Locksmith

 _       _____  _______ _     _ _______ _______ _____ _______ _     _
 |      |     | |       |____/  |______ |  |  |   |      |    |_____|
 |_____ |_____| |_____  |    \_ ______| |  |  | __|__    |    |     |
     .--.                  .--.                  .--.
    /.-. '----------.     /.-. '----------.     /.-. '----------.
    \'-' .---'-''-'-'     \'-' .--'--''-'-'     \'-' .--'--'-''-'
     '--'                  '--'                  '--'

Active Directory Certificate Services（AD CS）における一般的な設定ミスを発見・修正するために作られた小規模なツールです。

目次

1. インストール
2. Locksmith の実行
   1. モード 0
   2. モード 1
   3. モード 2
   4. モード 3
   5. モード 4
   6. スキャン
3. セキュリティとサポート

インストール

前提条件

1. Locksmith はドメイン参加済みのシステム上で実行する必要があります。
2. Locksmith モジュールをインポートする前に、ActiveDirectory および ServerManager PowerShell モジュールがインストールされている必要があります。
3. 一部のチェックと修復には管理者権限が必要な場合があります。

標準モジュールインストール

PowerShell プロンプトを開き、PowerShell ギャラリーから Locksmith をインストールします:

Install-Module -Name Locksmith -Scope CurrentUser

その他のインストール方法

1. モジュールをインストールせずにダウンロードして使用する

   1. 最新のモジュールバージョン をダウンロードします。
   2. PowerShell プロンプトを抽出したファイルの場所で開き、次を実行します:
   root@kitploit:~

   Unblock-File .\Locksmith.zip # if necessary to unblock the download
   Expand-Archive .\Locksmith.zip
   Import-Module .\Locksmith\Locksmith.psd1
   Invoke-Locksmith
   

2. モジュールなしでスタンドアロンスクリプトをダウンロードする

   1. 最新のモノリシック（オールインワン）スクリプトバージョン をダウンロードします。
   2. PowerShell プロンプトをダウンロードしたファイルの場所で開き、次を実行します:
   root@kitploit:~

   Unblock-File .\Invoke-Locksmith.zip
   Expand-Archive .\Invoke-Locksmith.zip -DestinationPath .\
   .\Invoke-Locksmith.ps1
   

Locksmith の実行

Invoke-Locksmith を実行する際には、選択できる複数のモードがあります。また、Scans パラメータを使用して、呼び出すスキャンを選択することもできます。

モード 0: 問題を特定してコンソールに出力（デフォルト）

パラメータなし、または -Mode 0 を指定して Invoke-Locksmith.ps1 を実行すると、現在の Active Directory フォレストがスキャンされ、発見されたすべての AD CS の問題が テーブル 形式でコンソールに出力されます。

# Module Syntax
Invoke-Locksmith

# Script Syntax
.\Invoke-Locksmith.ps1

モード 0 の出力例: https://github.com/jakehildreth/Locksmith/blob/main//Docs/Examples/Mode0.md

モード 1: 問題と修正を特定してコンソールに出力

このモードは現在のフォレストをスキャンし、発見されたすべての AD CS の問題と可能な修正を リスト 形式でコンソールに出力します。

# Module Syntax
Invoke-Locksmith -Mode 1

# Script Syntax
.\Invoke-Locksmith.ps1 -Mode 1

モード 1 の出力例: https://github.com/jakehildreth/Locksmith/blob/main/Docs/Examples/Mode1.md

モード 2: 問題を特定してCSVに出力

Locksmith モード 2 は現在のフォレストをスキャンし、発見されたすべての AD CS の問題を現在の作業ディレクトリ内の ADCSIssues.CSV に出力します。

# Module Syntax
Invoke-Locksmith -Mode 2

# Script Syntax
.\Invoke-Locksmith.ps1 -Mode 2

モード 2 の出力例: https://github.com/jakehildreth/Locksmith/blob/main/Docs/Examples/Mode2.md

モード 3: 問題と修正を特定してCSVに出力

モード 3 では、Locksmith は現在のフォレストをスキャンし、発見されたすべての AD CS の問題と修正例を現在の作業ディレクトリ内の ADCSRemediation.CSV に出力します。

# Module Syntax
Invoke-Locksmith -Mode 3

# Script Syntax
.\Invoke-Locksmith.ps1 -Mode 3

モード 3 の出力例: https://github.com/jakehildreth/Locksmith/blob/main/Docs/Examples/Mode3.md

モード 4: すべての問題を修正

モード 4 は「簡単ボタン」です。モード 4 で Locksmith を実行すると、すべての設定ミスが特定され、各問題の修正が提案されます。運用上の影響が考えられる場合は、Locksmith が警告を表示します。

# Module Syntax
Invoke-Locksmith -Mode 4

# Script Syntax
.\Invoke-Locksmith.ps1 -Mode 4

モード 4 の出力例: https://github.com/jakehildreth/Locksmith/blob/main/Docs/Examples/Mode4.md

スキャン

スキャンする脆弱性を選択するには、-Scans パラメータを使用します。指定できる値には、All、Auditing、ESC1、ESC2、ESC3、ESC4、ESC5、ESC6、ESC7、ESC8、ESC9、ESC11、ESC13、ESC15、EKEUwu、、 があります。 オプションを指定すると、1つ以上のスキャンを選択できる対話型リストが表示されます。

# Run all scans
Invoke-Locksmith -Scan All

# Prompt the user for a list of scans to select
Invoke-Locksmith.ps1 -Scans PromptMe

# Scan for ESC1 vulnerable paths
Invoke-Locksmith.ps1 -Scans ESC1

# Scan for ESC1, ESC2, and ESC8 vulnerable paths
Invoke-Locksmith.ps1 -Scans ESC1,ESC2,ESC8

セキュリティとサポート

脆弱性の報告については、セキュリティポリシー を参照してください。 使用方法に関する質問とサポートについては、サポート を参照してください。

Locksmith をご利用いただきありがとうございます！ 💜