Ketshash

イベントビューアのログに基づいて、不審な特権NTLM接続、特にPass-The-Hash攻撃を検出する小さなツール。

このツールは「Pass-The-Hash検出」研究の一環として公開されました。「Pass-The-Hash検出」の詳細については、ブログ記事をご覧ください： https://www.cyberark.com/threat-research-blog/detecting-pass-the-hash-with-windows-event-viewer

完全な研究はホワイトペーパーに記載されています： https://www.cyberark.com/resource/pass-hash-detection-using-windows-events/ （直接リンク：http://lp.cyberark.com/rs/cyberarksoftware/images/wp-Labs-Pass-the-hash-research-01312018.pdf）

デモ

必要条件

以下の権限を持つアカウント：

• リモートマシンのセキュリティイベントログへのアクセス
• ActiveDirectoryの読み取り権限（標準ドメインアカウント）
• 同じ時刻に同期されたコンピューター（そうでないと結果に影響する可能性があります）
• PowerShell 2.0以上

概要

Ketshashは、以下の情報に基づいて不審な特権NTLM接続を検出するツールです：

• 監視対象マシンのセキュリティイベントログ（ログオンイベント）
• Active Directoryからの認証イベント

使用方法

2つのオプションがあります：

基本的な使用方法

• PowerShellを開いて実行：
  • Import-Module .\Ketshash.ps1 または Ketshash.ps1の内容をコピー＆ペーストしてPowerShellセッションに貼り付け
  • Invoke-DetectPTH <引数>

Ketshash Runner

• Ketshash.ps1がKetshashRunner.exeと同じディレクトリにあることを確認
• KetshashRunner.exeをダブルクリックし、必要に応じて設定を変更して「Run」を押す

alt text

Invoke-DetectPTH

パラメーター：

• TargetComputers - NTLM接続を検出する対象コンピューターの配列。
• TargetComputersFile - NTLM接続を検出する対象コンピューターのリストが含まれるファイルへのパス。
• StartTime - 検出を開始する時刻。デフォルトは現在時刻。
• UseKerberosCheck - 組織内のドメインコントローラーでTGT/TGSログオンをチェックします。 デフォルトでは、ソースマシン上の正当なログオンを検索します。 いずれにしても、このスイッチの有無にかかわらず、ソースマシン上のイベントID 4648のクエリは実行されます。
• UseNewCredentialsCheck - ログオンタイプ9（Mimikatzなど）のログオンイベントをチェックします。 これはオプションで、デフォルトのアルゴリズムですでにカバーされています。 不審なNTLM接続を検出する別のオプションを示すために存在します。 Windows 10およびServer 2016では、イベントビューアで「Microsoft-Windows-LSA/Operational」を有効にする必要があります。 Windows 10およびServer 2016では、「カーネルオブジェクト監査」を有効にすると、LSASSへの書き込みなど、より正確な情報が得られます。
• LogFile - 結果を保存するログファイルのパス。
• MaxHoursOfLegitLogonPriorToNTLMEvent - NTLMイベントの時刻からさかのぼって正当なログオンを検索する時間数。デフォルトは2時間前まで。

例（推奨）：

Invoke-DetectPTH -TargetComputers "MARS-7" -LogFile "C:\tmp\log.txt"

alt text

例：

Invoke-DetectPTH -TargetComputers "ComputerName" -StartTime ([datetime]"2017-12-14 12:50:00 PM") -LogFile "C:\tmp\log.txt" -UseKerberosCheck -UseNewCredentialsCheck

alt text

デバッグ

スレッドを使用しているため、メイン関数のスクリプトブロックをデバッグすることはできません。 回避策として、Detect-PTHMultithreaded の前に Invoke-Command を使用します：

Invoke-Command -ScriptBlock $detectPTHScriptBlock -ArgumentList $TargetComputers, $startTime, $LogFile, $UseKerberosCheck, $UseNewCredentialsCheck, $MaxHoursOfLegitLogonPriorToNTLMEvent`

1台の対象コンピューターのみを検出：

Invoke-DetectPTH -TargetComputers "<computer_name>" ...

$TargetComputer を [array] ではなく [string] に変更します。 これにより、メイン関数のスクリプトブロック内でブレークポイントを使用できるようになります。

参照

コメントや質問については、Eviatar Gerzi（@g3rzi）およびCyberArk Labsまでご連絡ください。