PsExecについて解説

PsExecは、ユーザーがリモートシステム上でプログラムを実行できるようにするコマンドラインツールです。リモートシステム上でリモートコマンド、スクリプト、アプリケーションを実行したり、リモートシステム上でGUIベースのアプリケーションを起動したりするために使用できます。

PsExec は Microsoft Windows サービス制御マネージャー (SCM) を使用してリモート システム上でサービスのインスタンスを開始し、ツールが指定されたコマンドまたはアプリケーションをアカウントの権限で実行できるようにします。 サービスアカウント リモートシステム上で。

接続を確立するには、リモートユーザーはターゲットマシンへのアクセス権限を持ち、ターゲットマシンの名前、ユーザー名、パスワードを以下の形式で指定する必要があります。

PsExec -s \\MACHINE-NAME -u USERNAME -p PASSWORD COMMAND (the process to be executed following establishing the connection).

PsExecは何に使用されますか？

PsExecは、主にWindowsシステム上でのリモート管理やプロセス実行に使用される強力なコマンドラインツールです。システム管理者やセキュリティ担当者は、ネットワーク環境にあるリモートコンピュータ上でコマンドを実行したり、プログラムを実行したりできます。PsExecの一般的な使用例をいくつかご紹介します。

リモートシステム管理PsExecを使用すると、管理者は物理的なアクセスを必要とせずに、複数のWindowsシステムをリモートで管理および運用できます。中央の場所から、リモートマシン上でコマンドの実行、スクリプトの実行、ソフトウェアのインストール、システム構成の変更、およびさまざまな管理タスクを実行できます。

ソフトウェアの展開とアップデートPsExecを使用すると、管理者はソフトウェアパッケージ、パッチ、またはアップデートを複数のコンピュータに同時にリモートで展開できます。この機能は、個々のシステムへの手動インストールが時間と手間がかかり非現実的な大規模環境で特に役立ちます。

トラブルシューティングと診断PsExecは、システムの問題をリモートで診断およびトラブルシューティングするために使用できます。管理者は、診断ツールを実行したり、イベントログにアクセスしたり、システム情報を取得したり、リモートシステム上でトラブルシューティングスクリプトを実行したりすることで、物理的にその場にいなくても問題を特定して解決できます。

セキュリティ監査とパッチ管理セキュリティ専門家は、セキュリティ監査、脆弱性評価、侵入テストなどを実施する際にPsExecをよく利用します。PsExecを使用することで、セキュリティスキャンツールをリモートで実行したり、パッチレベルを確認したり、ネットワーク内のリモートシステムのセキュリティ状況を評価したりすることが可能になります。

インシデント対応とフォレンジックインシデント対応調査において、PsExecは侵害されたシステムへのリモートアクセスを支援し、分析や証拠収集を可能にします。セキュリティアナリストは、侵害されたマシンに直接操作を加えることなく、コマンドを実行したり、フォレンジックツールを実行したりできるため、さらなる侵害やデータ損失のリスクを最小限に抑えることができます。

レッドチームと ラテラルムーブメントレッドチーム演習では、組織が実際の攻撃をシミュレーションしてセキュリティ対策をテストしますが、PsExecはネットワーク内での横方向の移動によく使用されます。攻撃者はPsExecを使用して、侵害されたシステム上でコマンドを実行したり、悪意のあるペイロードを実行したりすることで、横方向に移動し、権限を昇格させて機密リソースへの不正アクセスを取得できます。

自動化とスクリプト作成PsExecはスクリプトやバッチファイルに統合できるため、複数のシステムにわたる反復作業の自動化が可能です。また、スクリプトをリモートで実行する手段を提供することで、管理者は複雑な操作を効率的に実行したり、定期的なメンテナンス作業を行ったりすることができます。

しかし、PsExecは攻撃者にとっても強力なツールになり得ることに注意することが重要です。なぜなら、攻撃者はリモートシステム上で任意のコードを実行できるため、 特権昇格 また、ネットワーク内での横方向の移動も発生します。そのため、PsExecを安全に使用し、信頼できるユーザーとシステムのみにPsExecの使用を制限することが重要です。

