NTLM リレー攻撃のルネサンス：知っておくべきすべて

NTLM リレー攻撃はまだ重大な脅威であり、攻撃者はドメイン参加ホストを妥協させ、横方向に移動することができます。古い攻撃であるにもかかわらず、NTLM リレーはしばしば軽視され、誤解されています。NTLM は、1993 年にマイクロソフトによって導入されたレガシーの認証プロトコルであり、Kerberos が優先されるプロトコルであるにもかかわらず、NTLM はまだ広く使用されています。NTLM は、チャレンジ-レスポンス交換を使用してリプレイ攻撃を防ぎますが、リレー攻撃に対しては脆弱です。NTLM 認証交換には、クライアントとサーバー間の 3 つのメッセージ交換が含まれます。NTLM 応答生成アルゴリズムの主なバージョンは 2 つあります: NTLMv1 と NTLMv2。NTLMv1 は、DES 暗号化を使用する古いアルゴリズムであり、攻撃を受けやすいですが、NTLMv2 は HMAC-MD5 を使用し、現在も使用されています。LM Compatibility Level レジストリ値は、Windows ホストでの NTLM バージョンのサポートを制御し、低いレベルは NTLMv1 を有効にし、深刻な結果をもたらす可能性があります。パスワードのクラッキングは問題であり、攻撃者はキャプチャされた NTLM 交換からパスワードを回復したり、Pass the Hash 攻撃に NT ハッシュを使用したりすることができます。リレー攻撃は、ドメイン参加ホストを妥協させる最も簡単な方法であり、攻撃者はパスワードをクラッキングせずに、被害者としてターゲットに認証することができます。