ACLight

特権アカウントの高度な発見のためのツール - シャドウアドミンを含む。
ACLight2はこのツールの改良版です。

シャドウアドミン研究

このツール（バージョン1）は「シャドウアドミン」研究の一部として公開されました - 「シャドウアドミン」の詳細はブログ記事をご覧ください: https://www.cyberark.com/threat-research-blog/shadow-admins-stealthy-accounts-fear

この研究はロンドンのInfoSecurityカンファレンスでも発表されました: プレゼンテーションリンク

概要

ACLightは、高度なACL分析（オブジェクトのACL - アクセスリスト、別名DACL\ACEs）を通じて特権アカウントを発見するツールです。
スキャンしたネットワーク内のシャドウアドミンの発見を含みます。

このツールはActive Directory（AD）に対してオブジェクトのACLをクエリし、それぞれの機密権限をフィルタリングおよび分析します。 結果は、ネットワーク内で最も特権のあるアカウントのリストです（ADの高度なACLの観点から）。 スキャンは通常のユーザーであれば誰でも実行できます。非特権ユーザーでも可能です。なぜなら、ADに対して正当な読み取り専用のLDAPクエリのみを実行するからです。

実行して結果を確認するだけです。

ツールが発見したすべての特権アカウントを注意深く管理する必要があります。
特に、シャドウアドミンに注意してください。これらは、既知の特権グループのメンバーシップの一部として権限を取得するのではなく、直接的な機密ACLの割り当てを持つアカウントです。

クラウド環境をスキャンし、AWSとAzureで最も特権のあるエンティティを発見するには、新しいオープンソースツール - SkyArk をチェックしてください:
https://github.com/cyberark/SkyArk

ACLight2

これはACLight2 - ACLightスキャンの新しいバージョンです。はるかに高速で、新しいスキャンアーキテクチャを採用し、より良い結果をもたらします。
以前のバージョンのスケーラビリティとパフォーマンスの問題を解決しています。

さらに、ACLight2は再帰的スキャンに基づいて構築されており、多層的な特権アカウント分析を提供します。
最初のステップとして、スキャンは特権アカウントの第一層を構築することから始まります。これらはドメインの機密オブジェクトに対して直接的な権限を持つアカウントです。次に、第二ステップとして、ツールはレイヤー1で新たに発見された特権アカウントのACLをスキャンし続け、第一層のアカウントに対する権限を持つ新しい特権アカウントの任意の第二層を構築します。この第二ステップは再帰的であり、ツールはすべての特権アカウントチェーンが列挙されるまで、さらに多くの任意の特権アカウント層をスキャンし続けます。

使用方法:

オプション 1:

• "Execute-ACLight.bat" をダブルクリック。

オプション 2:

• PowerShellを開く（-ExecutionPolicy Bypass付き）
• 「ACLight2」のメインフォルダに移動
• “Import-Module '.\ACLight2.psm1'”
• “Start-ACLsAnalysis”

対象ドメインの選択:
デフォルトでは、ACLightはスキャンしたネットワークフォレストのすべてのドメインを自動的にスキャンします。特定のドメインのみをスキャンしたい場合は、「Domain」パラメータを使用できます:

• Start-ACLsAnalysis -domain "DomainName.com"

ACLight2 デモ:

結果ファイルの読み方:

1. まず、スキャンのエグゼクティブサマリー「Privileged Accounts - Layers Analysis.txt」を確認してください。これは、スキャンしたネットワークで発見された最も特権のあるアカウントの重要でわかりやすいリストです。
2. 「Privileged Accounts Permissions - Final Report.csv」 - これは最終サマリーレポートです。このファイルには、各アカウントが持つ正確な機密権限が記載されています。
3. 「Privileged Accounts Permissions - Irregular Accounts.csv」は、最終レポートと似ていますが、グループメンバーシップではなく、直接ACL権限が割り当てられた特権アカウントのみが含まれています。

参考文献:

このツールは、Will Schroeder（@harmj0y）によるオープンソースプロジェクトPowerViewの関数を使用しています - 素晴らしいプロジェクトです。

さらなるコメントや質問については、Asaf Hecht（@Hechtov）およびCyberArk Labsまでお問い合わせください。