PsExecのインストールとセットアップ方法

PsExecのインストールとセットアップは、以下の手順で簡単に行えます。

PsExecをダウンロード中

PsExecをインストールするには、Microsoftの公式Webサイトまたは信頼できるソフトウェアリポジトリにアクセスして、PsExec実行ファイルをダウンロードしてください。セキュリティリスクやマルウェア感染を避けるため、必ず信頼できるソースからダウンロードしてください。

PsExecのインストール

PsExecは正式なインストールプロセスを必要としません。PsExec実行ファイルをダウンロードしたら、ローカルシステムの任意のディレクトリに保存できます。利便性を考慮して、アクセスしやすい場所に保存し、システムのPATH環境変数に追加することをお勧めします。

PsExecを実行してリモートコンピュータに接続する

PsExecを使用してリモートコンピュータに接続するには、次の手順に従ってください。

a. ローカルシステムでコマンドプロンプトまたはターミナルを開きます。

b. PsExec実行可能ファイルを保存したディレクトリに移動します。

c. リモートコンピュータとの接続を確立するには、次のコマンドを使用します。

psexec \\remote_computer_name_or_IP -u username -p password command

• 「remote_computer_name_or_IP」を、接続したいリモートコンピュータの名前またはIPアドレスに置き換えてください。
• 「username」と「password」を、目的の操作に必要な権限を持つリモートコンピュータ上のアカウントの認証情報に置き換えてください。
• リモートコンピュータで実行したいコマンドを指定してください。

d. Enterキーを押してコマンドを実行します。PsExecはリモートコンピュータとの接続を確立し、指定された認証情報を使用して認証を行い、指定されたコマンドをリモートで実行します。

e. 実行したコマンドの出力は、ローカルのコマンドプロンプトまたはターミナルウィンドウに表示されます。

PsExec を使用したコマンドの接続と実行が成功するかどうかは、ローカル システムとリモート コンピューター間のネットワーク接続と正しい設定に依存することに注意してください。 認証 リモートシステム上の認証情報と権限。

PsExecで最もよく使われるコマンドは何ですか？

PsExecには、管理者に強力なリモート実行機能を提供する、よく使用されるコマンドがいくつか用意されています。以下に、最もよく使用されるPsExecコマンドとその機能を示します。

PsExec \remote_computer コマンド:

• リモートコンピュータ上で指定されたコマンドを実行します。
• 管理者がコマンドを実行したり、プログラムをリモートで起動したりできるようにします。

PsExec \remote_computer -s コマンド:

• 指定されたコマンドを、リモートコンピュータ上でシステムレベルの権限で実行します。
• 管理者権限を必要とするコマンドの実行や、システムリソースへのアクセスに便利です。

PsExec \remote_computer -u username -p password コマンド:

• 指定されたユーザー名とパスワードを使用して認証を行い、リモートコンピュータ上で指定されたコマンドを実行します。
• 管理者が特定のユーザー認証情報を使用してリモートシステム上でコマンドを実行できるようにします。

PsExec \remote_computer -c -f -s -d コマンド:

• 指定された実行可能ファイルをリモートコンピュータにコピーし、システムレベルの権限でバックグラウンドで実行し、完了を待たずに実行します。
• ユーザーの操作なしに、リモートシステム上でプログラムを展開および実行する場合に役立ちます。

PsExec \remote_computer -i session_id -d -s コマンド:

• リモートコンピュータ上で、システムレベルの権限を持つ対話型セッションで指定されたコマンドを実行します。
• 対話が必要なコマンドを実行したり、リモートシステムのグラフィカルユーザーインターフェースにアクセスしたりする場合に役立ちます。

PsExec \remote_computer -accepteula -s -c -f script.bat:

• 指定されたスクリプトファイルをリモートコンピュータにコピーし、システムレベルの権限で実行し、完了するまで待機します。
• 管理者が自動化や管理タスクのためのスクリプトをリモートで実行できるようにします。

これらのコマンドは、利用可能なPsExecコマンドのサブセットであり、それぞれがリモート管理および実行において特定の目的を果たします。

PsExecコマンドの構文は次のとおりです。

psexec \computer[,computer[,..] [オプション] コマンド [引数]

  psexec @run_file [options] command [arguments]

