知識マップ: PetitPotamはなぜドメインコントローラーの認証をAD CSへ中継できたのか？

記事「PetitPotamはなぜドメインコントローラーの認証をAD CSへ中継できたのか？」の主張を、概念と関係(エッジ)に分解した知識グラフの全体です。各関係には根拠・確認日・確度が付いています。

CVE-2021-36942はLSARPC経由で呼び出せるMS-EFSRのメソッドを使い、ドメインコントローラーにNTLM認証を誘発する脆弱性だった。誘発された認証は保護のないAD CSの証明機関Web登録や証明書の登録Webサービスへ中継され得た。KB5005413はこれらのWeb登録でEPAを必須にし、NTLMを制限するよう勧めている。EPAはNTLMv1には適用されない。

flowchart LR
    accTitle: PetitPotamとAD CSへのNTLMリレーの知識マップ
    accDescr: CVE-2021-36942によるNTLM認証の誘発、AD CSのWeb登録へのNTLMリレー、EPAとNTLM制限による対策、記録による確認の関係図。
    cve_2021_36942["CVE-2021-36942"]
    ad_cs["AD CS"]
    ntlm_relay_attack["NTLMリレー攻撃"]
    ms_efsr["MS-EFSR"]
    lsarpc["LSARPC"]
    named_pipe["名前付きパイプ"]
    ntlm_authentication_coercion["NTLM認証の誘発"]
    cve_2022_26925["CVE-2022-26925"]
    ca_web_enrollment["証明機関Web登録"]
    certificate_enrollment_web_service["証明書の登録Webサービス"]
    ntlm["NTLM"]
    extended_protection_for_authentication["Extended Protection for Authentication"]
    ntlmv1["NTLMv1"]
    restrict_ntlm["「NTLMを制限する」ポリシー群"]
    domain_controller["ドメインコントローラー"]
    ntlm_operational_log["NTLM/Operationalログ"]
    microsoft_defender_for_identity["Microsoft Defender for Identity"]
    cve_2021_36942 -->|"利用する"| ms_efsr
    cve_2021_36942 -->|"利用する"| lsarpc
    ms_efsr -->|"利用する"| named_pipe
    ms_efsr -.->|"利用する"| lsarpc
    cve_2021_36942 -.->|"原因になり得る"| ntlm_authentication_coercion
    cve_2022_26925 -->|"利用する"| lsarpc
    cve_2022_26925 -.->|"原因になり得る"| ntlm_authentication_coercion
    ntlm_authentication_coercion -.->|"原因になり得る"| ntlm_relay_attack
    ca_web_enrollment -->|"実装を担う"| ad_cs
    certificate_enrollment_web_service -->|"実装を担う"| ad_cs
    certificate_enrollment_web_service -.->|"利用する"| ntlm
    extended_protection_for_authentication -.->|"軽減する"| ntlm_relay_attack
    extended_protection_for_authentication -->|"推奨される対応"| ca_web_enrollment
    extended_protection_for_authentication -->|"推奨される対応"| certificate_enrollment_web_service
    extended_protection_for_authentication -->|"両立しない"| ntlmv1
    restrict_ntlm -->|"推奨される対応"| ad_cs
    domain_controller -.->|"で確認できる"| ntlm_operational_log
    cve_2021_36942 -.->|"で確認できる"| microsoft_defender_for_identity
    ad_cs -.->|"で確認できる"| microsoft_defender_for_identity

概念間の関係(全19件)

図と同じ関係を文章でも列挙します。表示している文と機械可読な意味データ(RDFa)は同じ要素に載っています。確度が「確立した関係」のものは直接の関係として、「条件付きの関係」のものは成立条件つきの言明(rdf:Statement)として表現しています。

