@prefix schema: <https://schema.org/> .
@prefix skos: <http://www.w3.org/2004/02/skos/core#> .
@prefix rdf: <http://www.w3.org/1999/02/22-rdf-syntax-ns#> .
@prefix ks: <https://comcomponent.com/vocab/> .

<https://comcomponent.com/blog/windows-petitpotam-cve-2021-36942-ad-cs/#article>
    schema:about <https://comcomponent.com/knowledge/cve-2021-36942/>, <https://comcomponent.com/knowledge/ad-cs/>, <https://comcomponent.com/knowledge/ntlm-relay-attack/> ;
    schema:mentions <https://comcomponent.com/knowledge/cve-2022-26925/>, <https://comcomponent.com/knowledge/ms-efsr/>, <https://comcomponent.com/knowledge/lsarpc/>, <https://comcomponent.com/knowledge/named-pipe/>, <https://comcomponent.com/knowledge/ntlm-authentication-coercion/>, <https://comcomponent.com/knowledge/ntlm/>, <https://comcomponent.com/knowledge/ntlmv1/>, <https://comcomponent.com/knowledge/ca-web-enrollment/>, <https://comcomponent.com/knowledge/certificate-enrollment-web-service/>, <https://comcomponent.com/knowledge/extended-protection-for-authentication/>, <https://comcomponent.com/knowledge/restrict-ntlm/>, <https://comcomponent.com/knowledge/domain-controller/>, <https://comcomponent.com/knowledge/ntlm-operational-log/>, <https://comcomponent.com/knowledge/microsoft-defender-for-identity/> .

<https://comcomponent.com/knowledge/cve-2021-36942/> a skos:Concept ;
    skos:prefLabel "CVE-2021-36942"@ja ;
    skos:definition "2021年8月に公開されたWindows Serverの脆弱性。認証を受けていない攻撃者がLSARPCインターフェイスのメソッドを呼び出し、ドメインコントローラーにNTLMで別のサーバーへ認証させることができた。AD CSへのNTLMリレーと組み合わせた攻撃はPetitPotamと呼ばれる。"@ja ;
    skos:altLabel "PetitPotam" ;
    skos:altLabel "Windows LSA Spoofing Vulnerability" ;
    ks:uses <https://comcomponent.com/knowledge/ms-efsr/> ;
    ks:uses <https://comcomponent.com/knowledge/lsarpc/> .

<https://comcomponent.com/knowledge/ad-cs/> a skos:Concept ;
    skos:prefLabel "AD CS"@ja ;
    skos:definition "安全な通信や認証に使うPKI証明書を発行・管理するWindows Serverの役割。証明機関（CA）やWeb登録などの機能を持つ。"@ja ;
    skos:altLabel "Active Directory証明書サービス"@ja ;
    skos:altLabel "Active Directory Certificate Services" .

<https://comcomponent.com/knowledge/ntlm-relay-attack/> a skos:Concept ;
    skos:prefLabel "NTLMリレー攻撃"@ja ;
    skos:definition "攻撃者が被害者とサーバーの間でNTLMのチャレンジ/レスポンスをそのまま中継し、被害者になりすます攻撃。応答が宛先を縛らないNTLMの弱点を突く。"@ja ;
    skos:altLabel "NTLM Relay Attack" ;
    skos:altLabel "SMBリレー攻撃"@ja .

<https://comcomponent.com/knowledge/ms-efsr/> a skos:Concept ;
    skos:prefLabel "MS-EFSR"@ja ;
    skos:definition "暗号化ファイルシステム（EFS）の暗号化ファイルをリモートから操作するためのRPCプロトコル。メッセージはSMB上の名前付きパイプで送られる。"@ja ;
    skos:altLabel "Encrypting File System Remote Protocol" ;
    skos:altLabel "EFSRPC" ;
    ks:uses <https://comcomponent.com/knowledge/named-pipe/> .