PsExecコマンドラインオプション：

PsExecはPowerShellですか？

PsExecはPowerShellではありません。リモートシステム上でプログラムを実行できるようにするコマンドラインツールです。

一方、PowerShellは、Microsoftが開発したタスク自動化および構成管理フレームワークであり、.NETフレームワーク上に構築されたコマンドラインシェルと関連するスクリプト言語が含まれています。PowerShellを使用すると、さまざまなタスクを自動化したり、ローカルシステムまたはリモートシステムで複雑な操作を実行したりできます。

PsExecとPowerShellはどちらも、リモートシステム上でコマンドを実行するなど、同様のタスクを実行するために使用できますが、それぞれ異なるツールであり、異なる機能を備えています。PsExecはリモートシステム上で単一のコマンドまたはアプリケーションを実行するように設計されていますが、PowerShellはより強力なフレームワークであり、リモートシステム上でコマンドやスクリプトを実行するなど、さまざまなタスクを自動化および管理するために使用できます。

したがって、状況によっては、一方のツールが他方よりも適している場合がある。

PsExecの仕組み

PsExecは、独自のアーキテクチャと通信プロトコルを活用することで、Windowsシステム上でのリモート実行を可能にします。PsExecの動作原理における重要な側面を見ていきましょう。

建築とコミュニケーション

PsExecはクライアント/サーバーアーキテクチャを採用しています。ローカルシステム上で実行されるクライアント側コンポーネントは、リモートシステム上で動作するサーバー側コンポーネントとの接続を確立します。この接続により、両システム間でコマンドとデータの送受信が可能になります。

PsExecは、リモートシステムとの通信チャネルを確立するために、サーバーメッセージブロック（SMB）プロトコル、特にSMBファイル共有および名前付きパイプメカニズムを使用します。これにより、クライアントコンポーネントとサーバーコンポーネント間の安全で信頼性の高い通信が可能になります。

認証とセキュリティ

PsExec は、リモート システムへの安全なアクセスを保証するために認証メカニズムを使用します。ユーザー名とパスワードの使用、NTLM (NT LAN Manager) による認証など、さまざまな認証方法をサポートしています。 Kerberos.

セキュリティを強化するには、PsExec を使用する際に認証のベストプラクティスに従うことが不可欠です。これらのプラクティスには、強力で固有のパスワードの使用、実装などが含まれます。 マルチファクタ認証 可能な限り、また最小権限の原則に従い、PsExecユーザーには必要な権限のみを付与する。

ファイルとレジストリへのアクセス

PsExecはリモートシステム上のファイルおよびレジストリへのアクセスを容易にし、管理者がファイルのコピー、スクリプトの実行、レジストリ設定の変更などのタスクを実行できるようにします。リモートでコマンドを実行する場合、PsExecは実行前に必要な実行可能ファイルまたはスクリプトをリモートシステムの一時ディレクトリに一時的にコピーします。

PsExecを使用してファイルやレジストリを操作する際には、潜在的なセキュリティ上の考慮事項を検討することが重要です。例えば、管理者は機密ファイルを転送する際には注意を払い、重要なシステムファイルやレジストリエントリへの不正アクセスや改ざんを防ぐために適切なアクセス制御が設定されていることを確認する必要があります。

PsExecはマルウェアですか？

PsExec自体はマルウェアではありませんが、マルウェアや攻撃者が悪意のある行為を行うために利用される可能性があります。

PsExecは、ユーザーがリモートシステム上でプログラムを実行できるようにする正規のツールです。トラブルシューティング、ソフトウェアのアップデートやパッチの適用、複数のシステムでのコマンドやスクリプトの同時実行など、さまざまな正当なタスクに使用できます。

しかし、PsExecは攻撃者がリモートシステムへの不正アクセスや悪意のある行為を行うために悪用される可能性もあります。例えば、攻撃者はPsExecを使用してリモートシステム上で悪意のあるペイロードを実行したり、ネットワーク内で横方向に移動して機密情報にアクセスしたりする可能性があります。

