GWS - Persistence
このセクションで設定を変更するすべてのアクションは、アカウントに同期された任意のモバイルデバイスにプッシュ通知が送信されるとともに、メールにセキュリティアラートを生成します。
Gmailにおける持続性
Googleからのセキュリティ通知を隠すためのフィルターを作成できます
from: (no-reply@accounts.google.com) "Security Alert"これにより、セキュリティメールがメールに届くのを防ぎます（ただし、モバイルへのプッシュ通知は防げません）
Gmailフィルターを作成する手順
(手順はこちらから)
Gmailを開きます。
上部の検索ボックスで、検索オプションを表示をクリックします
.
検索条件を入力します。検索が正しく機能しているか確認するには、検索をクリックして表示されるメールを確認します。
検索ウィンドウの下部で、フィルターを作成をクリックします。
フィルターに何をさせたいかを選択します。
フィルターを作成をクリックします。
現在のフィルターを確認するには（削除するため）、https://mail.google.com/mail/u/0/#settings/filtersにアクセスしてください。
機密情報を転送するための転送先アドレスを作成する（またはすべて） - 手動アクセスが必要です。
https://mail.google.com/mail/u/2/#settings/fwdandpopで転送先アドレスを作成します。
受信アドレスはこれを確認する必要があります。
次に、すべてのメールを転送し、コピーを保持するように設定します（変更を保存することを忘れないでください）：
特定のメールのみを他のメールアドレスに転送するフィルターを作成することも可能です。
アプリパスワード
もしあなたがGoogleユーザーセッションを侵害し、ユーザーが2FAを有効にしていた場合、アプリパスワードを生成できます（手順を見るにはリンクをフォローしてください）。アプリパスワードはもはやGoogleによって推奨されておらず、ユーザーがGoogleアカウントのパスワードを変更すると無効になります。**
オープンセッションがあっても、アプリパスワードを作成するにはユーザーのパスワードを知っている必要があります。
アプリパスワードは2段階認証が有効なアカウントでのみ使用できます。
2-FAの変更と類似
このページhttps://myaccount.google.com/securityで2-FAをオフにしたり、新しいデバイス（または電話番号）を登録したりすることも可能です。 パスキーを生成したり（自分のデバイスを追加したり）、パスワードを変更したり、確認用電話のための携帯番号を追加したり、回復用メールを変更したり、セキュリティ質問を変更したりすることも可能です。
ユーザーの電話にセキュリティプッシュ通知が届かないようにするためには、ユーザーのスマートフォンをサインアウトすることができます（ただし、それは奇妙です）ので、ここから再度サインインすることはできません。
デバイスを特定することも可能です。
オープンセッションがあっても、これらの設定を変更するにはユーザーのパスワードを知っている必要があります。
OAuthアプリによる持続性
もしあなたがユーザーのアカウントを侵害した場合、すべての可能な権限をOAuthアプリに付与することを受け入れることができます。唯一の問題は、Workspaceが未審査の外部および/または内部OAuthアプリを禁止するように設定されている可能性があることです。 Workspaceの組織では、デフォルトで外部OAuthアプリを信頼せず、内部のものを信頼することが一般的です。したがって、**組織内で新しいOAuthアプリケーションを生成するのに十分な権限がある場合、外部アプリが禁止されている場合は、それを生成し、その新しい内部OAuthアプリを使用して持続性を維持します。
OAuthアプリに関する詳細は、以下のページを確認してください：
GWS - Google Platforms Phishing委任による持続性
アカウントを攻撃者が制御する別のアカウントに委任することができます（これを行うことが許可されている場合）。Workspaceの組織では、このオプションは有効でなければなりません。すべてのユーザーに対して無効にすることも、特定のユーザー/グループから有効にすることも、すべてのユーザーに対して有効にすることもできます（通常は一部のユーザー/グループにのみ有効にされるか、完全に無効にされます）。
Workspace管理者の場合、この機能を有効にするにはこちらを確認してください
(情報はドキュメントからコピーされています)
あなたの組織の管理者として（例えば、あなたの仕事や学校）、ユーザーが自分のGmailアカウントへのアクセスを委任できるかどうかを制御します。すべての人にアカウントを委任するオプションを与えることも、特定の部門の人々だけに委任を設定させることもできます。例えば、次のようにできます：
管理アシスタントをあなたのGmailアカウントの委任者として追加し、彼らがあなたの代わりにメールを読み、送信できるようにします。
グループ（例えば、営業部門）を委任者として追加し、全員が1つのGmailアカウントにアクセスできるようにします。
ユーザーは、同じ組織内の他のユーザーにのみアクセスを委任できます。ドメインや組織単位に関係なく。
委任の制限と制約
ユーザーがGoogleグループに自分のメールボックスへのアクセスを付与できるオプション：このオプションを使用するには、委任されたアカウントのOUおよび各グループメンバーのOUで有効にする必要があります。このオプションが有効でないOUに属するグループメンバーは、委任されたアカウントにアクセスできません。
通常の使用では、40人の委任ユーザーが同時にGmailアカウントにアクセスできます。1人以上の委任者による平均以上の使用は、この数を減少させる可能性があります。
