@prefix schema: .
@prefix skos: .
@prefix rdf: .
@prefix ks: .
schema:about , , ;
schema:mentions , , , , , , , , .
a skos:Concept ;
skos:prefLabel "CVE-2021-36934"@ja ;
skos:definition "2021年7月に公開されたWindows 10の権限昇格の脆弱性。SAMデータベースを含む%windir%\\system32\\configのファイルにBUILTIN\\Usersの読み取り権限が付いており、システムドライブのシャドウコピーがあれば一般ユーザーがそのコピーを読めた。"@ja ;
skos:altLabel "HiveNightmare" ;
skos:altLabel "SeriousSAM" ;
ks:requires ;
ks:mayCause .
a skos:Concept ;
skos:prefLabel "SAM"@ja ;
skos:definition "ローカルのユーザーアカウントとグループを保存するWindowsのデータベース。レジストリのHKEY_LOCAL_MACHINE\\SAMハイブとして、%SystemRoot%\\System32\\ConfigのSamファイルに保存される。"@ja ;
skos:altLabel "Security Accounts Manager" ;
skos:altLabel "SAMデータベース"@ja ;
ks:storedIn ;
ks:verifiedBy .
a skos:Concept ;
skos:prefLabel "VSS(ボリュームシャドウコピーサービス)"@ja ;
skos:definition "稼働中のボリュームについて、ある時点で一貫性のあるスナップショットを取得するWindowsの仕組み。"@ja ;
skos:altLabel "Volume Shadow Copy Service" ;
ks:verifiedBy .
a skos:Concept ;
skos:prefLabel "権限昇格"@ja ;
skos:definition "認証された利用者が、許可されていない高い権限や状態へ変更できる脆弱性の結果。"@ja ;
skos:altLabel "privilege escalation" .
a skos:Concept ;
skos:prefLabel "横展開(ラテラルムーブメント)"@ja ;
skos:definition "侵害した1台を足がかりに、同じネットワーク内の他の端末やサーバーへ侵害を広げる攻撃の段階。"@ja ;
skos:altLabel "ラテラルムーブメント"@ja ;
skos:altLabel "lateral movement" .
a skos:Concept ;
skos:prefLabel "ハイブ"@ja ;
skos:definition "起動時やユーザーのログオン時にメモリへ読み込まれる、レジストリのキー・サブキー・値のまとまり。それぞれがファイルとして保存され、その多くは%SystemRoot%\\System32\\Configにある。"@ja ;
skos:altLabel "レジストリハイブ"@ja ;
skos:altLabel "Registry hive" .
a skos:Concept ;
skos:prefLabel "レジストリ"@ja ;
skos:definition "Windowsが設定情報を階層的なキーと値で保持するシステムのデータストアで、小さなフラグやWindows連携情報の保存に適する。"@ja ;
skos:altLabel "Windowsレジストリ"@ja ;
ks:storedIn .
a skos:Concept ;
skos:prefLabel "icacls"@ja ;
skos:definition "DACLの表示・変更を行うコマンドラインツール。/saveでACLをファイルへ保存し/restoreで復元でき、/grant・/remove・/resetなどのオプションを持つ。"@ja ;
skos:altLabel "icacls.exe" ;
ks:recommendedFor .
a skos:Concept ;
skos:prefLabel "vssadmin"@ja ;
skos:definition "現在のボリュームシャドウコピーと、インストールされているシャドウコピーライター・プロバイダーを表示・操作するコマンド。"@ja ;
ks:recommendedFor .
a skos:Concept ;
skos:prefLabel "復元ポイント"@ja ;
skos:definition "システムの復元でシステムをある時点の状態へ戻すための記録。ボリュームシャドウコピーを使って作られる。"@ja ;
skos:altLabel "システムの復元ポイント"@ja ;
skos:altLabel "System Restore point" ;
ks:uses .
a skos:Concept ;
skos:prefLabel "Windows LAPS"@ja ;
skos:definition "ローカル管理者アカウントのパスワードを端末ごとにランダム化して自動ローテーションし、Active DirectoryまたはMicrosoft Entra IDにバックアップする、Windowsに組み込まれた機能。"@ja ;
skos:altLabel "LAPS" ;
skos:altLabel "Local Administrator Password Solution" ;
ks:mitigates .
