Trusted Design
The Windows security identifier (SID) is a unique value that identifies a user or group account. SIDs are used by Windows security in both security descriptors and access tokens. (Citation: Microsoft SID) An account can hold additional SIDs in the SID-History Active Directory attribute (Citation: Microsoft SID-History Attribute), allowing inter-operable account migration between domains (e.g., all values in SID-History are included in access tokens).
Adversaries may use this mechanism for privilege escalation. With Domain Administrator (or equivalent) rights, harvested or well-known SID values (Citation: Microsoft Well Known SIDs Jun 2017) may be inserted into SID-History to enable impersonation of arbitrary users/groups such as Enterprise Administrators. This manipulation may result in elevated access to local resources and/or access to otherwise inaccessible domains via lateral movement techniques such as Remote Services, Windows Admin Shares, or Windows Remote Management.
T1178は「SID-History Injection（SIDヒストリーインジェクション）」として定義されていた、WindowsのActive Directory（AD）環境を標的にした非常に強力かつ致命的な「特権昇格（Privilege Escalation）」および「永続化（Persistence）」のテクニックです。
Active Directory環境において、ユーザーアカウントが持つ「SIDHistory（SIDヒストリー）」という特殊な属性に、別ドメインやドメイン管理者の識別子（SID）を不正に注入（インジェクション）することで、一般ユーザーであるにもかかわらず、ドメイン管理者（Domain Admins）と同等の絶対的なアクセス権限をネットワーク全体で横取りする手法です。
この手法で攻撃者は、「ドメイン管理者（Domain Admins）などのグループに自分のアカウントを所属させる（＝目立つ）ことなく、裏側でドメイン全体の完全な支配権を永続的に握り続けること」を実現します。
ステルス性の極めて高い特権昇格:
通常、特権を得るためにアカウントを「Domain Admins」グループに追加すると、セキュリティ監視ツール（SIEMなど）に即座に検知されます。しかし、SIDHistory属性の悪用はグループの所属メンバ一覧には一切現れないため、一見すると「ただの一般社員アカウント」に見える状態のまま、管理者権限を行使できます。
ドメイン間の壁の突破（フォレスト全体の掌握）:
企業合併などで複数のドメインが信頼関係（Trust）で結ばれている場合、子ドメインの一般アカウントに親ドメインの管理者SIDを注入することで、子ドメインから親ドメイン（フォレスト全体）の重要サーバーへ境界を越えて侵入・支配することが可能になります。
本来「SIDHistory」は、企業の組織改編などでユーザーを新しいドメインに移行（引っ越し）させる際、移行前の古いファイルサーバーへのアクセス権を失わないように、古いユーザーSIDを新しいユーザーの「履歴（History）」として保持するためにMicrosoftが用意した正規の互換機能です。
Windowsはユーザーがログインした際、現在のSIDだけでなく、この「SIDHistory」に書かれている古いSIDもすべて読み込んで、1つの「アクセスルール（認可トークン）」を合成します。
攻撃者はこれを利用し、現在のドメイン管理者グループのSID（末尾が -512 のものなど）を、一般ユーザーのSIDHistory属性の中に直接書き込みます。すると、OSは「このユーザーは過去にドメイン管理者だった歴史がある」と誤認し、管理者専用の共有フォルダやドメインコントローラーへのフルアクセスを許可してしまいます。
