Piratenleitfaden für DACL-basierte Erkennung (Teil 3)

Diese Blogserie wurde von der Sicherheitsberaterin Megan Nilsen und dem TAC-Praxismanager Andrew Schwartz verfasst.

1 Einführung

In diesem dritten und letzten Teil setzen wir unsere Untersuchung von objekt- und attributbasierten Angriffen und deren Erkennung fort. So wie sich der erste Teil auf die Untersuchung der Flussdiagramme konzentrierte, die im Dokument DACL der Hacker Recipes, und Teil 2 konzentrierte sich auf die veränderbaren Attribute mithilfe von PowerMadTeil 3 wird sich auf eine Sammlung zusätzlicher Attribute konzentrieren, die nicht in die Teile 1 und 2 fallen, die wir aber als interessant für die Konstruktion von Detektionen identifiziert haben.

Obwohl in diesem Beitrag verschiedene "Angriffs"-Tools verwendet werden, ist zu beachten, dass das Tool ein Mittel zur Durchführung des Angriffs ist, wir uns aber mehr auf die zugrunde liegenden Techniken für veränderbare Attribute und die Erkennung rund um diese konzentrieren.

Genau wie die ersten zwei (2) Nachrichten, hier einige Erinnerungen:

• Wir gehen davon aus, dass der Gegner bereits einen Fuß in der Tür hat und sich den nötigen Zugang verschafft hat, um Änderungen an den Gegenständen vorzunehmen, die wir besprechen werden.
• Die Nachnutzung ist keine Priorität.
• Die auf die Zuweisung des Gegners angewandte Aufklärung wurde nicht kartografiert.
• Es wurde eine Teilmenge der Windows-Ereignisprotokollierung verwendet und nicht alle möglichen Telemetriedatenpunkte in diesem Datensatz wurden analysiert.

2 Einrichten der Aufnahme

Wie in Teil 1 beschrieben, werden wir uns für Telemetriezwecke auf die Erstellung einer Systemzugriffskontrollliste (SACL) "Audit" für jedes dieser Attribute und die folgenden Windows-Ereignis-IDs stützen:

Die Einrichtung einer SACL ist ein zusätzlicher Schritt, der auch dann durchgeführt werden muss, wenn die oben aufgeführten Windows-Ereignisse gerade erfasst werden.

Bitte lesen Sie in Teil 1A, wie Sie die SACL-Protokollierungskonfiguration aktivieren und konfigurieren und wie Sie die oben genannten Windows-Ereignis-IDs aktivieren oder inhalieren können.

3 Format des Blogs

Aufgrund der Länge dieses Beitrags und der Anzahl der behandelten Attribute ist es wichtig, dass Sie sich im Verlauf dieses Beitrags an einige wichtige Formatierungsregeln aus Teil 1 erinnern.

• Jeder Abschnitt wird die folgenden Titel enthalten:
• Attributname (gemeinsamer Name (CN) des Attributs)
• Hintergrund
  • Diese Seite bietet einen kurzen Überblick darüber, was das Attribut (LDAP-Display-Name) ist, sowie relevante Links zur Microsoft-Dokumentation.
• Attribut ändern (Angriff)
  • Deckt die Art und Weise ab, wie der "Angriff" durchgeführt wurde, einschließlich der relevanten Konfiguration zur Änderung des betreffenden Attributs, Screenshots/Befehle und der verwendeten Werkzeuge.
  • Wenn für die Einrichtung der Erkennung eine zusätzliche Prüfung aktiviert wurde, wird diese wahrscheinlich auch hier behandelt - oder, wenn die zusätzliche Konfiguration komplexer war, wird sie auf ein vorheriges oder nächstes Thema verteilt.
• Aufbau von Erfassungen
  • wird eine Vielzahl von Erkennungen abdecken, die eine Reihe von Komplexitätsstufen einschließen
  • Wie in der Einleitung erwähnt, wurden nicht alle möglichen Telemetrie-Datenpunkte in diesem Datensatz analysiert. Wir haben jedoch unser Bestes getan, um die am leichtesten zugänglichen und für die Entwicklung von Detektionen wichtigsten Ereignis-IDs abzudecken.
  • Bei Bedarf werden wir einen logischen Fluss für Erkennungen bereitstellen, die eine höhere Komplexität oder zusätzliche Informationen zur Interpretation dessen, was angezeigt wird, beinhalten. Die meisten Erkennungen werden jedoch einem ähnlichen Format folgen und nicht weiter erläutert werden.

4 Attribute

4.1 AdminSDHolder

4.1.1 Hintergrund

Die AdminSDHolder Das Objekt AdminSDHolder fungiert als Container, der mit Standardberechtigungen gefüllt wird. Dieser Container wird dann als Vorlage für die geschützten Konten verwendet, um unbeabsichtigte/nicht autorisierte Änderungen oder Modifikationen zu verhindern. Geschützte Benutzer können durch die Domänenrichtlinie festgelegt werden, umfassen aber auch normalerweise standardmäßig Benutzer, die zu Gruppen gehören, wie z. B. Domänen-Administratoren, Administratoren, Unternehmens-Administratoren und Schema-Administratoren.