<https://comcomponent.com/knowledge/lsarpc/> a skos:Concept ;
    skos:prefLabel "LSARPC"@ja ;
    skos:definition "名前付きパイプ\\pipe\\lsarpcで公開されるLSAのRPCインターフェイス。MS-EFSRの仕様では、サーバーはこのエンドポイントに送られたEFSRPCのメッセージにも応答してよい。"@ja ;
    skos:altLabel "\\pipe\\lsarpc" .

<https://comcomponent.com/knowledge/named-pipe/> a skos:Concept ;
    skos:prefLabel "名前付きパイプ"@ja ;
    skos:definition "Windowsのプロセス間通信手段のひとつ。リモートからの利用はアプリ自身のポートではなくSMB(TCP 445)を経由する。"@ja .

<https://comcomponent.com/knowledge/ntlm-authentication-coercion/> a skos:Concept ;
    skos:prefLabel "NTLM認証の誘発"@ja ;
    skos:definition "利用者が接続を選択していなくても、端末から攻撃者が管理する接続先へのNTLM認証を起こさせ、チャレンジ／レスポンスを送らせる攻撃手法。送られる応答は平文パスワードやNTハッシュそのものではない。"@ja ;
    skos:altLabel "NTLM authentication coercion" .

<https://comcomponent.com/knowledge/cve-2022-26925/> a skos:Concept ;
    skos:prefLabel "CVE-2022-26925"@ja ;
    skos:definition "2022年5月に公開されたWindowsの脆弱性。LSARPCを通じてドメインコントローラーにNTLMで攻撃者へ認証させることができた。更新はLSARPCへの匿名の接続の試みを検出して拒否する。"@ja ;
    ks:uses <https://comcomponent.com/knowledge/lsarpc/> .

<https://comcomponent.com/knowledge/ca-web-enrollment/> a skos:Concept ;
    skos:prefLabel "証明機関Web登録"@ja ;
    skos:definition "ブラウザーからIIS上のWebサイトで証明書を申請・更新できるようにする、AD CSの役割サービス。"@ja ;
    skos:altLabel "Certification Authority Web Enrollment" ;
    skos:altLabel "Certificate Authority Web Enrollment" ;
    ks:implements <https://comcomponent.com/knowledge/ad-cs/> .

<https://comcomponent.com/knowledge/certificate-enrollment-web-service/> a skos:Concept ;
    skos:prefLabel "証明書の登録Webサービス"@ja ;
    skos:definition "HTTPSで証明書の要求を受け付け、要求者に代わって証明機関に証明書の登録を行う、AD CSの役割サービス。"@ja ;
    skos:altLabel "Certificate Enrollment Web Service" ;
    skos:altLabel "CES" ;
    ks:implements <https://comcomponent.com/knowledge/ad-cs/> .

<https://comcomponent.com/knowledge/ntlm/> a skos:Concept ;
    skos:prefLabel "NTLM"@ja ;
    skos:definition "パスワードの一方向ハッシュを使ったチャレンジ/レスポンス方式の認証プロトコル群(LANMAN・NTLMv1・NTLMv2を含む)。相互認証を持たず、サーバーが本物であると仮定できる環境向けに設計されている。"@ja ;
    skos:altLabel "NTLM認証"@ja ;
    skos:altLabel "Windows Challenge/Response" ;
    skos:altLabel "NTLM Security Support Provider" .

<https://comcomponent.com/knowledge/extended-protection-for-authentication/> a skos:Concept ;
    skos:prefLabel "Extended Protection for Authentication"@ja ;
    skos:definition "認証を意図した接続先や通信チャネルに結び付け、対応サービスに対するNTLMリレーを防ぐための保護。適用できるサービスと設定条件を確認して有効にする。"@ja ;
    skos:altLabel "EPA" ;
    ks:recommendedFor <https://comcomponent.com/knowledge/ca-web-enrollment/> ;
    ks:recommendedFor <https://comcomponent.com/knowledge/certificate-enrollment-web-service/> ;
    ks:incompatibleWith <https://comcomponent.com/knowledge/ntlmv1/> .

