LSASSがKerberos環境にクリアテキストのパスワードを保存しないようにする
LSASSがユーザーがマシンでキーボードインタラクティブログオンを実行した場合、クリアテキストのパスワード を保存することはよく知られたセキュリティリスクです。リモートワークステーションへのRDPの使用。
これに対する古典的な修正もあります-wdigestとtspkgを無効にします。これまでのところ良好ですが、Kerberosがサポートされている場合は、チケット許可チケット（TGT）を更新するためにクリアテキストのパスワードが必要となるため、岩と困難な場所の間に残ります-Kerberosをサポートせずにすべてを楽しんでくださいハッシュの受け渡しに関連するリスク、またはKerberosをサポートし、クリートテキストパスワードのリスクを受け入れます。リンクされた投稿は、私が受け入れられないと思う以下のアドバイスを提供します：
したがって、最も効果的な保護は、信頼できないホストへの対話型ログオンを回避することです。
大企業には数千のサーバーがありますが、どのサーバーが危険にさらされており、ログインを回避すべきかをどのようにして知っていますか
私の質問：安全なキーボードインタラクティブログオンを許可する2FAを（後でこれらの問題に）展開する以外の実用的な方法はありますか？
追伸2FAについて。最も一般的な方法は、パスコード+ OTPおよびスマートカード上のX.509 PKIです。それらは完璧でもありません：
- lsassプロセスをハイジャックした場合、パスコードが有効な間は、間違いなくotp + passcodeを使用して他のサーバーにログオンできます。自動化を使用すると、これは60秒間に数十以上のサーバーにログオンしたことを意味します
- この TechNet記事 に従って、ユーザーはPINをサーバーに送信し、スマートカードをRDPサーバーで使用できるようにします。同じプロセス最初の項目は、管理者が侵入先のサーバーをクリックして離れている間に、多くのサーバーをハッキングするために使用できます。
°º¤ø,¸¸,ø¤º°`°º¤ø,¸,ø¤°º¤ø,¸¸,ø¤º°`°º¤ø,¸°º¤ø,¸¸,ø¤º°`°º¤ø,¸,ø¤°º¤ø,¸¸,ø¤º°`°º¤ø,¸
2018 Update：Windows Server 2012 R2およびWindows 8.1以降、LSASSは を有効にすることで保護されたプロセスとして実行できますRunAsPPL の設定と資格情報のダンプの禁止。 Windows 10およびServer 2016以降、 Windows Credential Guard がデフォルトで有効になり、同様の結果が得られます。
°º¤ø,¸¸,ø¤º°`°º¤ø,¸,ø¤°º¤ø,¸¸,ø¤º°`°º¤ø,¸°º¤ø,¸¸,ø¤º°`°º¤ø,¸,ø¤°º¤ø,¸¸,ø¤º°`°º¤ø,¸
あなたの質問に答えるには：psexecを使用してリモートのコマンドシェルを取得するのが最も安全な方法だと思います。この方法では、プレーンテキストのパスワードは保存されません。それとも、対話型で、GUIを使用するという意味ですか？
残念ながら、最善の解決策は、可能な限りインタラクティブログインを回避することです。
幸い、マシンをリモートで管理する安全な方法がいくつかあります。
- winrm（Invoke-Command powershellを含む）
- psexec（ "-u"オプションを使用しない場合のみ）
- リモートアシスタンス
これらはかなり安全です。マシンでトークンを生成しますが、これはWindowsアーキテクチャの一部であり、バグ/欠陥ではありません。
Mimikatzを使用してプレーンテキストのパスワードをダンプすることが可能であるため、可能な場合は常に次のものを使用しないでください。
- RDP
- "-u"オプションを指定したpsexec
Windows 8.1（およびWindows 2012R2？）では、プレーンテキストのwdigestパスワードはデフォルトで無効になっています。ただし、 this の記事に示されているように、レジストリでプレーンテキストのパスワードストレージを再度有効にすることができます。そして、常に kerberos attack があります。
私の答えは気に入らないかもしれませんが、問題はありません。わかりました、パスワードをクリアテキストでメモリに保持することは理想的ではなく、このような場合に必要です。それはどのようにセキュリティリスクになりますか？これを悪用するには、lsassが保護されたシステムアカウントで実行されるため、管理者権限が必要です。そして、悪用したいのと同じユーザーとしてログインします。したがって、これに起因する特権の昇格はありません。ログインした管理者は、自分の平文パスワードにアクセスできます。プログラムがユーザーの介入なしにクリアテキストのパスワードにアクセスできる場合、問題が発生します。これはそうではありません（UAC、インジェクトコードへのアクセスなど）。
特定の質問について：知る方法は？あなたは知りません。ユーザーが自分のパスワードを友達に教えるときと同じです。それを防ぐことはできません。
はい。パスワードを直接入力しないため、2FAまたはスマートカードを使用することをお勧めします。