Rubeusは、チケット抽出、Pass-the-Ticket、チケット更新、Kerberosロースティングなど、Kerberosの悪用に使用されるポストエクスプロイトツールです。Active Directory環境内でのラテラルムーブメントに最適です。
WinPEAS は主にローカル権限の昇格と列挙に使用されます。
NTLMRelayX (Impacket 製) は NTLM 認証の中継に役立ちますが、Kerberos には重点を置いていません。
Impacket はツールのコレクションであり、Rubeus は Kerberos 攻撃に重点を置きます。
参考: PT0-003 目標 4.2 - Windows AD 環境での横方向の移動と認証の操作のためのツールとテクニック。

テスターは、Mimikatz を使用して、ローカル セキュリティ機関 (LSA) メモリからキャッシュされた資格情報をダンプします。
* ハッシュパス（オプション C）:
* テスターは、パスワードを解読せずに認証するために、キャッシュされた資格情報を抽出します。
* Pass-the-Hash (PtH) は、他のシステムで NTLM ハッシュを再利用することで横方向の移動を可能にします。

代替データストリーム（ADS）は、NTFSファイルシステムの機能であり、ファイルのサイズ、名前、機能に影響を与えることなく、ファイルに追加データを保存できます。ADSは、後で実行するために特別に細工されたバイナリなどのデータや実行可能コードをファイル内に隠したり埋め込んだりするために使用できます。ADSは、コマンドプロンプト、PowerShell、Sysinternals12などのさまざまなツールやコマンドを使用して作成またはアクセスできます。例えば、次のコマンドは、test.txtというファイルにsecret.exeというADSを作成し、wmic.exe process call create functionを使用して実行します。type secret.exe > test.txt:secret.exe & wmic process call create "cmd.exe /c test.txt:secret.exe"

CVSS (共通脆弱性評価システム) および EPSS (エクスプロイト予測評価システム) スコアに基づくと、ターゲット 1 が最も攻撃を受ける可能性が高くなります。
Explanation:
* CVSS:
* 定義: CVSS は脆弱性の重大度を表す数値スコアを提供し、潜在的な影響に基づいて対応の優先順位を決定するのに役立ちます。
* スコアの範囲: スコアの範囲は 0 から 10 までで、スコアが高いほど脆弱性が深刻であることを示します。
* EPSS:
* 定義: EPSS は、今後 30 日以内に脆弱性が悪用される可能性を推定します。
* スコアの範囲: EPSS スコアの範囲は 0 から 1 で、スコアが高いほど搾取される可能性が高くなります。
* 分析：
* 目標1: CVSS = 4、EPSS = 0.6
* ターゲット2: CVSS = 2、EPSS = 0.3
* 目標3: CVSS = 1、EPSS = 0.6
* 目標4: CVSS = 4.5、EPSS = 0.4
* ターゲット 1 は、中程度の CVSS スコアと高い EPSS スコアを持ち、悪用される可能性が非常に高い重大な脆弱性があることを示しています。
ペンテストの参考資料:
* 脆弱性の優先順位付け: CVSS および EPSS スコアを使用して、重大度と悪用される可能性に基づいて脆弱性を優先順位付けします。
* リスク評価: 影響 (CVSS) と悪用可能性 (EPSS) のバランスを理解して、修復または攻撃の最も重要なターゲットを特定します。
重大度と悪用可能性のバランスが取れたターゲット 1 に焦点を当てることで、侵入テスターは、指定されたスコアに基づいて、攻撃の最も可能性の高いターゲットに対処できます。

スクリプトには次の内容が表示されます:
* BlobServiceClient.from_connection_string() の使用 - これは Azure Blob Storage とのやり取りです。
* ローカル ファイルをバイナリ モードで開きます (open(file_path, "rb") を使用)。
* blob_client.upload_blob(data) を呼び出します - ローカル ファイルをクラウド ストレージにアップロードすることを明確に示します。
これは、盗まれたファイルや機密性の高いローカル ファイルが外部システム (クラウド ストレージ) に送信されるデータ窃盗アクティビティと一致します。
他の人はなぜダメなのですか?
* A. API エンドポイント: コードでは、REST API エンドポイントではなく、Azure Blob Storage SDK を使用します。
* B. クラウド ストレージからデータをダウンロード: コードのアップロードであり、ダウンロードではありません。
* C. 代替データ ストリーム (ADS): これは Windows NTFS の機能であり、クラウド ストレージとは関係ありません。
CompTIA PT0-003 目標マッピング:
* ドメイン3.0攻撃とエクスプロイト
* 3.2: 悪用後の手法 (データの引き出し、クラウド ストレージの使用)。