Angreifer, die ausreichende Privilegien erlangt haben, können diesen Container verwenden, um die Persistenz der Zugriffskontrolllisten (ACLs) zum Datenspeicher aufrechtzuerhalten. AdminSDHolder werden standardmäßig alle 60 Minuten neu angewendet.

4.1.2 Gegenstand verändern (Angriff)

Add-DomainObjectAcl -TargetIdentity 'CN=AdminSDHolder,CN=System,DC=BREAKFASTLAND,DC=local' -PrincipalIdentity dacled.egg -Rights All -verbose 

Zahl 1 - Objekt bearbeiten

4.1.3 Aufbau der Erkennung

4.1.3.1 Erkennung mit den Ereignis-IDs 5136 und 4662

index=main ((EventCode=5136 Class=container DN="CN=AdminSDHolder,CN=System,DC=BREAKFASTLAND,DC=LOCAL" LDAP_Display_Name=nTSecurityDescriptor) OR (index=main Account_Name!=*$ Object_Type="%{19195a5b-6da0-11d0-afd3-00c04fd930c9}" Object_Name="%{754fb287-55d2-4d68-b7fc-0332e1746740}"  EventCode=4662 Access_Mask = 0x40000))
| eval Logon_ID=if(EventCode==4662,mvindex(Logon_ID,-1), mvindex(Logon_ID,-1))
| eval user=if(EventCode==4662,mvindex( Account_Name,-1), mvindex( Account_Name,-1))
| eval DACL=if(EventCode==5136,mvindex( Value,-1), mvindex( Value,-1))
| join type=outer Logon_ID
    [ search index=main Account_Name!=*$ Object_Type="%{19195a5b-6da0-11d0-afd3-00c04fd930c9}" Object_Name="%{754fb287-55d2-4d68-b7fc-0332e1746740}"  EventCode=4662 Access_Mask = 0x40000
    | eval Props=Properties
    | eval AccessMask=Access_Mask
    | eval ObjectType=Object_Type
    | eval ObjectName=Object_Name
    |table Account_Name,Logon_ID,Props,AccessMask,ObjectType, ObjectName]
| table _time, Logon_ID, Account_Name, Props, AccessMask, ObjectType, ObjectName, DN, GUID, DACL, Class, Type, LDAP_Display_Name.
|stats values by _time, Logon_ID, DACL

Zahl 2 - Erkennung mithilfe von Mehrfachereigniskennungen (1)

Zahl 3 - Erkennung mithilfe von Mehrfachereigniskennungen (2)

4.2 ms-DS-Supported-Encryption-Types

4.2.1 Hintergrund

Die msDS-SupportedEncryptionTypes legt die Verschlüsselungsalgorithmen fest, die Kerberos für die Verschlüsselung von Kerberos-Tickets verwenden darf.

4.2.2 Attribut ändern (Angriff)

Bevor Sie das Attribut msDS-SupportedEncryptionTypes müssen wir zunächst verstehen, wie hexagonale und/oder dezimale Werte mit den Verschlüsselungsarten verknüpft sind. um richtig das Attribut mit unserem Cmdlet PowerMad ändern.

Die verknüpfte Grafik hier gibt den Dezimalwert, den Hexadezimalwert und die unterstützten Verschlüsselungsarten des msDS-SupportedEncryptionTypes kann wie folgt definiert werden. Für unsere Zwecke werden wir den Dezimalwert 24 (Hex-Wert 0x18) verwenden, um das Attribut so zu ändern, dass die Funktion supp aktiviert wirdort für Verschlüsselungsarten AES 128 und AES 256. Dieser Wert wurde willkürlich gewählt.

Zahl 4 - Ändern des Attributs

Zahl 5 - Validierung der Attributänderung

4.2.3 Aufbau der Erkennung

4.2.3.1 Erkennung mit den Ereignis-IDs 5136, 4624 und 4662

index=main ((EventCode=5136 AND LDAP_Display_Name=msDS-SupportedEncryptionTypes) OR (EventCode=4624 AND Account_Name!="*$" AND Account_Name!="ANONYMOUS LOGON" AND Account_Name!="SYSTEM") OR (EventCode=4662 AND Access_Mask=0x20))
| eval Logon_ID=if(EventCode==4624,mvindex(Logon_ID,-1), mvindex(Logon_ID,-1))
| eval Mod_Account=if(EventCode==4624,mvindex(Account_Name,-1), mvindex(Account_Name,-1))
| eval Mod_Value=if(EventCode==5136,mvindex(Value,-1), mvindex(Value,-1))
| join type=outer Logon_ID
        [ search (EventCode=5136) OR (EventCode=4624)].
        | stats count by Logon_ID, Account_Name, Source_Network_Address.
        | table Account_Name,Logon_ID, Source_Network_Address ]
| join type=outer Logon_ID
    [ search index=main Account_Name!=*$ EventCode=4662 Access_Mask = 0x20
    | eval Props=Properties
    | eval AccessMask=Access_Mask
    | eval ObjectType=Object_Type
    | eval ObjectName=Object_Name
    | rex field=Message "(?