zBangは、スキャンされたネットワーク内の潜在的な特権アカウントの脅威を検出する特別なリスク評価ツールです。

組織やレッドチームはzBangを利用して、潜在的な攻撃ベクトルを特定し、ネットワークのセキュリティ体制を向上させることができます。結果はグラフィカルインターフェースか、生の出力ファイルのレビューによって分析できます。

zBangの詳細は、@Hechtovによる「Big zBang Theory」ブログ記事でご覧いただけます：
https://www.cyberark.com/threat-research-blog/the-big-zbang-theory-a-new-open-source-tool/

このツールは5つの異なるスキャンモジュールで構成されています：

1. ACLight scan - 保護が必要な最も特権的なアカウント（疑わしいシャドウ管理者を含む）を発見します。
2. Skeleton Key scan - スケルトンキーマルウェアに感染している可能性のあるドメインコントローラを発見します。
3. SID History scan - セカンダリSID（SID History属性）を持つドメインアカウントの隠れた特権を発見します。
4. RiskySPNs scan - ドメイン管理者の資格情報を盗む可能性があるSPNの危険な構成を発見します。
5. Mystique scan - ネットワーク内の危険なKerberos委任構成を発見します。

便利なように、zBangに関する要約されたデータシートも用意されています：
https://github.com/cyberark/zBang/blob/master/zBang%20Summarized%20Data%20Sheet.pdf

実行要件

1. 任意のドメインユーザーで実行してください。スキャンには追加の権限は必要ありません。ツールはDCに対して読み取り専用のLDAPクエリを実行します。
2. ドメイン参加済みのマシン（Windowsマシン）からツールを実行してください。
3. PowerShellバージョン3以上と.NET 4.5（Windows 8/2012以上ではデフォルトで提供されています）。

クイックスタートガイド

1. このGitHubリポジトリのリンクからリリースバージョンをダウンロードして実行するか、お好みのコンパイラでコンパイルしてください。
   • ブラウザでダウンロードする際、ダウンロードしたzBang.exeファイルの「ブロックを解除」する必要がある場合があります。
2. 開始画面で、実行したいスキャンを選択してください。
   次の例では、5つのスキャンすべてが選択されています：

3. デモ結果を表示するには、「Reload」をクリックしてください。
   zBangツールにはデモデータが組み込まれています。さまざまなスキャンの結果を表示し、グラフィカルインターフェースを操作できます。
4. ネットワークで新しいスキャンを開始するには、「Launch」をクリックしてください。新しいウィンドウが表示され、各スキャンのステータスが表示されます。

5. スキャンが完了すると、結果が外部のzipファイルにエクスポートされたというメッセージが表示されます。

6. 結果のzipファイルはzBangと同じフォルダにあり、スキャン日時を含む一意の名前が付きます。以前の結果をzBang GUIにインポートすることもでき、スキャンを再実行する必要はありません。
   以前の結果をインポートするには、zBangの開始画面で「Import」をクリックしてください。

zBangの結果を確認する

A. ACLight scan:

1. スキャンしたドメインを選択します。
2. 発見された最も特権的なアカウントの一覧が表示されます。
3. 左側には、グループメンバーシップによって特権を取得する「標準」の特権アカウントが表示されます。
4. 右側には「シャドウ管理者」が表示されます。これらのアカウントは、直接のACL権限割り当てによって特権を取得します。これらのアカウントは標準の「ドメイン管理者」ユーザーよりも目立ちにくい可能性があるため、適切に保護されていないかもしれません。攻撃者はしばしばこのようなアカウントを標的にし、侵害しようとします。
5. 各アカウントをダブルクリックすると、その権限グラフを確認できます。これにより、そのアカウントが特権的と分類された理由を理解するのに役立ちます。

6. 悪用可能なさまざまなACL権限は、小さなヘルプページで説明されています。右上の「疑問符」をクリックして表示します：

7. シャドウ管理者の脅威の詳細は、ブログ記事「Shadow Admins – The Stealthy Accounts That You Should Fear The Most」でご覧いただけます：
   https://www.cyberark.com/threat-research-blog/shadow-admins-stealthy-accounts-fear/

8. スキャン結果を手動で確認するには、保存されたzBang結果ファイルを解凍し、結果フォルダを確認してください： "[zBangの解凍された結果ファイルのパス]\ACLight-master\Results" には、サマリレポート「Privileged Accounts - Layers Analysis.txt」が含まれています。

9. 発見された各特権アカウントについて：

   • 特権アカウントを特定します。
   • 不要な権限をアカウントから削減します。
   • アカウントを保護します。これら3つの手順を確認した後、アカウントの小さな選択ボックスに「V」を付けてインターフェース上で緑色にできます。

10. 目標は、すべてのアカウントを緑色の「保護済み」としてマークすることです。

B. Skeleton Key scan

1. スキャンページ（上部の関連ブックマークをクリック）には、スキャンされたすべてのDCのリストが表示されます。
2. すべてがクリーンで緑色でマークされていることを確認してください。
3. スキャンで感染の可能性があるDCが見つかった場合は、調査プロセスを開始することが重要です。

