解説

Pass the Hash（PtH）攻撃は、パスワードの平文（平文パスワード）を知らなくてもパスワードのハッシュ値だけで認証を突破できる仕組みを悪用する攻撃。WindowsのNTLM（NT LAN Manager）認証などでは、クライアントがパスワードのNTハッシュを計算してサーバに送信する設計になっており、攻撃者がメモリ（LSASS）やNTDS.ditからハッシュを窃取すれば、元のパスワードを復元しなくてもそのハッシュ値をそのまま認証に使用できる。ラテラルムーブメント（横展開）に多用される手法で、一台のPCを侵害すれば同じパスワードを持つ他のPCにも芋づる式に侵入できる。対策：Kerberos認証の採用、Windows Defender Credential Guardによるハッシュ保護、ローカル管理者パスワードの統一を避ける（LAPS）、特権アクセス管理（PAM）。

なぜ他の選択肢は違うのか

選択肢 ア

「ハッシュ値から平文パスワードを導出してログインする」はパスワードクラッキング（ブルートフォース・辞書攻撃・レインボーテーブル攻撃）の説明。PtH攻撃の最大の特徴は「平文パスワードを導出しない」点で、ハッシュ値を直接認証に流用するためクラッキングの計算コストが不要。クラッキングとPtHを混同しないことが重要。

選択肢 ウ

「パスワードを固定して利用者IDを変えながら試す」という説明はパスワードスプレー攻撃（同一パスワードで多数アカウントに試みる）の概念とも異なる非現実的な説明。認証システムはパスワードでなくIDを照合するため、IDを変えながら同じパスワードを試す攻撃でも認証は通らない。PtH攻撃とは全く無関係の架空の攻撃シナリオ。

選択肢 エ

ハッシュ化されず保存された平文パスワードを使ってログインするのは、パスワードを平文で保存した設定ミスのシステムへの攻撃の説明。PtH攻撃はパスワードがNTハッシュ等の形式でハッシュ化されていてもそのハッシュ値をそのまま認証に流用できる点が特徴であり、平文パスワードの窃取・利用とは全く異なる攻撃手法。平文 vs ハッシュの区別がポイント。

解くときのポイント

PtH攻撃のポイントは「平文パスワード不要でハッシュ値のみで認証通過」。対策としてはKerberos認証の活用やCredential Guardが有効。