EP 16 / EPISODE BRIEF
Windows端末の認証連鎖
Securityログのイベントを相関する
Northstar Labの許可済みWindows端末で、保存済みのSecurityイベントを読み取ります。4625（失敗）、4624（成功）、4672（特別な権限）の関係を調べますが、単一イベントだけで侵害を断定しません。実端末操作や資格情報は扱いません。
このエピソードで学ぶこと
Get-WinEventはイベントを取得します。Where-Objectは条件で絞り、Select-Objectは項目を選び、Group-Objectは同じ値をまとめます。パイプはオブジェクトを次の処理へ渡します。
4625はログオン失敗、4624は成功、4672は新しいログオンへの特権付与です。イベントID・主体・時刻を比較します。
ミッション
- Securityログの範囲を読む保存済みSecurityログから監査対象のイベントと時刻範囲を確認する
- 失敗認証を抽出する4625イベントを絞り込み、失敗時刻・アカウント・送信元を確認する
- 成功イベントの主体を読む4624イベントからアカウント・ログオン種別・時刻を選択して比較材料を作る
- 特別権限の偏りを数えるCSVの4672イベントをAccount別に集計し単発か反復か確認する
- 認証連鎖を報告する4625・4624・4672を時刻と主体で相関し、証拠の限界と次工程を報告する