Gmailに頻繁にアクセスする自動化プロセスも、同時にアカウントにアクセスできる委任者の数を減少させる可能性があります。これらのプロセスには、Gmailに頻繁にアクセスするAPIやブラウザ拡張機能が含まれます。
単一のGmailアカウントは最大1,000のユニークな委任者をサポートします。グループは、制限に対して1つの委任者としてカウントされます。
委任はGmailアカウントの制限を増加させません。委任ユーザーを持つGmailアカウントは、標準のGmailアカウントの制限とポリシーを持っています。詳細については、Gmailの制限とポリシーを訪問してください。
ステップ1：ユーザーのGmail委任を有効にする
**始める前に：**特定のユーザーに設定を適用するには、彼らのアカウントを組織単位に配置します。
Google管理コンソールにサインインします。
管理者アカウントを使用してサインインしてください。現在のアカウントCarlosPolop@gmail.comではありません。 2. 管理コンソールで、メニュー アプリ
Google Workspace
Gmail
ユーザー設定に進みます。 3. すべての人に設定を適用するには、上部の組織単位を選択したままにします。そうでない場合は、子の組織単位を選択します。 4. メール委任をクリックします。 5. ユーザーがドメイン内の他のユーザーに自分のメールボックスへのアクセスを委任できるボックスをチェックします。 6. （オプション）ユーザーが自分のアカウントから送信される委任メッセージに含まれる送信者情報を指定できるようにするには、この設定をカスタマイズできるようにするボックスをチェックします。 7. 委任者によって送信されるメッセージに含まれるデフォルトの送信者情報のオプションを選択します：
アカウント所有者とメールを送信した委任者を表示—メッセージにはGmailアカウント所有者と委任者のメールアドレスが含まれます。
アカウント所有者のみを表示—メッセージにはGmailアカウント所有者のメールアドレスのみが含まれます。委任者のメールアドレスは含まれません。
（オプション）ユーザーがグループを委任者として追加できるようにするには、ユーザーがGoogleグループに自分のメールボックスへのアクセスを付与できるボックスをチェックします。
保存をクリックします。子の組織単位を設定した場合、親の組織単位の設定を継承または上書きできる場合があります。
（オプション）他の組織単位のGmail委任を有効にするには、ステップ3〜9を繰り返します。
変更には最大24時間かかる場合がありますが、通常はより早く行われます。詳細を学ぶ
ステップ2：ユーザーが自分のアカウントの委任者を設定する
委任を有効にした後、ユーザーは自分のGmail設定に移動して委任者を割り当てます。委任者はその後、ユーザーの代わりにメッセージを読み、送信し、受信できます。
詳細については、ユーザーにメールの委任と共同作業を参照するように指示してください。
通常のユーザーから、アクセスを委任するための手順を確認してください
(情報はドキュメントからコピーされています)
最大10人の委任者を追加できます。
仕事、学校、または他の組織を通じてGmailを使用している場合：
組織内で最大1000人の委任者を追加できます。
通常の使用では、40人の委任者が同時にGmailアカウントにアクセスできます。
自動化プロセス（APIやブラウザ拡張機能など）を使用している場合、数人の委任者が同時にGmailアカウントにアクセスできる場合があります。
コンピュータでGmailを開きます。Gmailアプリからは委任者を追加できません。
右上で設定をクリックします
すべての設定を表示をクリックします。
アカウントとインポートまたはアカウントタブをクリックします。
「アカウントへのアクセスを付与」セクションで、別のアカウントを追加をクリックします。仕事や学校を通じてGmailを使用している場合、組織がメールの委任を制限している可能性があります。この設定が表示されない場合は、管理者に連絡してください。
アカウントへのアクセスを付与が表示されない場合、それは制限されています。
追加したい人のメールアドレスを入力します。仕事、学校、または他の組織を通じてGmailを使用している場合、管理者が許可している場合は、グループのメールアドレスを入力できます。このグループは、あなたの組織と同じドメインでなければなりません。グループの外部メンバーは委任アクセスを拒否されます。 **重要：**委任するアカウントが新しいアカウントであるか、パスワードがリセットされた場合、管理者は最初にサインインする際にパスワードを変更する必要があるという要件をオフにする必要があります。
追加した人には確認を求めるメールが届きます。招待は1週間後に期限切れになります。
グループを追加した場合、すべてのグループメンバーは確認なしで委任者になります。
注意：委任が有効になるまでに最大24時間かかる場合があります。
Androidアプリによる持続性
もしあなたが被害者のGoogleアカウント内にセッションを持っている場合、Playストアにアクセスし、すでにストアにアップロードしたマルウェアを直接電話に**インストールすることができるかもしれません。これにより持続性を維持し、被害者の電話にアクセスできます。
アプリスクリプトによる持続性
App Scriptsで時間ベースのトリガーを作成できます。ユーザーがApp Scriptを受け入れた場合、ユーザーがアクセスしなくてもトリガーされます。これを行う方法の詳細については、次を確認してください：
GWS - App Scripts参考文献
https://www.youtube-nocookie.com/embed/6AsVUS79gLw - Matthew Bryant - Hacking G Suite: The Power of Dark Apps Script Magic
https://www.youtube.com/watch?v=KTVHLolz6cE - Mike Felch and Beau Bullock - OK Google, How do I Red Team GSuite?
Last updated