<https://comcomponent.com/knowledge/ntlmv1/> a skos:Concept ;
    skos:prefLabel "NTLMv1"@ja ;
    skos:definition "NTLMプロトコル群の第1版。Windows 11 バージョン24H2およびWindows Server 2025で削除された。"@ja ;
    skos:altLabel "NTLM バージョン1"@ja ;
    skos:broader <https://comcomponent.com/knowledge/ntlm/> .

<https://comcomponent.com/knowledge/restrict-ntlm/> a skos:Concept ;
    skos:prefLabel "「NTLMを制限する」ポリシー群"@ja ;
    skos:definition "送信NTLMトラフィック・受信NTLMトラフィック・ドメイン内NTLM認証を、監査から拒否まで段階的に制御できるセキュリティポリシー群。"@ja ;
    skos:altLabel "Restrict NTLM" ;
    skos:altLabel "ネットワークセキュリティ: NTLMを制限する"@ja ;
    ks:recommendedFor <https://comcomponent.com/knowledge/ad-cs/> .

<https://comcomponent.com/knowledge/domain-controller/> a skos:Concept ;
    skos:prefLabel "ドメインコントローラー"@ja ;
    skos:definition "Active Directoryのディレクトリサービスを提供し、KDCの機能やNTLMのパススルー認証の相手を担うサーバー。"@ja ;
    skos:altLabel "DC" .

<https://comcomponent.com/knowledge/ntlm-operational-log/> a skos:Concept ;
    skos:prefLabel "NTLM/Operationalログ"@ja ;
    skos:definition "NTLM監査の記録先ログ。ドメインコントローラーのイベント8004、メンバーサーバーの8003、クライアントの8001などが記録され、対応するセキュリティ監査イベントポリシーは存在しない。"@ja ;
    skos:altLabel "Microsoft-Windows-NTLM/Operational" .

