AD_Miner

AD Miner は、Active Directory（オンプレミスおよび Entra ID）の監査ツールです。

• BloodHound グラフデータベース（Neo4j）のデータを分析するために Cypher クエリ を活用します。
• 静的な Web ベースのレポートを通じて、既存の脆弱性の包括的な概要を提供します。

Web ベースのレポートの特長:

• 特定された脆弱性の 詳細リスト
• 視覚的分析のための 動的グラフ
• 経時的な変化を追跡する 過去の主要指標
• 脅威とアクションの優先順位付けのための リスク評価

レポートの概要

Active Directory リスクに対する包括的な緩和パス

Active Directory の脆弱性のリスクベースの評価と、包括的な緩和パス。

動的 Web インターフェース

最もリスクの高い設定ミスを特定するために慎重に調整された検索バーとコントロール。

進化するインターフェースによる進捗監視

時間の経過に伴う指標を観察し、緩和効率の測定に役立てることもできます。

AD Miner は Forvis Mazars によって当初作成され、Grant Thornton Cybersecurity Audit & Advisory Team によって保守されています。

前提条件

AD Miner を実行するには、Active Directory オブジェクトを含む neo4j データベースが必要です。

1. ドメインからデータを抽出するには、SharpHound、RustHound-CE、BloodHound.py などのツール、および EntraID 環境の場合は AzureHound を使用できます。

[!CAUTION] BloodHound Automation の使用を強く推奨します。これにより、Graph Data Science Neo4j プラグインがインストールされ、以下の効果があります。

• 計算時間と全体的なパフォーマンスが大幅に向上します。
• 組み込みの Neo4j shortestPath() の代わりに Smartest Path を使用できるようになります（つまり、ノードホップ数が最小のパスではなく、より悪用しやすいパス）。

2. BloodHound 環境（GUI と Neo4j データベースを含む）をセットアップするには、BloodHound Automation が Graph Data Science プラグインとのシームレスな統合のため強く推奨されます。デフォルトの BloodHound CE インストールを使用しても問題はありませんが、GDS の利点（よりスマートな経路探索、実行速度の向上など）を逃すことになります。

3. デフォルトでは、BloodHound はポート 7687 でアクセス可能な neo4j ベースを作成します。

インストールとセットアップ

最も簡単な方法は、pipx を使用して以下のコマンドを実行することです。

pipx install 'git+https://github.com/AD-Security/AD_Miner.git'

ADMiner は一部の Linux ディストリビューションでも利用できます。

• BlackArch: pacman -S ad-miner
• NixOS: nix-env -iA nixos.ad-miner

Docker イメージをビルドして使用できます。以下のコマンドでイメージをビルドします。

docker build -t ad-miner .

Windows で BloodHound Community Edition のデータを使用して実行するには、以下のコマンドを使用します。

docker run -v ${PWD}:/tmp ad-miner AD-miner -b bolt://host.docker.internal:7687 -u neo4j -p mypassword -cf YOUR_PREFIX

Linux で BloodHound Community Edition のデータを使用して実行するには、以下のコマンドを使用します。

docker run -v ${PWD}:/tmp --network host ad-miner AD-miner -b bolt://localhost:7687 -u neo4j -p mypassword -cf YOUR_PREFIX

-v でボリュームをマウントすることが、データの出力を取得するために重要です。これは、BHCE サーバーがデフォルト設定で Docker ホスト上で実行されていることを前提としています。

使用方法

ツールを実行します。

AD-miner [-h] [-b BOLT] [-u USERNAME] [-p PASSWORD] [-e EXTRACT_DATE] [-r RENEWAL_PASSWORD] [-a] [-c] [-l LEVEL] -cf CACHE_PREFIX [-ch NB_CHUNKS] [-co NB_CORES] [--rdp] [--evolution EVOLUTION] [--cluster CLUSTER]

例:

AD-miner -cf My_Report -u neo4j -p mypassword

各 Neo4j リクエストの完了時にキャッシュファイルが生成されます。この機能により、処理中いつでも AD Miner を一時停止または停止しても、以前に計算された結果が失われることはありません。キャッシュを利用するには、-c パラメータを使用します。キャッシュファイルは、現在のリポジトリの cache_neo4j フォルダに保存されます。キャッシュを使用するには、レポート名がキャッシュファイル名のプレフィックスと一致している必要があります。

AD-miner -c -cf My_Report -u neo4j -p mypassword

大規模なデータセットをより適切に処理するために、マルチスレッドを有効にしたり、以下の例のように neo4j データベースのクラスタを使用したりすることもできます（server1 が 32 スレッド、server2 が 16 スレッドを処理します）。