この手法は、Active Directoryのデータベース（ntds.dit）やオブジェクトの属性を直接操作する必要があるため、通常は一時的にドメイン管理者権限（あるいはそれに準ずる特権）を確保した後の「永続化の足場固め」として実行されます。
初期侵入とドメインの掌握:
攻撃者はハッキングを進め、ドメインコントローラー（DC）に侵入するか、ドメイン管理者権限を一時的に奪取します。
ツールの準備:
攻撃者は、Active Directoryの属性を直接編集できるハッキングツール（定番の Mimikatz や PowerShellスクリプトの PowerView など）を起動します。
SIDHistoryの注入（トリガー）:
ターゲットとする一般ユーザーアカウント（例: guest_backdoor）に対して、ドメイン管理者のSIDをインジェクションします。
sid::patchsid::add /sam:guest_backdoor /new:S-1-5-21-XXXXX-XXXXX-XXXXX-512-512 は、Active Directoryにおいて「Domain Admins（ドメイン管理者グループ）」を一意に識別する固有の番号（RID）です）管理権限の放棄（擬態）:
攻撃者は最初に盗んだ本物のドメイン管理者アカウントからログアウトし、痕跡を消します。
裏口からの永続的なアクセス（目的達成）:
以降、攻撃者は仕込んだ一般アカウント guest_backdoor を使ってネットワークにアクセスします。セキュリティソフトがアカウント一覧を見ても単なる一般ユーザーにしか見えませんが、実際にはドメイン内のあらゆるサーバーのデータを自由に閲覧・破壊（ランサムウェアの実行など）できます。
「ドメイン間の通信制御」と「属性変更のイベントログ監視」が最大の防御壁となります。
SIDフィルタリング（SID Filtering）の有効化（最重要）:
複数のドメイン（フォレスト）間で信頼関係を結んでいる場合、境界のドメインコントローラーで「SIDフィルタリング」を必ず有効にします。これにより、別ドメインから送られてきた通信のSIDHistoryの中に、自ドメインの特権SID（-512など）が紛れ込んでいた場合、ドメインコントローラーがそれを自動的に検知して遮断（フィルタリング）してくれます。
Active Directoryオブジェクトの変更監視（イベントログ監査）:
ドメインコントローラーの監査ポリシーを設定し、ユーザーオブジェクトの属性が変更された際のログを収集します。特に、イベントID 4765（ユーザーにSID履歴が追加されました） および イベントID 4766（ユーザーへのSID履歴の追加に失敗しました） をSIEM等でリアルタイム監視し、正規のシステム移行作業以外でこのイベントが発生した場合は即座にインシデントとして隔離します。
ADクエリによる定期的な棚卸し:
PowerShell等を用いて、ドメイン内の全ユーザーアカウントの msDS-SIDHistory 属性を定期的にスキャンし、値が空であるべき一般ユーザーにデータが書き込まれていないかを監査します。
CWE-284: Improper Access Control（不適切なアクセス制御）
Windowsの認可トークン生成プロセスにおいて、過去の履歴（SIDHistory）に含まれる識別子を無条件で信頼してしまい、現在のグループ所属を偽装したアクセスを許してしまう設計上の弱点。
CWE-642: External Control of Critical State Data（重要な状態データの外部制御）
Active Directory内の重要なアイデンティティ情報（属性）が、昇格した攻撃者などの外部プロセスによって直接改ざん可能になっており、システムの信頼性の根幹を揺るがされてしまう弱点。
T1178（SID-History Injection）は、Active Directoryという認証インフラの「仕様（機能）」を悪用するポストエクスプロイト技術であるため、これ単体にCVE番号があるわけではありません。しかし、国家系の高度なサイバースパイ（APT）や、巨大なランサムウェア組織が、ドメインを完全陥落させた後の「究極のバックドア」として好んで使用します。
AD環境のインシデント調査において、「ドメイン管理者のパスワードをすべて変更し、Domain Adminsグループのメンバーも全員確認して怪しいアカウントを削除した。それなのに、なぜか数日後に再びドメインコントローラーが不正操作された」という奇妙なループに陥った場合、本手法（T1178）によって一般アカウントの皮をかぶった特権ユーザーが潜伏している可能性が極めて高いです。
ADのデータベースから各アカウントの SIDHistory 属性を抽出し、身に覚えのない特権SID（末尾-512など）が埋め込まれたアカウントがいないかをチェックすることが、ネットワークの平穏を取り戻すための最終決戦の鍵となります。