解説

Pass the Hash（PtH）攻撃は、Windowsの認証プロトコル（NTLM認証）の仕組みを悪用した攻撃です。通常のNTLM認証では、クライアントがパスワードをハッシュ化した値（NTハッシュ）を使って認証を行います。攻撃者はマルウェアやメモリダンプツール（例：Mimikatz）を使ってシステムのメモリからNTハッシュを盗み出し、そのハッシュ値を直接認証に使用してログインします。つまり「平文パスワードを知らなくても、ハッシュ値さえあれば認証を突破できる」という設計上の脆弱性を悪用します。対策としては、Protected UsersグループへのユーザーID登録、Credential Guardの有効化、Windows 10以降でのNTLMv2の強制などがあります。横断的侵害（ラテラルムーブメント）の典型的な手法です。

なぜ他の選択肢は違うのか

選択肢 ア

「ハッシュ値から平文パスワードを導出してログインする」は誤りです。ハッシュ関数は一方向性を持ち、ハッシュ値から元のパスワードを計算（逆算）することは現実的に不可能です。辞書攻撃やレインボーテーブルを使って一致するパスワードを見つけることはあっても、それは「導出」ではなく「照合」です。PtH攻撃の特徴はハッシュ値を直接使う点にあります。

選択肢 ウ

「パスワードを固定し、IDのハッシュ化を繰り返しながら様々なIDを試す」はリバースブルートフォース攻撃（逆総当たり攻撃）に近い説明です。よく使われるパスワードを固定して多数のIDに試すものですが、ハッシュ化の繰り返しという説明は不正確です。PtH攻撃とは攻撃対象も手法も異なります。

選択肢 エ

「ハッシュ化されずに保存されている平文パスワードを使ってログインする」は、パスワードの平文保存という別の脆弱性を悪用するシナリオです。PtH攻撃はハッシュ値を直接使う点が本質であり、平文パスワードの使用とは全く別の攻撃手法です。

解くときのポイント

Pass the Hashのキーワードは「ハッシュ値だけで認証」。NTLM認証がハッシュ値を認証情報として使う仕様を悪用。対策はKerberos認証への移行・Protected Usersグループ設定・Credential Guard。「ハッシュから平文を導出」は誤りで、ハッシュはそのまま使う。