⑤ファイルサーバなどから機密情報を窃取するドメインB ④ドメイン管理者権限（Domain Admins）を窃取して、ドメインコントローラに侵入する ⑥ネットワーク（ドメイン）を横断して、他のドメインに所属するコンピュータを探索する

Slide 28

Slide 28 text

AD環境ペネトレのながれ 28 ドメインA C2サーバ（遠隔操作用サーバ） ①C2サーバと通信を確立させる ②侵入したコンピュータ自体の管理者権限を窃取する ③他のコンピュータに侵入する ⑤ファイルサーバなどから機密情報を窃取するドメインB ④ドメイン管理者権限（Domain Admins）を窃取して、ドメインコントローラに侵入する ⑥ネットワーク（ドメイン）を横断して、他のドメインに所属するコンピュータを探索するドメイン管理者権限を窃取される影響はかなり大きい

Slide 29

Slide 29 text

AD環境ペネトレのながれ 29 ドメインA C2サーバ（遠隔操作用サーバ） ①C2サーバと通信を確立させる ②侵入したコンピュータ自体の管理者権限を窃取する ③他のコンピュータに侵入する ⑤ファイルサーバなどから機密情報を窃取するドメインB ④ドメイン管理者権限（Domain Admins）を窃取して、ドメインコントローラに侵入する ⑥ネットワーク（ドメイン）を横断して、他のドメインに所属するコンピュータを探索するドメイン管理者権限を窃取される影響はかなり大きい

Slide 30

Slide 30 text

よくあるドメイン管理者の窃取方法 • もちろんソフトウェアの脆弱性があれば、悪用して取得可能、ただしあまり使わない 30 https://www.secureworks.jp/resources/at-example-of-active-directory-strategy-in-red-team-service

Slide 31

Slide 31 text

よくあるドメイン管理者の窃取方法 • もちろんソフトウェアの脆弱性があれば、悪用して取得可能、ただしあまり使わない • 単純なドメイン管理者パスワード • 端末初期設定用のバッチに管理者パスワードが記載されている • パスワード.txt • Kerberoasting • ドメイン管理者の利用する端末が侵害される 31 https://www.secureworks.jp/resources/at-example-of-active-directory-strategy-in-red-team-service

Slide 32

Slide 32 text

よくあるドメイン管理者の窃取方法 • もちろんソフトウェアの脆弱性があれば、悪用して取得可能、ただしあまり使わない • 単純なドメイン管理者パスワード • 端末初期設定用のバッチに管理者パスワードが記載されている • パスワード.txt • Kerberoasting • ドメイン管理者の利用する端末が侵害される ➢ほとんど9割ぐらいが、運用不備からドメイン管理者権限を窃取可能 32 https://www.secureworks.jp/resources/at-example-of-active-directory-strategy-in-red-team-service

Slide 33

Slide 33 text

攻撃耐性のある情報システムにするには 33 ドメインA C2サーバ（遠隔操作用サーバ） ①C2サーバと通信を確立させる ②侵入したコンピュータ自体の管理者権限を窃取する ③他のコンピュータに侵入する ⑤ファイルサーバなどから機密情報を窃取するドメインB ④ドメイン管理者権限（Domain Admins）を窃取して、ドメインコントローラに侵入する ⑥ネットワーク（ドメイン）を横断して、他のドメインに所属するコンピュータを探索する目的達成までには4つ以上の段階を踏む必要があるそれぞれの段階で攻撃をいかに失敗させるかが重要 →多層防御

Slide 34

Slide 34 text

まとめ • ブルーチーム（防御目線）、レッドチーム（攻撃目線）のハッカーが組織の情報資産の安全を守っている • インシデントは起こるもの。如何に備えるかが大事。 • ソフトウェアの脆弱性を塞いでも、人の脆弱性（運用の不備など）は塞がらないこと。 34

Slide 35

Slide 35 text

ブルーチーム • 防御の観点から組織の弱点を無くしていく。 • インシデントレスポンス • 監視 • 堅牢化（アップデートなど）レッドチーム • 攻撃の観点から組織の弱点を発見していく。 • 脆弱性診断 • ペネトレーションテスト • レッドチーム 35 おまけ脅威ベースのペネトレーションテスト（TLPT) パープルチーム：組織の危機対応力の総合的な「評価」と「分析」

Slide 36

Slide 36 text

Thank you. Any Questions? ※この講演における発言及び資料の内容は、個人の見解を含んでいます。それらは、所属する企業や団体を代表するものではありません。 36