PowEnum

ペネトレーションテスターはよくADデータを列挙します。これによりドメインの状況認識を提供し、脆弱なターゲットを特定するのに役立ちます。PowEnumは、ターゲットドメインの地図的なビューを自動化するのに役立ちます。

PowEnumは一般的なPowerSploitのPowerview関数を実行し、出力をスプレッドシートにまとめて簡単に分析できるようにします。すべてのネットワークトラフィックはDCのみに送信されます。PowEnumはまた、PowerSploitのGet-GPPPasswordとHarmj0yのASREPRoastを利用しています。

構文例:

Invoke-PowEnum
Invoke-PowEnum -FQDN test.domain.com
Invoke-PowEnum -Mode SYSVOL
Invoke-PowEnum -Credential test.domain.com\username -FQDN test.domain.com -Mode Special

非ドメイン参加システムからのPowEnumの実行

2つの選択肢があります。1つ目はrunasコマンドを使用するものです（これはPowEnumを使用する前に実行する必要があります）。2つ目はPowerviewのInvoke-UserImpersonation関数を利用するものです。

runas /netonly /user:test.domain.com\username powershell.exe
Invoke-PowEnum -Credential test.domain.com\username -FQDN test.domain.com

モード

モード	列挙内容
Basic	ドメイン管理者エンタープライズ管理者ビルトイン管理者 DCローカル管理者ドメインユーザードメイングループスキーマ管理者アカウントオペレーターバックアップオペレータープリントオペレーターサーバーオペレーターグループポリシー作成者所有者暗号オペレーター ADグループマネージャー AdminCount=1 すべての[DC認識]ネットセッションドメインコントローラードメインコンピュータのIP ドメインコンピュータサブネット DNSレコード WinRM有効ホスト可能性のあるファイルサーバー
Roasting	Kerberoastサービスアカウント（SPNを持つアカウント） ASREPRoastユーザーアカウント（事前認証不要）
Special	無効アカウントパスワード不要パスワード期限なしパスワード期限なし＆不要スマートカード必須
SYSVOL	グループポリシーパスワード SYSVOLスクリプトファイル（ハードコードされた可能性のある資格情報）すべてのローカルグループメンバーシップの変更（GPOまたはGPP）
Forest	ドメイン信頼外部[ドメイン]ユーザー外部[ドメイン]グループメンバー
LargeEnv	以下のものを含まない基本列挙: Get-DomainUser Get-DomainGroup Get-DomainComputer

*DCローカル管理者は、RODCが使用されている場合やレプリケーションの問題がある場合、ビルトイン管理者と異なる可能性があります。

検出

この列挙は、PowEnumシステムとターゲットDC間で不審なトラフィックを生成します。DCへのトラフィックを監視するセキュリティ製品（例：Microsoft ATA）がある場合、PowEnumはおそらくフラグ付けされるでしょう。ATAが検出するものとしないものについての詳細はこちら:
https://media.defcon.org/DEF%20CON%2025/DEF%20CON%2025%20presentations/DEFCON-25-Chris-Thompson-MS-Just-Gave-The-Blue-Teams-Tactical-Nukes-UPDATED.pdf
Kerberoastingの検出技術は以下の記事で強調されています:
Kerberoastingアクティビティの検出 - https://adsecurity.org/?p=3458
Kerberoastingアクティビティの検出パート2 – Kerberoastサービスアカウントハニーポットの作成 - https://adsecurity.org/?p=3513

Basic	Net Cease - ネットセッション列挙の強化 https://gallery.technet.microsoft.com/Net-Cease-Blocking-Net-1e8dcb5 SAMRi10 - Windows 10/Server 2016でのSAMリモートアクセスの強化 https://gallery.technet.microsoft.com/SAMRi10-Hardening-Remote-48d94b5b Active Directory: オブジェクトの可視性の制御 https://social.technet.microsoft.com/wiki/contents/articles/29558.active-directory-controlling-object-visibility-list-object-mode.aspx http://windowsitpro.com/active-directory/hiding-active-directory-objects-and-attributes
Roasting	Kerberoastの緩和策は、影響を受けるアカウントに対して強力なパスワードやGMSAを使用することに焦点を当てています https://adsecurity.org/?p=2293 ASREPRoastの緩和策は、強力なパスワードを使用するか、「Kerberos事前認証を必要としない」とチェックしないことです
Special	基本を参照
SYSVOL	GPPパスワードファイル - KB2962486をインストールし、影響を受けるxmlファイルを削除 (https://adsecurity.org/?p=2288) SYSVOLスクリプト - SYSVOLの変更を監視し、影響を受けるファイルを削除
Forest	基本を参照
LargeEnv	基本を参照

PowEnum

人気

PowEnum

構文例:

非ドメイン参加システムからのPowEnumの実行

モード

検出

緩和策