解説

Pass the Hash（PtH）攻撃はWindowsの認証機構（NTLM認証）の特性を悪用した攻撃で、「パスワードのハッシュ値だけでログインできる仕組みを利用してログインする」（b：正解）。NTLM認証では認証サーバがパスワードの平文ではなくNTハッシュ（NTLMハッシュ）で認証を行うため、攻撃者はパスワードの平文を知らなくてもハッシュ値だけでなりすましができる。攻撃の流れ：①侵害したPCのメモリ（LSASS）やSAMデータベースからNTLMハッシュを窃取、②入手したハッシュをそのまま認証に使用して他システムへ横移動（ラテラルムーブメント）。対策：Credential Guard（Windows 10以降）・Protected Users グループ・LAPS（Local Administrator Password Solution）・ネットワーク分離・特権アカウントの使い分けなどが有効。

なぜ他の選択肢は違うのか

選択肢 ア

「パスワードのハッシュ値から導出された平文パスワードを使ってログイン」はハッシュ解読（クラッキング）による攻撃の説明。レインボーテーブル攻撃や辞書攻撃でハッシュから平文を導出する手法であり、Pass the Hash攻撃はハッシュから平文を復元せず「ハッシュをそのまま使う」点が本質的な違い。

選択肢 ウ

「パスワードを固定し利用者IDのハッシュ化を繰り返して様々なIDを試す」は逆総当たり（リバースブルートフォース）に近い説明で、Pass the Hash攻撃とは全く異なる攻撃手法。PtHはIDではなくパスワードのハッシュを固定して使う攻撃である。

選択肢 エ

「ハッシュ化されずに保存されている平文パスワードを使ってログイン」は平文パスワードの窃取・流用による攻撃であり、パスワードスプレーやパスワードリスト攻撃に近い概念。Pass the Hash攻撃の特徴は平文を使わずハッシュ値のまま認証に使う点にある。

解くときのポイント

PtH攻撃のポイントは「平文パスワード不要でハッシュ値のみで認証通過」。対策にはKerberos認証の活用やCredential Guard、Protected Usersセキュリティグループが有効。