攻撃インジケーターのアンインストール

必要なロール: ローカルマシンの管理者

攻撃インジケーター (IoA) モジュールをアンインストールするには、Tenable Identity Exposureクリーニングと呼ばれる新しいグループポリシーオブジェクト (GPO) を作成するコマンドを実行します。

アンインストールプロセスはこの新しい GPO を使用して、デフォルトで、以前インストールされた GPO とその SYSVOL ファイル、レジストリ設定、詳細なロギングポリシー、WMI フィルターを消去します。

注意: 初期 GPO の名前を変更した場合は、変更した名前をアンインストーラーに渡して、アンインストールする GPO を認識させる必要があります。新しい GPO 名を渡すには、パラメーター -GpoDisplayName を使用します。

  1. コマンドラインインターフェースで、次のコマンドを実行して IoA モジュールをアンインストールします。

    コピー 
    Register-TenableIOA.ps1 -Uninstall

  2. この新しい GPO をドメイン全体に複製します。スクリプトは、レプリケーションが完了するまでに 4 時間の遅延を強制します。

  3. 次のコマンドを実行して、クリーニング GPO を削除します。

    コピー 
    Remove-GPO -Guid <GUID> -Domain "<DOMAIN>"

  4. オプション: 次のコマンドを実行して、この GPO が存在しなくなったことを確認します。

    コピー 
    (Get-ADDomainController -Filter *).Name | Foreach-Object {Get-GPO -Name "Tenable.ad cleaning"} | Select Displayname| measure

これで IoA が完全にアンインストールされました。ただし、別の GPO で定義されていない場合、レジストリエントリが残る可能性があります。大量のコンピューターに対する偵察 IoA が使用したレジストリエントリは次のとおりです (お客様固有の IoA 設定によって異なる場合があります)。

  • HKLM\MACHINE\System\CurrentControlSet\Control\Lsa\MSV1_0\AuditReceivingNTLMTraffic (値: 2)

  • HKLM\MACHINE\System\CurrentControlSet\Control\Lsa\MSV1_0\RestrictSendingNTLMTraffic (値: 1)

  • HKLM\MACHINE\System\CurrentControlSet\Services\Netlogon\Parameters\AuditNTLMInDomain (値: 7)

これらのレジストリエントリを削除するには、すべてのドメインコントローラーに対して次の PowerShell スクリプトを実行します。

コピー 
Remove-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Lsa\MSV1_0" -Name "AuditReceivingNTLMTraffic"
Remove-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Lsa\MSV1_0" -Name "RestrictSendingNTLMTraffic"
Remove-ItemProperty -Path "HKLM:\System\CurrentControlSet\Services\Netlogon\Parameters" -Name "AuditNTLMInDomain"

SYSVOL からの期限切れ GPO フォルダーの手動削除

場合によっては、IoA GPO を再インストールすると、Microsoft の機能によって古いフォルダーが SYSVOL ディレクトリに残ることがあります。ディレクトリリスナーでこれらの期限切れのフォルダーが IoA フォルダーとして認識されると、検出が失敗する可能性があります。

次の手順を実行して期限切れの IoA GPO フォルダーを確実に削除し、再インストール中の検出の問題を回避します。

  1. 最新の IoA GPO GUID を特定します。最後にインストールされた IoA GPO の GUID (グローバル一意識別子) を特定します。

  2. ログ (C:\Tenable\Tenable.ad\DirectoryListener\logs ディレクトリにある tenable_Ceti.log) を確認して、IoA フォルダーとして認識されるフォルダーを特定します。

  3. 最新の IoA GPO GUID と一致しない期限切れの IoA フォルダーを SYSVOL ディレクトリから手動で削除します。

  4. tenable_Ceti サービスを再起動します。

  5. ディレクトリリスナーが最新の GUID のある正しい IoA フォルダーを認識するまで、手順 2 ～ 4 を繰り返します。