防御機能と検知設定の確認
マルウェア対策、監査、資格情報の保護設定を確認します。調査時に得られる情報と、実行が制限される操作を把握するための項目です。
監査とログの転送
Section titled “監査とログの転送”監査設定を見ると、どの操作がイベントログに残るかを判断できます。
reg query HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\AuditWindows Event Forwarding（WEF）を使っている場合は、ログの転送先も確認します。
reg query HKLM\Software\Policies\Microsoft\Windows\EventLog\EventForwarding\SubscriptionManager資格情報を守る機能
Section titled “資格情報を守る機能”LAPS はローカル Administrator のパスワードを端末ごとに管理し、定期的に更新します。保存先や読み取り権限を含む仕組みは LAPS の解説 を参照してください。
WDigest
Section titled “WDigest”WDigest の設定は、LSASS に平文パスワードが残るかどうかに関係します。設定値を確認し、WDigest の解説 と照らし合わせます。
reg query 'HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest' /v UseLogonCredentialLSA Protection
Section titled “LSA Protection”LSA Protection は、信頼されていないプロセスによる LSA へのアクセスを制限します。保護の仕組みと併せて設定を確認します。
reg query 'HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA' /v RunAsPPLCredential Guard
Section titled “Credential Guard”Credential Guard は、pass-the-hash などにつながる資格情報の露出を抑える機能です。機能の解説と現在の設定を確認します。
reg query 'HKLM\System\CurrentControlSet\Control\LSA' /v LsaCfgFlagsキャッシュされた資格情報
Section titled “キャッシュされた資格情報”ドメインの資格情報が端末にキャッシュされる設定も確認します。保存や利用の仕組みはキャッシュされた資格情報の解説を参照してください。
reg query "HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\WINDOWS NT\CURRENTVERSION\WINLOGON" /v CACHEDLOGONSCOUNT