T1003 - 認証情報ダンピング - Mimikatz DCSync のプレイブック
このプレイブックでは、Mimikatz DCSync が原因と疑われるインシデントを調査するための体系的な修復ステップについて説明します。このプレイブックは、Mimikatz 関数 (lsadump::d csync) のいずれかが使用されたときにトリガーされます。この関数は通常、攻撃対象のドメインコントローラー (DC) で使用されます。
Mimikatz は、攻撃対象のシステムから機密データを取得するコマンドを発行できる一般的なハッキングツールです。機密データには、パスワードやハッシュなどが含まれます。
注:
これは忠実度の高いアラートであり、まれにしかトリガーされないと想定されています。トリガーされたら、上級チームメンバーまたはマネージャーにすぐに通知する必要があります。