したがって、PsExecを安全に使用し、信頼できるユーザーとシステムのみにPsExecの使用を限定することが重要です。

PsExecはサイバー攻撃でどのように利用されるのか？

PsExecによって実現される、送信元マシンからターゲットマシンへのシームレスなリモートアクセスは、サイバー攻撃における横方向移動の段階で、攻撃者によって頻繁に悪用されています。これは通常、最初の感染源となるマシンが侵害された後に発生します。 

それ以降、攻撃者は環境内での存在感を拡大し、ドメインの支配権を獲得するか、あるいは特定のデータを入手しようとします。PsExecは、以下の理由から、攻撃者がそれをシームレスかつ確実に実現するための手段を提供します。

攻撃者はどのようにして、侵害された認証情報とPsExecを組み合わせて使用​​できるのでしょうか？

組み合わせることにより 侵害されたユーザー PsExecの認証情報を入手した攻撃者は、認証メカニズムを回避し、複数のシステムにアクセスして、ネットワークの大部分を侵害する可能性があります。この手法により、攻撃者はネットワーク内を横断的に移動し、権限を昇格させ、より広範囲に影響を与える悪意のある目的を達成することが可能になります。

PsExecが横方向移動攻撃において選ばれるツールである理由は？

PsExecは、いくつかの重要な要因から、横方向移動攻撃において「自給自足型」ツールとしてよく選ばれると考えられています。

1. 正当な使用：PsExecは、Mark Russinovich氏によって開発された、Microsoft Sysinternalsの正規ツールです。Windowsシステム上でリモートからプロセスを実行するように設計されており、多くのIT環境で信頼され、広く使用されているツールです。正当な使用方法であるため、セキュリティ監視システムによって検出される可能性は低くなります。

2. ネイティブ統合：PsExecは、Windowsネットワークでファイルやプリンターの共有によく使用されるサーバーメッセージブロック（SMB）プロトコルを活用しています。SMBはWindows環境のネイティブプロトコルであるため、PsExecを使用しても通常はすぐに疑念を抱かれたり、セキュリティ警告が発せられたりすることはありません。
3. 横方向移動機能：PsExecを使用すると、攻撃者は有効な認証情報を使用してリモートシステム上でコマンドを実行したり、プロセスを起動したりできます。この機能は、攻撃者が複数のシステムを侵害してネットワーク内を移動しようとする横方向移動攻撃において特に有効です。PsExecを使用することで、攻撃者は追加の脆弱性やツールを必要とせずに、リモートシステム上でコマンドを実行したり、マルウェアを展開したりできます。
4. ネットワークセグメンテーションの回避：PsExecはネットワークセグメントを横断できるため、攻撃者はネットワークの隔離された部分間を横方向に移動できます。この機能は、最初の侵入ポイントから直接アクセスできないシステムを探索し、侵害しようとする攻撃者にとって非常に重要です。
5. セキュリティ制御の回避：PsExecは、正規の管理プロトコルを利用することで、ファイアウォールルールやネットワークセグメンテーションなどのセキュリティ制御を回避するために使用できます。PsExecは企業ネットワーク内で許可されていることが多いため、セキュリティソリューションによって明示的にブロックまたは監視されない場合があり、攻撃者にとって魅力的な選択肢となります。

PsExecには正当な使用例がある一方で、悪用される可能性や標的環境における存在は、横方向移動攻撃を企む攻撃者にとって魅力的なツールとなるため、注意が必要です。組織は、ネットワークのセグメンテーション、認証情報の管理、監視システムなどの強力なセキュリティ対策を実施し、PsExecや類似ツールの不正使用を検知・防止する必要があります。

ランサムウェア攻撃においてPsExecを使用する利点は何ですか？

PsExec を横方向の移動に使用すると、いくつかの利点があります。 ランサムウェア 俳優:

1. スピードと効率性：各エンドポイントを個別に暗号化するのは時間がかかり、検出リスクも高まりますが、PsExecを使用することで、攻撃者はランサムウェアを複数のシステムに同時に迅速に拡散させることができます。これにより、攻撃者は影響力を最大限に高め、短時間で多数のエンドポイントを暗号化することが可能になります。
2. ローカルセキュリティ制御の回避：各エンドポイントを個別に暗号化すると、個々のシステムでセキュリティアラートがトリガーされる可能性が高くなります。PsExecを使用すると、攻撃者はローカルセキュリティ制御を回避できます。これは、実行が正当で信頼できる管理ツールのコンテキスト内で行われるため、疑念を抱かれる可能性が低くなるためです。
3. より広範なネットワークカバレッジ：PsExecによる横方向の移動により、攻撃者は最初の侵入ポイントから直接アクセスできないシステムにも到達し、感染させることができます。横方向に移動することで、攻撃者はネットワークセグメントを巡回し、重要なデータを保持している可能性のある他のシステムを侵害したり、ネットワークに対するより高度な制御権を獲得したりすることが可能になります。
4. エンドポイント保護の回避：従来のエンドポイント保護ソリューションは、個々のマルウェアサンプルを検出してブロックすることに重点を置いています。攻撃者はPsExecを使用してランサムウェアを拡散することで、これらのエンドポイント保護を回避することができます。なぜなら、ランサムウェアの展開は悪意のあるファイルではなく、正規のツールによって開始されるからです。

エンドポイント保護ツールは、なぜPsExecの悪用を検知・防止できないのでしょうか？

エンドポイント保護ツールは、いくつかの理由から、PsExecの悪用を検出および防止するのに苦労する可能性があります。

1. 正規ツール：PsExecはMicrosoft Sysinternalsが開発した正規ツールであり、正当なシステム管理タスクによく使用されます。エンドポイント保護ソリューションは一般的に既知の悪意のあるファイルや動作の検出に重点を置いており、PsExecは信頼できるツールに分類されます。そのため、このツール自体がすぐに疑念を抱かせることはないでしょう。
2. 間接実行：PsExecは悪意のあるペイロードやマルウェアを直接実行しません。代わりに、ターゲットシステム上でコマンドをリモートで実行したり、ファイルをデプロイしたりする手段として使用されます。悪意のあるアクティビティの実行は正当なプロセス（つまりPsExec）を介して行われるため、エンドポイント保護ツールが正当な使用と悪意のある使用を区別することは困難になります。
3. 暗号化と回避技術：PsExecは、攻撃者とターゲットシステム間の通信を保護するために、組み込みの暗号化機能を使用します。この暗号化により通信内容が隠蔽されるため、エンドポイント保護ツールがペイロードを検査して悪意のある動作を特定することが困難になります。さらに、攻撃者はさまざまな回避技術を用いて活動をさらに難読化するため、従来のシグネチャベースの検出方法ではPsExecベースの攻撃を特定することが難しくなります。
4. 攻撃のカスタマイズ：攻撃者は、ツール名の変更やパラメータの変更など、PsExecの使用方法をカスタマイズして検出を回避することができます。PsExecの特性を変更したり、他の正当なプロセスに組み込んだりすることで、攻撃者はエンドポイント保護ツールで使用される静的シグネチャや動作ヒューリスティックを回避できます。
5. 状況認識の欠如：エンドポイント保護ツールは通常、エンドポイントレベルで動作するため、ネットワーク全体の活動を包括的に把握できない場合があります。PsExec を使用する組織内の正当な管理タスクやワークフローを認識していない可能性があります。そのため、正当な使用と悪意のある使用を区別するために必要な状況認識が欠如している可能性があります。

