NTLM/SMB 強化＆脅威ハントツールキット

著者: w01f
バージョン: 1.0
目的: 安全でない NTLM/SMB の使用を監査、強化、およびハントし、CVE-2025-50154 などのリスクを軽減します。

CVE-2025-50154 の概要

重要度: 高
種類: NTLM 資格情報漏洩＋パッチバイパス (ゼロクリック)
影響を受けるシステム: Windows 10/11、Windows Server
要約:
CVE-2025-50154 は、Microsoft が以前に公開した CVE-2025-24054 修正プログラムのバイパスです。以前の緩和策が適用されていても、細工されたファイルや UNC パスによって Windows Explorer がリモートリソースを取得し、ユーザーの操作なし (ゼロクリック) で NTLM 認証を開始させる可能性があります。
これにより、以下の問題が発生する可能性があります:

• NTLM ハッシュの漏洩 (オフラインでの解読リスク)
• 権限昇格や水平移動のための NTLM リレー攻撃
• 信頼できないリモートリソースの実行 (アイコン解析経由)

重要性: このバイパスは、攻撃者が Explorer のリソース処理を介してレガシー認証経路を依然として悪用できることを示しています。NTLM と SMB クライアントの動作を強化し、疑わしい Explorer 起動の接続を監視することが重要です。

ツールキットの機能

• 監査モード:
  現在のレジストリ、サービス、ファイアウォールの構成を読み取り、合格/不合格と推奨修正を出力します。
• 強化モード:
  セキュリティ設定 (NTLM 制限、SMB 署名、WebClient 無効化、UNC 強化、SMBv1 無効化、ファイアウォールブロック) を適用します。
• 復元モード:
  バックアップされた設定を復元します。
• イベントハンティング:
  以下を収集します:
  • NTLM 操作ログのイベント
  • セキュリティログオンイベント (4624 NTLM)
  • Sysmon EID 3 (Explorer.exe による SMB 開始)
  • 許可リストの CIDR でフィルタリング
• 無害な接続テスト:
  サンプルホストへの安全な TCP:445 チェック (強制や悪用なし)。
• エクスポート: JSON/CSV 出力 (レポート/CI パイプライン用)。

使用方法

監査例

.\NTLM_SMB_HardeningToolkit.ps1 -Mode Audit -AllowlistCIDRs "10.0.0.0/8,192.168.0.0/16" -HoursBack 24 -ExportJson .\ntlm_audit.json

強化例

.\NTLM_SMB_HardeningToolkit.ps1 -Mode Harden -AllowlistCIDRs "10.0.0.0/8,192.168.0.0/16" -SampleHosts "filesrv01.corp,10.0.5.20"

復元例

.\NTLM_SMB_HardeningToolkit.ps1 -Mode Revert

ハントと検出のアイデア

以下は、CVE-2025-50154 の悪用パターンに関連する疑わしい NTLM/SMB の使用を特定するための、すぐに使える検出クエリです。

Microsoft Defender for Endpoint (KQL)

1. Explorer.exe が信頼できないホストへの SMB を開始

DeviceNetworkEvents
| where InitiatingProcessFileName =~ "explorer.exe"
| where RemotePort in (445, 139)
| where not(RemoteIP in ("10.0.0.0/8","172.16.0.0/12","192.168.0.0/16"))
| project Timestamp, DeviceName, RemoteIP, RemotePort, InitiatingProcessFileName

2. LNK ファイルのドロップと SMB 接続 (5分以内)

let lnk = DeviceFileEvents
    | where FileName endswith ".lnk"
    | where FolderPath has @"\Users\" and FolderPath has @"\Desktop";
let smb = DeviceNetworkEvents
    | where RemotePort in (445,139)
    | where InitiatingProcessFileName =~ "explorer.exe";
lnk
| join kind=innerunique (smb) on DeviceId
| where smb.Timestamp between (lnk.Timestamp .. lnk.Timestamp + 5m)
| project DeviceName, lnk.Timestamp, smb.Timestamp, FolderPath, RemoteIP

3. 未知のホストへの NTLM ログオン

DeviceLogonEvents
| where LogonType == "Network"
| where AuthenticationPackage =~ "NTLM"
| summarize count() by DeviceName, RemoteIP, AccountUpn, bin(Timestamp, 10m)
| order by count_ desc

Sysmon (XML 構成が必要)

• EID 3 (NetworkConnect) - explorer.exe から許可リスト外の TCP 445/139 への接続。
• EID 11 (FileCreate) - ユーザーデスクトップ上の .lnk ファイル。
• この 2 つを関連付けてゼロクリック SMB イベントを検出。

Windows イベントログ (セキュリティ)

• 4624 (ログオン) で以下の条件:
  • ログオンタイプ = 3 (ネットワーク)
  • 認証パッケージ = NTLM
  • リモート IP が信頼できる範囲外。

緩和策チェックリスト

• NTLM を制限: 送信 → すべて拒否
• SMB 署名を要求 (クライアント/サーバー)
• UNC パスを強化 (NETLOGON、SYSVOL)
• WebClient を無効化 (使用しない場合)
• SMBv1 を無効化 (クライアント/サーバー)
• 信頼できないネットワークへの発信 TCP 445/139 をブロック
• Explorer.exe による非承認 IP への SMB 接続を監視

ライセンス

このツールキットは、教育および防御的なセキュリティ目的でのみ提供されます。
変更管理とテストなしに本番環境で使用しないでください。