AD-miner -c -cf My_Report -b bolt://server1:7687 -u neo4j -p mypassword  --cluster server1:7687:32,server2:7687:16

パスワード更新ポリシーが判明している場合は、-r パラメータを使用して指定することで、パスワード更新コントロールが環境の設定に準拠するようにできます（デフォルトは 90 日）。たとえば、パスワードポリシーが 180 日に設定されている場合は、次のように使用します。

AD-miner -c -cf My_Report -b bolt://server:7687 -u neo4j -p mypassword -r 180

[!TIP] Bloodhound CE neo4j データベースのデフォルトパスワードは bloodhoundcommunityedition です。BloodHound Automation を使用する場合は neo5j です。

オプション:

  -h, --help            このヘルプメッセージを表示して終了
  -b BOLT, --bolt BOLT  Neo4j bolt 接続 (デフォルト: bolt://127.0.0.1:7687)
  -u USERNAME, --username USERNAME
                        Neo4j ユーザー名 (デフォルト: neo4j)
  -p PASSWORD, --password PASSWORD
                        Neo4j パスワード (デフォルト: bloodhoundcommunityedition)
  -e EXTRACT_DATE, --extract_date EXTRACT_DATE
                        抽出日 (例: 20220131)。デフォルト: 最終ログオン日
  -r RENEWAL_PASSWORD, --renewal_password RENEWAL_PASSWORD
                        パスワード更新ポリシー (日数)。デフォルト: 90
  -c, --cache           ローカルファイルを neo4j データに使用
  -l LEVEL, --level LEVEL
                        パスクエリの再帰レベル
  -cf CACHE_PREFIX, --cache_prefix CACHE_PREFIX
                        使用するキャッシュファイル (複数の会社キャッシュファイルがある場合)
  --gpo_low             GPO に対してより高速だが不完全なクエリを実行 (通常のクエリより高速)
  -ch NB_CHUNKS, --nb_chunks NB_CHUNKS
                        並列 neo4j リクエストのチャンク数。デフォルト: CPU 数 * 20
  -co NB_CORES, --nb_cores NB_CORES
                        並列 neo4j リクエストのコア数。デフォルト: CPU 数
  --rdp                 CanRDP エッジをグラフに含める
  --evolution EVOLUTION
                        経時的な進化: json データファイルの場所。例: '../../tests/'
  --cluster CLUSTER     並列 neo4j クエリを実行するクラスタのノード。例: host1:port1:nCore1,host2:port2:nCore2,...

グラフページでは、グラフノードを右クリックしてクラスタ化したり、クラスタを開いたりできます。

進化

複数の AD-Miner レポートを時間経過に沿って持っている場合、--evolution 引数を使用して進化を簡単に追跡できます。各 AD-Miner レポートは、index.html ファイルとともに JSON データファイルを生成します。これらの異なる JSON ファイルを 1 つのフォルダに集め、--evolution 引数の後にそのフォルダへのパスを指定するだけです。

AD-miner -c -cf My_Report -b bolt://server:7687 -u neo4j -p mypassword -r 180 --evolution evolution_folder/

メインページに「経時的な進化」タブが表示され、各カテゴリ（権限、パスワード、Kerberos、その他）の進化グラフが提供されます。

各コントロールの詳細な進化も利用でき、各カテゴリの「進化を表示」ボタンからアクセスできます。対数スケールも利用可能で、時間の経過に伴う微妙な変化をより強調できます。

Smartest パス

AD Miner は、実際の悪用可能性に基づいてパスを計算できます。実際、最短パスが悪用しにくい場合があります（ここでは HasSession の前の ExecuteDCOM のため）。

一方、より長くてもより単純なパスが存在する場合があります（ここでは ExecuteDCOM の代わりに MemberOf と AdminTo）。

AD Miner は、neo4j データベースに Graph Data Science プラグインがインストールされている場合、自動的に smartest path モードに切り替わります (https://neo4j.com/docs/graph-data-science/current/)。 このプラグインをインストールする最も簡単な方法は、neo4j docker に環境変数を定義することです: NEO4J_PLUGINS=["graph-data-science"] (BloodHound Automation ではデフォルトでインストールされています)。

現在、10 のコントロールが完全なグラフカバレッジを利用し、分析のために smartest パスを最適化しています。

実装済みコントロール

以下は、AD Miner に既に実装されているコントロールのリストです。

オンプレミス用コントロール

Entra ID 用コントロール

コントリビューション

コントリビューション方法については、こちらを確認してください。