従来のMFAソリューションでは、横方向移動攻撃におけるPsExecの使用を阻止できないのはなぜですか？

従来のMFAツールは、 横方向の動きを防ぐ PsExecを使用する理由は以下のとおりです。

1. KerberosとMFAのサポート不足 NTLMKerberosとNTLMはWindows環境で一般的に使用される認証プロトコルです。ただし、これらは本来サポートしていません。 MFAこれらのプロトコルは、通常パスワードに基づく単一要素認証メカニズムに依存しています。PsExecはオペレーティングシステムの基盤となる認証プロトコルを使用するため、組み込みのMFAサポートがないことから、従来のMFAツールではPsExecを使用した横方向移動中に追加の認証要素を適用することが困難になります。
2. エージェントへの依存はマシンを無防備な状態にする傾向がある：多くの従来型 MFAソリューション 認証プロセスを容易にするために、エンドポイントにインストールされたソフトウェアエージェントに依存しています。しかし、横方向移動攻撃の場合、攻撃者はMFAエージェントがインストールまたは実行されていないシステムを侵害し、制御を奪取することができます。保護されていないこれらのマシンは、MFA制御を迂回するPsExecベースの横方向移動の足がかりとして使用される可能性があります。
3. 検証済みセッションへの信頼：ユーザーがシステム上で認証されセッションを確立すると、PsExecコマンドを含むそのセッション内で実行される後続のアクティビティでは、再認証やMFAチャレンジがトリガーされない場合があります。これは、確立されたセッションが検証済みとみなされ、通常、セッション中にMFAが再評価されないためです。攻撃者はこの信頼を利用して、正当なセッションを悪用し、追加のMFAチャレンジを受けることなくPsExecコマンドを実行する可能性があります。

PsExecは危険なツールになり得る：ランサムウェア攻撃におけるPsExecの悪用事例

PsExecは、その正当かつ効率的なリモート管理機能により、システム管理者やセキュリティ専門家の間で人気を集めています。しかし、多くのツールと同様に、PsExecも悪意のある目的で悪用される可能性があります。近年、攻撃者はPsExecをランサムウェア攻撃戦略に組み込み始めており、攻撃ツールの危険な構成要素となりつつあります。

過去5年間で、必要なスキル水準は大幅に低下し、PsExecを用いた横方向の移動はランサムウェア攻撃の80%以上に組み込まれているため、PsExecを介した悪意のある認証に対する防御は、あらゆる組織にとって不可欠となっている。

ランサムウェアとPsExec

ランサムウェア攻撃とは、悪意のある攻撃者がシステムに不正アクセスし、重要なデータを暗号化して、その解放と引き換えに身代金を要求する攻撃です。従来、攻撃者はソーシャルエンジニアリングの手法やエクスプロイトキットを用いて初期アクセス権を取得することが多かったのですが、現在ではPsExecのような正規のツールを利用して、侵害されたネットワーク内で拡散させるなど、攻撃手法を拡大しています。

PsExecによる伝播

ランサムウェア攻撃では、攻撃者がネットワーク内の単一システムへのアクセス権を取得すると、ネットワーク全体に横方向に移動して、できるだけ多くのシステムに感染を広げようとします。PsExecは、この横方向の移動を便利かつ効率的に行うための手段を提供します。攻撃者はPsExecを使用して、他の脆弱なシステム上でランサムウェアのペイロードをリモートで実行し、ネットワーク全体に感染を急速に拡散させます。

攻撃者にとっての利点

サイバー犯罪者は、PsExecを攻撃チェーンに組み込むことで、いくつかの利点を得ます。まず、PsExecを使用することで、コマンドの実行や悪意のあるペイロードの実行をリモートで静かに行うことができ、検出される可能性を低減できます。次に、PsExecは正規のツールであるため、既知のマルウェアシグネチャに焦点を当てた従来のセキュリティ対策を回避できることがよくあります。これにより、攻撃者は通常のネットワークトラフィックに紛れ込むことができ、活動の検出がより困難になります。

リスクを軽減する

PsExecベースのランサムウェア攻撃への対策には、多層的なアプローチが必要です。以下に、重要な対策をいくつか示します。

アクセス制御: 厳格なアクセス制御を実装し、承認されたユーザーのみが重要なシステムへの管理者アクセス権を持つようにします。PsExec 権限を持つアカウントの数を制限することで、 攻撃対象.

エンドポイント保護行動ベースの検出メカニズムを含む、堅牢なエンドポイント保護ソリューションを導入および維持します。これにより、PsExecの使用に関連する疑わしいアクティビティを特定してブロックすることができます。

ネットワークセグメンテーション攻撃者による横方向の移動機会を制限するために、ネットワークのセグメンテーションを実施してください。重要なシステムを分離し、ネットワークセグメント間のアクセスを制限することで、ランサムウェア感染による影響を抑えることができます。
監視と異常検出: 異常または不正な PsExec の使用を検出できる、包括的なネットワーク監視および異常検知システムを導入してください。このようなアラートを迅速に調査し対応することで、潜在的な損害を軽減できます。