a skos:Concept ;
skos:prefLabel "Pass-the-Hash"@ja ;
skos:definition "盗んだパスワードのハッシュ(NTハッシュ)を使って、平文パスワードを知らないままNTLM認証を通過する攻撃。"@ja ;
skos:altLabel "Pass-the-Hash攻撃"@ja .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:requires ;
rdf:object ;
schema:description "悪用にはシステムドライブのVSSシャドウコピーが存在することが必要だった。シャドウコピーがあれば、一般ユーザーがその中のSAMなどのファイルを読めた。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mayCause ;
rdf:object ;
schema:description "攻撃者が対象のPCでコードを実行できることを前提に、SYSTEM権限での任意のコード実行につながる権限昇格の脆弱性とされる。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mayCause ;
rdf:object ;
schema:description "SAMから取り出したパスワードのハッシュと同じパスワードがほかのPCのローカル管理者にも使われていれば、被害はそのPCの外へ広がりうる。CERT/CCが挙げたハッシュの取り出しと、Windows LAPSの文書の説明から組み立てた記事の説明で、CVEの告知が横展開を明記しているわけではない。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "context-dependent" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:storedIn ;
rdf:object ;
schema:description "SAMはHKEY_LOCAL_MACHINE\\SAMハイブとして、%SystemRoot%\\System32\\ConfigのSam・Sam.log・Sam.savに保存される。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:storedIn ;
rdf:object ;
schema:description "レジストリはハイブという単位でファイルに保存され、その多くは%SystemRoot%\\System32\\Configにある。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:verifiedBy ;
rdf:object ;
schema:description "管理者ではないコマンドプロンプトでicacls %windir%\\system32\\config\\samを実行し、BUILTIN\\Users:(I)(RX)が表示されれば影響を受ける状態、アクセスが拒否されれば影響を受けない状態と見分けられる。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:recommendedFor ;
rdf:object ;
schema:description "更新を遅らせる場合の回避策として、icaclsでsystem32\\configの中身へのアクセスを制限するようMicrosoftが案内した。シャドウコピーの削除と組み合わせる必要がある。バックアップから復元したあとも、icaclsでACLを確かめる。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:recommendedFor ;
rdf:object ;
schema:description "2021年8月の更新を適用したあと、vssadminでシステムドライブのシャドウコピーを一覧し、削除する。更新だけでは更新前のシャドウコピーに残ったファイルが読めるままになる。削除したシャドウコピーに依存する復元ポイントは使えなくなる。"@ja ;
ks:evidence , ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:verifiedBy ;
rdf:object ;
schema:description "システムドライブのシャドウコピーがあるかは、管理者のコマンドプロンプトでvssadmin list shadowsを実行して確かめられる。"@ja ;
ks:evidence , , ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:uses ;
rdf:object ;
schema:description "復元ポイントはボリュームシャドウコピーを使う。システムドライブが128GBを超えるPCでは、Windows UpdateやMSIのインストールで自動的に作られることがあり、それが悪用の条件のシャドウコピーになった。"@ja ;
ks:evidence , , ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mitigates ;
rdf:object ;
schema:description "MicrosoftはWindows LAPSの利点として、Pass-the-Hashや横展開の攻撃への保護を挙げている。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "established" .
[] a rdf:Statement ;
rdf:subject ;
rdf:predicate ks:mitigates ;
rdf:object ;
schema:description "ローカル管理者アカウントが多くの端末で同じパスワードを共有していると、攻撃者はそれを利用して横展開できる。Windows LAPSは端末ごとにローカル管理者のパスワードを定期的に変更して保管するので、1台で得たローカル管理者の資格情報をほかの端末で使い回せない。抑えられるのはこの使い回しによる経路で、ほかの経路による横展開まで防ぐわけではない。"@ja ;
ks:evidence ;
ks:verifiedAt "2026-11-01" ;
ks:certainty "context-dependent" .