Misconfiguration Manager

MM-cropped

修復クイックスタート

既知および文書化された攻撃テクニックのリストと、対応する防御テクニックを確認し、自環境に存在する可能性のある問題とその修復方法を特定する
- このプロジェクトの紹介を参照
ConfigManBearPigを実行し、結果をBloodHoundで無料で可視化する
- このウォークスルーを参照
あるいは、MisconfigurationManager.ps1を実行する
- このウォークスルーを参照
特定された設定不備に対する緩和策を実装する
- このウォークスルー（またはこの録画（スライド））を参照

概要

このリポジトリは、Microsoft Configuration Manager（別名 MCM、ConfigMgr、System Center Configuration Manager、または SCCM）に関するすべての既知のトレードクラフトと、関連する防御および堅牢化のガイダンスのための中央ナレッジベースとして機能します。私たちの目標は、SCCMトレードクラフトの謎を解き明かし、防御側にとってSCCM攻撃パスの管理を簡素化すると同時に、攻撃側のセキュリティ専門家に対してこの曖昧な攻撃対象領域について教育することです。ホワイトペーパーの静的な性質を超えることを目指し、この生きたリポジトリは既知のSCCM設定不備とその悪用を文書化し、その関連性と有用性を高めるためのコミュニティからの継続的な貢献を奨励しています。

私たちは、急速に進化するSCCMの脅威情勢に対する認識を高めるためにこのリポジトリをキュレーションしました。MITRE ATT&CKフレームワークから着想を得ていますが、いくつかの逸脱があります。また、Push SecurityのSaaS攻撃テクニックマトリックスや、Will SchroederとLee Chagolla-ChristensenによるCertified Pre-Ownedホワイトペーパーからも強い影響を受けています。

私たちのアプローチは、既知の敵対者の戦術をカタログ化することを超え、ペネトレーションテスト、レッドチームオペレーション、およびセキュリティ研究の領域からの貢献を含んでいます。SpecterOpsでは、このリポジトリで取り上げられている多くの設定不備を実環境で活用してきましたが、その他はラボ環境で実証された実験的および探索的な研究プロジェクトを表しています。

このプロジェクトはまた、私たちが把握しているすべてのSCCM攻撃および防御リソースの中央参照ポイントとしても機能します。

私たちは、実証済みおよび探索的なSCCMに焦点を当てた攻撃テクニックと防御戦略、およびリソースをこのプロジェクトに提出すること、ならびにこのリポジトリの内容に関するフィードバックや推奨事項を提供することを歓迎します。

プロジェクトの詳細な紹介については、私たちのブログおよびカンファレンス講演を参照してください：

このプロジェクトの使用方法

以下に示すSCCM攻撃マトリックスとSCCM攻撃・防御マトリックスを参照してください。これらは攻撃テクニックをMITRE ATT&CKフレームワークの戦術、およびその検知・防止戦略にマッピングしています。

攻撃側のセキュリティ実務者は、既知および文書化された攻撃テクニックのリストを確認することも有益です。これは各テクニックに必要なセキュリティコンテキストとネットワークアクセスを特定しています。

防御側およびIT管理者は、既知および文書化された防御テクニックのリストを確認することが有益です。これは各項目の実装に最も関与する可能性が高いと私たちが考える管理者ロールを特定しています。

特定の、主にデフォルトの条件下で階層がどのように完全に侵害され得るかに興味がありますか？TAKEOVERテクニックのリストを確認してください。

テクニックの説明で使用されている用語に馴染みがない場合は、SCCMで一般的に使用される用語の定義を含む用語集ページを参照してください。

これらのテクニックをラボ環境でテストしたい場合、またはSCCMの攻撃と防御についてさらに学びたい場合は、リソースページを参照してください。これには、私たちが把握しているすべてのSCCMラボおよび攻撃・防御リソースへのリンクが含まれており、その多くがこのリポジトリの情報に着想を与え、情報を提供しました。

このリポジトリに含まれる多くの設定不備を監査するスクリプトを含めています。スクリプトとその使用方法の詳細については、私たちのブログ記事を参照してください。

私たちが見落としているものがある場合、または先行研究のクレジットが欠けている場合は、私たちに連絡するかプルリクエストを提出してください。喜んで更新します。

SCCM攻撃マトリックス| Initial Access | Execution | Persistence | Privilege Escalation | Defense Evasion | Credential Access | Discovery | Lateral Movement | Collection | Command and Control | Exfiltration |

SCCM 攻撃と防御のマトリクス

SCCM 攻撃と防御のマトリクスは、全幅表示用およびマッピングに関する信頼できる唯一の情報源として、CSV ファイルとして維持されています。マトリックスの最終更新日: 2026-02-09