<https://comcomponent.com/knowledge/microsoft-defender-for-identity/> a skos:Concept ;
    skos:prefLabel "Microsoft Defender for Identity"@ja ;
    skos:definition "ドメインコントローラーやAD CSなどに置いたセンサーで、Active Directoryに対する攻撃の兆候を検出するMicrosoftのセキュリティ製品。"@ja ;
    skos:altLabel "Defender for Identity" ;
    skos:altLabel "MDI" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/cve-2021-36942/> ;
    rdf:predicate ks:uses ;
    rdf:object <https://comcomponent.com/knowledge/ms-efsr/> ;
    schema:description "CVE-2021-36942では、LSARPC経由で呼び出せるEFSRPCのメソッドが使われた。2021年8月の更新はLSARPC経由のOpenEncryptedFileRawAとOpenEncryptedFileRawWの呼び出しを止める。"@ja ;
    ks:evidence <https://api.msrc.microsoft.com/sug/v2.0/en-US/vulnerability/CVE-2021-36942> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "established" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/cve-2021-36942/> ;
    rdf:predicate ks:uses ;
    rdf:object <https://comcomponent.com/knowledge/lsarpc/> ;
    schema:description "認証を受けていない攻撃者がLSARPCインターフェイスのメソッドを呼び出すことで成立した。"@ja ;
    ks:evidence <https://api.msrc.microsoft.com/sug/v2.0/en-US/vulnerability/CVE-2021-36942> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "established" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/ms-efsr/> ;
    rdf:predicate ks:uses ;
    rdf:object <https://comcomponent.com/knowledge/named-pipe/> ;
    schema:description "EFSRPCのメッセージはSMB上の名前付きパイプで送られ、仕様では\\pipe\\efsrpcへ送るべきとされる。"@ja ;
    ks:evidence <https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-efsr/ab3c0be4-5b55-4a08-b198-f17170100be6> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "established" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/ms-efsr/> ;
    rdf:predicate ks:uses ;
    rdf:object <https://comcomponent.com/knowledge/lsarpc/> ;
    schema:description "MS-EFSRの仕様では、サーバーは\\pipe\\lsarpcへ送られたEFSRPCのメッセージにも応答してよい（MAY）。"@ja ;
    ks:evidence <https://learn.microsoft.com/en-us/openspecs/windows_protocols/ms-efsr/ab3c0be4-5b55-4a08-b198-f17170100be6> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "context-dependent" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/cve-2021-36942/> ;
    rdf:predicate ks:mayCause ;
    rdf:object <https://comcomponent.com/knowledge/ntlm-authentication-coercion/> ;
    schema:description "認証を受けない呼び出しで、ドメインコントローラーにNTLMで別のサーバーへ認証させることができた。"@ja ;
    ks:evidence <https://api.msrc.microsoft.com/sug/v2.0/en-US/vulnerability/CVE-2021-36942> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "context-dependent" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/cve-2022-26925/> ;
    rdf:predicate ks:uses ;
    rdf:object <https://comcomponent.com/knowledge/lsarpc/> ;
    schema:description "CVE-2022-26925もLSARPCを通じた誘発で、更新はLSARPCへの匿名の接続の試みを検出して拒否する。"@ja ;
    ks:evidence <https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26925> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "established" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/cve-2022-26925/> ;
    rdf:predicate ks:mayCause ;
    rdf:object <https://comcomponent.com/knowledge/ntlm-authentication-coercion/> ;
    schema:description "ドメインコントローラーにNTLMで攻撃者へ認証させることができた。"@ja ;
    ks:evidence <https://msrc.microsoft.com/update-guide/vulnerability/CVE-2022-26925> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "context-dependent" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/ntlm-authentication-coercion/> ;
    rdf:predicate ks:mayCause ;
    rdf:object <https://comcomponent.com/knowledge/ntlm-relay-attack/> ;
    schema:description "誘発されたドメインコントローラーのNTLM認証は、保護のないAD CSのWeb登録へ中継され得た。KB5005413はPetitPotamを古典的なNTLMリレー攻撃と呼ぶ。"@ja ;
    ks:evidence <https://support.microsoft.com/en-us/servicing/os/windows-server/2021/07/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs>, <https://www.microsoft.com/en-us/msrc/blog/2024/12/mitigating-ntlm-relay-attacks-by-default> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "context-dependent" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/ca-web-enrollment/> ;
    rdf:predicate ks:implements ;
    rdf:object <https://comcomponent.com/knowledge/ad-cs/> ;
    schema:description "証明機関Web登録は、ブラウザーからIIS上のWebサイトで証明書を申請するAD CSの役割サービスで、KB5005413が影響を受け得るとした二つの役割サービスの一つ。"@ja ;
    ks:evidence <https://learn.microsoft.com/en-us/windows-server/identity/ad-cs/certificate-authority-web-enrollment>, <https://support.microsoft.com/en-us/servicing/os/windows-server/2021/07/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "established" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/certificate-enrollment-web-service/> ;
    rdf:predicate ks:implements ;
    rdf:object <https://comcomponent.com/knowledge/ad-cs/> ;
    schema:description "証明書の登録WebサービスはHTTPSで証明書の要求を受け付け、要求者に代わって証明機関に登録を行うAD CSの役割サービスで、KB5005413が影響を受け得るとした二つの役割サービスの一つ。"@ja ;
