パスワードクラックおよび分析🔗

サービス概要🔗

パスワードクラックおよび分析サービスの目的は、お客様が提供したNTDSファイル内のハッシュに対して高速なパスワードクラックを実施し、可能な限り多くの平文パスワードを復元し、復元したパスワードに関する情報をお客様に提供することです。本サービスは、組織がパスワードポリシーの運用状況を確認し、ユーザーがどのようにパスワードを選択しているかについてのインサイトを得るのに役立ちます。

サービス手法🔗

テストでは、ブルートフォース、ワードリスト、ルール、マスクなど、さまざまな組み合わせのエクスプロイトオプションを用いてパスワードハッシュのクラックを複数回繰り返します。オプションを変えるだけでなく、パスワードクラック用に設計された複数のソフトウェアアプリケーションも使用します。以下のエクスプロイトオプションを用いて、ハッシュ化および暗号化されたパスワードの平文を導出します。

弱いハッシュ🔗

パスワードの複数のハッシュが存在する場合（例：Windows認証やActive DirectoryからのLAN Manager（LANMan）およびNT LAN Manager（NTLANMan）ハッシュ）、計算コストが最も低いアルゴリズムから処理します。弱いハッシュから復元された平文パスワードは、より複雑なハッシュのクラックに役立つ場合があり、またLANMan/NTLANManの場合は、パスワード内の文字の大文字・小文字を判別するのにも利用できます。

弱いパスワード🔗

7文字以下のパスワードは弱いと見なされます。多くのハッシュアルゴリズムでは、すべての文字の組み合わせを迅速にブルートフォースすることが可能です。このエクスプロイトオプションを使用することで、8文字未満のパスワード推測を省略でき、以降の分析工程を効率化できます。

ワードリストとルール🔗

業界全体の辞書や過去の侵害から取得したパスワードをもとに作成された事前構築済みワードリストを、パスワード推測に使用します。ワードリスト内のエントリは、ルールの適用によって修正されます。ルールは、ワードリスト内のエントリに文字を前後に追加したり、文字を置換したりして、単純な辞書単語の複雑な形（例：Friendship → Fr!3ndsh1p や Friendship02!）を見つけます。

パスワードマスク🔗

過去に発見されたパスワードの分析を通じて、パスワード内の各位置でよく使われる文字を表すマスク（例：小文字5文字＋数字2桁＋記号1文字など）を生成します。これらのマスクを用いて、クラックソフトウェアがパスワード推測を行います。

ワードリストとマスク🔗

多くのパスワードは、辞書単語の後に複数の文字・数字・記号が続く形（例：Summer15!）で構成されています。4文字以内のマスクをワードリストに前後付加します。このエクスプロイトオプションは「ワードリストとルール」と似ていますが、ハッシュに対してより網羅的な推測を行う点が異なります。

フィードバック🔗

ここまででクラックされたすべてのパスワードを、「ワードリストとルール」および「ワードリストとマスク」のエクスプロイトオプションで再利用します。このフィードバックエクスプロイトオプションにより、一般的に使われるパスワードのより長く複雑な形を復元します。

ブルートフォース🔗

時間が許す限り、まだ平文パスワードが復元されていないハッシュに対して、8文字以上のすべての文字の組み合わせによるブルートフォース攻撃を実施します。

成果物🔗

上記の手法を完了後、Secureworksはエンゲージメント中に収集した情報を徹底的にレビュー・分析し、以下を含む最終レポートをお客様に提出します（ただしこれらに限定されません）。

パスワード統計（例：上位10個のベースワード、パスワード長、使用文字セット）
クラックされたパスワードの割合
パスワードクラック／復元に要した総時間
パスワードに関するセキュリティ推奨事項

スコーピング情報🔗

スコープ	説明
パスワードクラックおよび分析	1つのドメインコントローラーからエクスポートされたNTDSファイル1件（最大2ドメイン分の認証情報を含む）