	CRED‑1	CRED‑2	CRED‑3	CRED‑4	CRED‑5	CRED‑6	CRED‑7	CRED‑8	ELEVATE‑1	ELEVATE‑2	ELEVATE‑3	ELEVATE‑4	ELEVATE‑5	EXEC‑1	EXEC‑2	RECON‑1	RECON‑2	RECON‑3	RECON‑4	RECON‑5	RECON‑6	RECON‑7	TAKEOVER‑1	TAKEOVER‑2	TAKEOVER‑3	TAKEOVER‑4	TAKEOVER‑5	TAKEOVER‑6	TAKEOVER‑7	TAKEOVER‑8	TAKEOVER‑9
CANARY‑1	X	X	X	X	X
DETECT‑1								X	X	X	X												X	X	X	X	X	X	X	X
DETECT‑2																X
DETECT‑3									X	X	X
DETECT‑4														X
DETECT‑5																			X	X			X	X		X	X	X	X
DETECT‑6																			X	X	X	X	X	X		X	X	X	X
DETECT‑7	X											X	X
DETECT‑8	X																				X
DETECT‑9																						X
PREVENT‑1										X	X
PREVENT‑2										X	X
PREVENT‑3	X	X	X	X	X
PREVENT‑4		X	X	X
PREVENT‑5										X	X
PREVENT‑6	X											X	X
PREVENT‑7	X
PREVENT‑8		X								X
PREVENT‑9														X	X				X	X							X
PREVENT‑10	X	X	X	X	X	X	X	X
PREVENT‑11										X															X					X
PREVENT‑12									X	X	X													X		X		X	X
PREVENT‑13																														X
PREVENT‑14								X															X		X
PREVENT‑15				X
PREVENT‑16		X																												X
PREVENT‑17	X	X	X	X	X
PREVENT‑18					X
PREVENT‑19					X																										X
PREVENT‑20					X	X	X	X	X	X				X	X		X	X	X	X	X		X	X	X	X	X	X	X	X
PREVENT‑21	X											X
PREVENT‑22					X

タクソノミー概要

リリース時点において、TAKEOVER-1 から TAKEOVER-9 は、システムのデフォルト設定および当社の SCCM 階層テスト経験に基づき、可能性の高い順に並べられていると当社は考えています。今後の追加はリリース日順に従います。

TAKEOVER を除き、これらのテクニックは特定の順序で番号付けされていません。番号の大小は、その項目の重要性、可能性、または優先順位に関する当社の見解を表すものではありません。

攻撃テクニック

CRED

CRED の名称で分類されるテクニックは、主に資格情報アクセスを悪用します。CRED テクニックは当社が確認した中で最も一般的であり、しばしば階層の直接的な乗っ取りやドメインの侵害につながります。

ELEVATE

ELEVATE の名称で分類されるテクニックは、ローカルまたはドメインの特権昇格に使用できます。場合によっては、これらを他のテクニックと連鎖させて階層乗っ取りのプリミティブとすることができます。

EXEC

EXEC の名称で分類されるテクニックは、SCCM の組み込み機能を通じてリモートターゲット上でコマンド、スクリプト、コードなどを実行するために使用できます。

RECON

RECON の名称で分類されるテクニックは、SCCM インフラストラクチャに対する偵察の実行、または SCCM を使用したさらなる偵察の実施に関連します。

TAKEOVER

TAKEOVER の名称で分類されるテクニックは、SCCM 階層を侵害するために必要なさまざまな手順を説明します。

COERCE

COERCE の名称で分類されるテクニックは、SCCM アカウント（システムまたはユーザー）から NTLM 認証を強制するさまざまな方法を説明します。

防御テクニック

CANARY

CANARY の名称で分類される防御戦略は、高精度の検知をトリガーすることで敵対者を欺くために使用できる欺瞞戦略を説明します。

DETECT

DETECT の名称で分類される防御戦略は、攻撃テクニックを検知するための戦略を説明します。場合によっては、より強力な検知のために複数の DETECT 戦略が必要となることがあります。

PREVENT

PREVENT の名称で分類される防御戦略は、攻撃テクニックの1つ以上の側面を緩和するための構成変更を説明します。場合によっては、攻撃テクニックを完全に緩和するために複数の PREVENT 戦略が必要となることがあります。

注記: 本番環境で構成する前に、あらゆる変更について適切かつ徹底的なテストを強く推奨します。本リポジトリの著者および貢献者は、いかなる破壊的変更についても責任を負いません。自己責任でガイドとして使用してください。

貢献者

Duane Michael、Chris Thompson、および Garrett Foster が本プロジェクトの主な著者であり、以下の方々から貢献を受けています:

ご質問がある場合や貢献にご興味がある場合は、Twitter でお問い合わせいただくか、BloodHoundGang Slack の #sccm チャンネルにご参加ください！

Misconfiguration-Manager — Updated!

カテゴリ