    ks:evidence <https://learn.microsoft.com/en-us/windows-server/identity/ad-cs/certificate-enrollment-web-service>, <https://support.microsoft.com/en-us/servicing/os/windows-server/2021/07/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "established" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/certificate-enrollment-web-service/> ;
    rdf:predicate ks:uses ;
    rdf:object <https://comcomponent.com/knowledge/ntlm/> ;
    schema:description "統合Windows認証では、KerberosまたはNTLMで要求者を認証する。"@ja ;
    ks:evidence <https://learn.microsoft.com/en-us/windows-server/identity/ad-cs/certificate-enrollment-web-service> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "context-dependent" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/extended-protection-for-authentication/> ;
    rdf:predicate ks:mitigates ;
    rdf:object <https://comcomponent.com/knowledge/ntlm-relay-attack/> ;
    schema:description "EPAは認証の要求を接続先のSPNと外側のTLS通信路に結び付け、EPAを必須にしたサービスは通信路と結び付いていない中継された認証を拒否できる。"@ja ;
    ks:evidence <https://learn.microsoft.com/en-us/iis/configuration/system.webserver/security/authentication/windowsauthentication/extendedprotection/>, <https://support.microsoft.com/en-us/servicing/os/windows-server/2021/07/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "context-dependent" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/extended-protection-for-authentication/> ;
    rdf:predicate ks:recommendedFor ;
    rdf:object <https://comcomponent.com/knowledge/ca-web-enrollment/> ;
    schema:description "KB5005413の主な対策として、証明機関Web登録のEPAを必須（Required）にし、Require SSLでHTTPSだけを受け付ける。"@ja ;
    ks:evidence <https://support.microsoft.com/en-us/servicing/os/windows-server/2021/07/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "established" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/extended-protection-for-authentication/> ;
    rdf:predicate ks:recommendedFor ;
    rdf:object <https://comcomponent.com/knowledge/certificate-enrollment-web-service/> ;
    schema:description "KB5005413の主な対策として、証明書の登録WebサービスのEPAを必須にし、web.configのextendedProtectionPolicyをAlwaysにする。"@ja ;
    ks:evidence <https://support.microsoft.com/en-us/servicing/os/windows-server/2021/07/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "established" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/extended-protection-for-authentication/> ;
    rdf:predicate ks:incompatibleWith ;
    rdf:object <https://comcomponent.com/knowledge/ntlmv1/> ;
    schema:description "EPAはNTLMv2、Kerberos、ダイジェスト、ネゴシエートの各認証に適用され、NTLMv1には適用されない。"@ja ;
    ks:evidence <https://support.microsoft.com/en-us/servicing/os/windows/2022/11/kb5021989-extended-protection-for-authentication> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "established" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/restrict-ntlm/> ;
    rdf:predicate ks:recommendedFor ;
    rdf:object <https://comcomponent.com/knowledge/ad-cs/> ;
    schema:description "KB5005413は追加の対策として、ドメインコントローラーやAD CSのサーバーでNTLMを拒否する方法を、安全な順に挙げている。"@ja ;
    ks:evidence <https://support.microsoft.com/en-us/servicing/os/windows-server/2021/07/kb5005413-mitigating-ntlm-relay-attacks-on-active-directory-certificate-services-ad-cs> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "established" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/domain-controller/> ;
    rdf:predicate ks:verifiedBy ;
    rdf:object <https://comcomponent.com/knowledge/ntlm-operational-log/> ;
    schema:description "ドメインでのNTLM認証の監査を有効にすると、ドメインコントローラーのNTLM運用ログにイベント8004が記録される。"@ja ;
    ks:evidence <https://learn.microsoft.com/en-us/previous-versions/windows/it-pro/windows-10/security/threat-protection/security-policy-settings/network-security-restrict-ntlm-audit-ntlm-authentication-in-this-domain>, <https://learn.microsoft.com/en-us/defender-for-identity/deploy/configure-windows-event-collection> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "context-dependent" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/cve-2021-36942/> ;
    rdf:predicate ks:verifiedBy ;
    rdf:object <https://comcomponent.com/knowledge/microsoft-defender-for-identity/> ;
    schema:description "Defender for Identityは、ドメインコントローラーに対するEFS-RPCの悪用をアラート（外部ID 2416）で検出する。"@ja ;
    ks:evidence <https://learn.microsoft.com/en-us/defender-for-identity/whats-new-archive> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "context-dependent" .

[] a rdf:Statement ;
    rdf:subject <https://comcomponent.com/knowledge/ad-cs/> ;
    rdf:predicate ks:verifiedBy ;
    rdf:object <https://comcomponent.com/knowledge/microsoft-defender-for-identity/> ;
    schema:description "AD CSに置いたDefender for Identityのセンサーは、ドメインコントローラーの証明書の不審な要求（ESC8）を検出する。"@ja ;
    ks:evidence <https://learn.microsoft.com/en-us/defender-for-identity/alerts-mdi-classic> ;
    ks:verifiedAt "2026-10-31" ;
    ks:certainty "context-dependent" .