CVE-2021-36942はMS-EFSRを利用します。CVE-2021-36942では、LSARPC経由で呼び出せるEFSRPCのメソッドが使われた。2021年8月の更新はLSARPC経由のOpenEncryptedFileRawAとOpenEncryptedFileRawWの呼び出しを止める。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典
CVE-2021-36942はLSARPCを利用します。認証を受けていない攻撃者がLSARPCインターフェイスのメソッドを呼び出すことで成立した。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典
MS-EFSRは名前付きパイプを利用します。EFSRPCのメッセージはSMB上の名前付きパイプで送られ、仕様では\pipe\efsrpcへ送るべきとされる。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典
MS-EFSRはLSARPCを利用します。MS-EFSRの仕様では、サーバーは\pipe\lsarpcへ送られたEFSRPCのメッセージにも応答してよい（MAY）。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典
CVE-2021-36942はNTLM認証の誘発の原因になることがあります。認証を受けない呼び出しで、ドメインコントローラーにNTLMで別のサーバーへ認証させることができた。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典
CVE-2022-26925はLSARPCを利用します。CVE-2022-26925もLSARPCを通じた誘発で、更新はLSARPCへの匿名の接続の試みを検出して拒否する。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典
CVE-2022-26925はNTLM認証の誘発の原因になることがあります。ドメインコントローラーにNTLMで攻撃者へ認証させることができた。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典
NTLM認証の誘発はNTLMリレー攻撃の原因になることがあります。誘発されたドメインコントローラーのNTLM認証は、保護のないAD CSのWeb登録へ中継され得た。KB5005413はPetitPotamを古典的なNTLMリレー攻撃と呼ぶ。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典出典
証明機関Web登録はAD CSの実装を担います。証明機関Web登録は、ブラウザーからIIS上のWebサイトで証明書を申請するAD CSの役割サービスで、KB5005413が影響を受け得るとした二つの役割サービスの一つ。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典出典
証明書の登録WebサービスはAD CSの実装を担います。証明書の登録WebサービスはHTTPSで証明書の要求を受け付け、要求者に代わって証明機関に登録を行うAD CSの役割サービスで、KB5005413が影響を受け得るとした二つの役割サービスの一つ。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典出典
証明書の登録WebサービスはNTLMを利用します。統合Windows認証では、KerberosまたはNTLMで要求者を認証する。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典
Extended Protection for AuthenticationはNTLMリレー攻撃を軽減します。EPAは認証の要求を接続先のSPNと外側のTLS通信路に結び付け、EPAを必須にしたサービスは通信路と結び付いていない中継された認証を拒否できる。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典出典
Extended Protection for Authenticationは証明機関Web登録に対する本記事の推奨です。KB5005413の主な対策として、証明機関Web登録のEPAを必須（Required）にし、Require SSLでHTTPSだけを受け付ける。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典
Extended Protection for Authenticationは証明書の登録Webサービスに対する本記事の推奨です。KB5005413の主な対策として、証明書の登録WebサービスのEPAを必須にし、web.configのextendedProtectionPolicyをAlwaysにする。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典
Extended Protection for AuthenticationはNTLMv1と両立しません。EPAはNTLMv2、Kerberos、ダイジェスト、ネゴシエートの各認証に適用され、NTLMv1には適用されない。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典
「NTLMを制限する」ポリシー群はAD CSに対する本記事の推奨です。KB5005413は追加の対策として、ドメインコントローラーやAD CSのサーバーでNTLMを拒否する方法を、安全な順に挙げている。 / 確度: 確立した関係 / 確認日: 2026-10-31 出典
ドメインコントローラーはNTLM/Operationalログで確認できます。ドメインでのNTLM認証の監査を有効にすると、ドメインコントローラーのNTLM運用ログにイベント8004が記録される。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典出典
CVE-2021-36942はMicrosoft Defender for Identityで確認できます。Defender for Identityは、ドメインコントローラーに対するEFS-RPCの悪用をアラート（外部ID 2416）で検出する。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典
AD CSはMicrosoft Defender for Identityで確認できます。AD CSに置いたDefender for Identityのセンサーは、ドメインコントローラーの証明書の不審な要求（ESC8）を検出する。 / 確度: 条件付きの関係 / 確認日: 2026-10-31 出典

主要概念の定義

CVE-2021-36942: 2021年8月に公開されたWindows Serverの脆弱性。認証を受けていない攻撃者がLSARPCインターフェイスのメソッドを呼び出し、ドメインコントローラーにNTLMで別のサーバーへ認証させることができた。AD CSへのNTLMリレーと組み合わせた攻撃はPetitPotamと呼ばれる。
AD CS: 安全な通信や認証に使うPKI証明書を発行・管理するWindows Serverの役割。証明機関（CA）やWeb登録などの機能を持つ。
NTLMリレー攻撃: 攻撃者が被害者とサーバーの間でNTLMのチャレンジ/レスポンスをそのまま中継し、被害者になりすます攻撃。応答が宛先を縛らないNTLMの弱点を突く。
MS-EFSR: 暗号化ファイルシステム（EFS）の暗号化ファイルをリモートから操作するためのRPCプロトコル。メッセージはSMB上の名前付きパイプで送られる。
CVE-2022-26925: 2022年5月に公開されたWindowsの脆弱性。LSARPCを通じてドメインコントローラーにNTLMで攻撃者へ認証させることができた。更新はLSARPCへの匿名の接続の試みを検出して拒否する。
NTLM認証の誘発: 利用者が接続を選択していなくても、端末から攻撃者が管理する接続先へのNTLM認証を起こさせ、チャレンジ／レスポンスを送らせる攻撃手法。送られる応答は平文パスワードやNTハッシュそのものではない。
証明機関Web登録: ブラウザーからIIS上のWebサイトで証明書を申請・更新できるようにする、AD CSの役割サービス。
証明書の登録Webサービス: HTTPSで証明書の要求を受け付け、要求者に代わって証明機関に証明書の登録を行う、AD CSの役割サービス。
Extended Protection for Authentication: 認証を意図した接続先や通信チャネルに結び付け、対応サービスに対するNTLMリレーを防ぐための保護。適用できるサービスと設定条件を確認して有効にする。
「NTLMを制限する」ポリシー群: 送信NTLMトラフィック・受信NTLMトラフィック・ドメイン内NTLM認証を、監査から拒否まで段階的に制御できるセキュリティポリシー群。
ドメインコントローラー: Active Directoryのディレクトリサービスを提供し、KDCの機能やNTLMのパススルー認証の相手を担うサーバー。

機械可読データ

JSON-LD / Turtle ── この記事の知識グラフ全体
概念一覧 / 語彙(述語)の定義

このデータセットについて

作成: 合同会社小村ソフト
ライセンス: CC BY 4.0 ── 出典(合同会社小村ソフト)とライセンスへのリンクを明示し、改変した場合はその旨を示すことを条件に、再配布・改変を含めて再利用できます
最終確認日: 2026-10-31 ── 収録する関係のうち、最後に出典と照合した日

このページはサイトの知識グラフ(_data/knowledge/)から自動生成されています。誤りの指摘はお問い合わせからお願いします。