Active Directory

exploiting-kerberoasting-with-impacket は、許可されたテスターが Impacket の GetUserSPNs.py を使って Kerberoasting を計画・実行する際に役立ちます。SPN の列挙から TGS チケットの抽出、オフラインでのクラック、検知を意識したレポート作成までをカバーします。侵入テストのワークフローで使うための、導入と利用の文脈が明確な exploiting-kerberoasting-with-impacket ガイドとして活用できます。

configuring-active-directory-tiered-model スキルは、Microsoft ESAE スタイルの Active Directory 階層分離の設計と監査を支援します。この configuring-active-directory-tiered-model ガイドを使えば、Tier 0/1/2 のアクセス、PAW、管理境界、資格情報の露出、セキュリティ監査の指摘を、実装の文脈を踏まえて整理して確認できます。

exploiting-nopac-cve-2021-42278-42287 スキルは、Active Directory における noPac チェーン（CVE-2021-42278 と CVE-2021-42287）の評価に役立つ実践ガイドです。権限のあるレッドチーム担当者や Security Audit ユーザーが、前提条件を確認し、ワークフロー関連ファイルを見直し、推測に頼らずに悪用可能性を整理できるようにします。

exploiting-constrained-delegation-abuse skill は、Kerberos の制約付き委任悪用に関する Active Directory の正当な検証を支援するガイドです。列挙、S4U2self と S4U2proxy のチケット要求、そして横展開や権限昇格につながる実践的な手順を扱います。一般的な Kerberos の解説ではなく、再現性のあるペネトレーションテスト用ガイドが必要なときに適しています。

detecting-pass-the-ticket-attacks は、Windows の Security Event ID 4768、4769、4771 を相関させて Kerberos の Pass-the-Ticket 活動を検知するための skill です。Splunk や Elastic での脅威ハンティングに使えば、チケットの再利用、RC4 へのダウングレード、異常な TGS ボリュームを、実用的なクエリとフィールドの指針つきで見つけやすくなります。

detecting-kerberoasting-attacks skill は、Kerberos の TGS リクエストの不審な挙動、弱いチケット暗号化、サービスアカウントのパターンを手がかりに、Kerberoasting の調査を支援します。SIEM、EDR、EVTX、そして Threat Modeling のワークフローで使えるよう、実践的な検知テンプレートとチューニング指針を備えています。

detecting-golden-ticket-forgery は、Windows Event ID 4769、RC4 ダウングレードの使用（0x17）、異常なチケット有効期間、そして Splunk と Elastic における krbtgt の異常を分析することで、Kerberos の Golden Ticket ふりかえりを検知します。Security Audit、インシデント調査、脅威ハンティング向けに実用的な検知ガイダンスを備えています。

detecting-credential-dumping-techniques スキルは、Sysmon のイベント ID 10、Windows のセキュリティログ、SIEM の相関ルールを使って、LSASS へのアクセス、SAM のエクスポート、NTDS.dit の窃取、comsvcs.dll を使った MiniDump の悪用を検知するのに役立ちます。脅威ハンティング、検知エンジニアリング、Security Audit のワークフロー向けに設計されています。

deploying-active-directory-honeytokens は、Security Audit 向けに Active Directory のハニートークンを計画・生成するのに役立つ技能です。偽の特権アカウント、Kerberoasting 検知用の偽 SPN、デコイ GPO の罠、BloodHound を欺くパスなどを含みます。インストール観点のガイダンスに、実運用で役立つスクリプトとテレメトリの着眼点を組み合わせ、導入判断とレビューをしやすくします。

containing-active-breach は、進行中の侵害を封じ込めるためのインシデント対応スキルです。ホストの隔離、不審な通信の遮断、侵害されたアカウントの無効化、横展開の抑止を、実用的な API やスクリプト参照を含む構造化された containing-active-breach ガイドに沿って支援します。

configuring-ldap-security-hardening は、匿名バインド、脆弱な署名、LDAPS 未設定、チャネル バインディングの不足などを含む LDAP リスクを、セキュリティエンジニアや監査担当者が評価するのに役立ちます。この configuring-ldap-security-hardening ガイドを使って参考ドキュメントを確認し、Python の監査ヘルパーを実行し、Security Audit に向けた実用的な修正案をまとめてください。

許可された Active Directory セキュリティ監査業務向けの conducting-domain-persistence-with-dcsync ガイドです。付属のスクリプト、参考資料、レポートテンプレートを使って、DCSync 権限、KRBTGT の露出、Golden Ticket リスク、対処手順を評価するためのインストール手順、使い方、ワークフローの要点を学べます。

building-identity-governance-lifecycle-process は、入社・異動・退職（JML）自動化、アクセスレビュー、ロールベースのプロビジョニング、放置アカウントの整理まで含めた、アイデンティティ・ガバナンスとライフサイクル管理の設計を支援します。一般的な方針案ではなく、実務で使えるワークフローの指針が必要な、システム横断のアクセス制御プログラムに適しています。

auditing-azure-active-directory-configuration skill は、Microsoft Entra ID テナントのセキュリティを点検し、危険な認証設定、管理者ロールの過剰付与、放置アカウント、Conditional Access の抜け、ゲストユーザーの露出、MFA の適用状況を確認するためのスキルです。Graph ベースの証跡と実用的なガイダンスを備えており、Security Audit ワークフロー向けに設計されています。

analyzing-windows-event-logs-in-splunk skill は、SOCアナリストが Splunk 上で Windows の Security、System、Sysmon ログを調査し、認証攻撃、権限昇格、永続化、横展開を追跡するのに役立ちます。インシデントのトリアージ、検知ロジックの設計、タイムライン分析に使え、対応する SPL パターンとイベント ID のガイダンスも含まれています。

analyzing-active-directory-acl-abuse は、セキュリティ監査担当者やインシデント対応者が ldap3 を使って Active Directory の nTSecurityDescriptor データを調査し、ユーザー、グループ、コンピューター、OU に対する GenericAll、WriteDACL、WriteOwner などの悪用経路を見つけるのに役立ちます。