4. Skeleton Keyマルウェアの詳細は、ブログ記事「Active Directory Domain Controller Skeleton Key Malware & Mimikatz」（@PyroTek3著）でご覧いただけます：https://adsecurity.org/?p=1255

C. SID History scan

1. このスキャンページには、セカンダリSID（SID History属性）を持つドメインアカウントのリストが表示されます。
2. 各アカウントには2つのコネクタ矢印があり、左側はメインSID、右側はセカンダリSID（マスクアイコン付き）を示します。
3. メインSIDが特権的である場合は赤で表示され、SID Historyが特権的である場合は赤いマスクとして表示されます。
4. 特権的でないメインSIDを持ちながら、同時に特権的なセカンダリSIDを持つアカウントという、非常に危険な状況を探す必要があります。
   このシナリオは非常に疑わしいため、このアカウントを調査し、なぜ特権的なセカンダリSIDを受け取ったのかを確認してください。潜在的な侵入者によって追加されたものでないことを確認してください。

* 表示の都合上、特権的でないSID Historyを持つアカウントが多数（10以上）存在する場合、それらは表示から除外されます。これらのアカウントは機密性が低いためです。

5. スキャン結果を手動で確認するには、保存されたzBang結果ファイルを解凍し、csvファイルを確認してください：
   「[zBangの解凍された結果ファイルのパス]\SIDHistory\Results\Report.csv」。
6. SID Historyの悪用の詳細は、ブログ記事「Security Focus: sIDHistory」（Ian Farr著）でご覧いただけます：https://blogs.technet.microsoft.com/poshchap/2015/12/04/security-focus-sidhistory-sid-filtering-sanity-check-part-1-aka-post-100/

D. RiskySPNs scan

1. スキャン結果ページには、ユーザーアカウントに登録されたすべてのSPNのリストが表示されます。
2. ユーザーアカウントが特権アカウントである場合は赤で表示されます。
3. 特権アカウントに登録されたSPNが存在することは非常に危険です。それらのSPNを変更または無効にしてください。SPNにはマシンアカウントを使用するか、SPNが登録されているユーザーから不要な権限を削減してください。また、これらのユーザーに強力なパスワードを割り当て、各パスワードの自動ローテーションを実装することを推奨します。

4. スキャン結果を手動で確認するには、保存されたzBang結果ファイルを解凍し、csvファイルを確認してください：
   「[zBangの解凍された結果ファイルのパス]\RiskySPN-master\Results\RiskySPNs-test.csv」。
5. Risky SPNの詳細は、ブログ記事「Service Accounts – Weakest Link in the Chain」でご覧いただけます：
   https://www.cyberark.com/blog/service-accounts-weakest-link-chain/

E. Mystique scan

1. スキャン結果ページには、委任権限が信頼されているすべてのアカウントのリストが含まれます。
2. 委任の種類は3つあります：制約なし、制約あり、プロトコル遷移付き制約あり。アカウントの色は、その委任権限の種類に対応します。
3. 古くて使用されていない委任権限を持つアカウントを無効にしてください。特に、「制約なし」および「プロトコル遷移付き制約あり」という危険な委任の種類を確認してください。「制約なし」委任を「制約あり」委任に変換し、特定の必要なサービスのみに許可されるようにします。「プロトコル遷移」タイプの委任は再検証し、可能であれば無効にしてください。

4. スキャン結果を手動で確認するには、保存されたzBang結果ファイルを解凍し、csvファイルを確認してください：
   「[zBangの解凍された結果ファイルのパス]\Mystique-master\Results\delegation_info.csv」。
5. 危険な委任構成の詳細は、ブログ記事「Weakness Within: Kerberos Delegation」でご覧いただけます：
   https://www.cyberark.com/threat-research-blog/weakness-within-kerberos-delegation/

パフォーマンス

zBangは高速に実行され、ネットワーク上で特別な権限を必要としません。必要な通信は、正当な読み取り専用LDAPクエリを介したドメインコントローラへのものだけです。約1,000のユーザーアカウントを持つネットワークでの典型的な実行時間は7分です。
複数の信頼関係で接続されたドメインを持つ大規模ネットワークをスキャンする場合は、ドメイン信頼構成を確認するか、各ドメイン内からzBangを個別に実行して、権限や接続の問題を回避することを推奨します。

チェックサム

zBang バージョン 1.2.1:
SHA-256 ce747740a9a24c330c18c2f09f6ee344e1806666abf21c8c2f964fa61f438903

著者

zBangは、世界中のセキュリティチームを支援するための迅速で粗削りなPOCとしてCyberArk Labsによって開発されました。フィードバックやコメントをお待ちしています。

主な連絡先:
Asaf Hecht (@Hechtov)、Nimrod Stoler (@n1mr0d5)、Lavi Lazarovitz (@__Curi05ity__)