正如我們在上面的屏幕截圖中看到的，我們能夠成功執行 DCSync 攻擊并檢索 KRBTGT 賬戶(hù)哈希。注意：還有其他工具也可以執行 DCSync 攻擊，例如 Impacket Library & DSInternals 等。
檢測
為了檢測 OverPass-The-Hash 攻擊、基于 ACL 的攻擊和 DCSync 攻擊，我們需要在模擬攻擊之前在域控制器上啟用少量日志。在我們的實(shí)驗中，我們已經(jīng)啟用了這些日志。但是您可以按照下面提到的步驟在您的環(huán)境中啟用日志。
我們還在實(shí)驗室中部署了 Sysmon 以進(jìn)行額外的日志記錄。您還可以在您的環(huán)境中使用 Sysmon 模塊化配置部署:
要捕獲登錄事件，我們需要啟用“審核登錄”日志。按照以下步驟啟用日志:
登錄域控制器
打開(kāi)組策略管理控制臺
展開(kāi)域對象
展開(kāi)組策略對象
右鍵單擊默認域策略并單擊編輯（應用于所有域計算機的策略。它可能在您的環(huán)境中有所不同）
按照以下路徑啟用審核登錄事件: 計算機配置 --> Windows 設置 --> 安全設置 --> 高級審核策略配置 --> 審核策略 --> 登錄/注銷(xiāo) --> 審核登錄
選擇“配置以下審計事件：”復選框
選擇成功和失敗復選框
要捕獲目錄服務(wù)訪(fǎng)問(wèn)事件，我們需要啟用“審核目錄服務(wù)訪(fǎng)問(wèn)”日志。按照以下步驟啟用日志:
登錄域控制器
打開(kāi)組策略管理控制臺
展開(kāi)域對象
展開(kāi)組策略對象
右鍵單擊默認域策略并單擊編輯（應用于所有域計算機的策略。它可能在您的環(huán)境中有所不同）
按照以下路徑啟用審核登錄事件: 計算機配置 --> Windows 設置 --> 安全設置 --> 高級審計策略配置 --> 審計策略 --> DS 訪(fǎng)問(wèn) --> 審計目錄服務(wù)訪(fǎng)問(wèn)
選擇“配置以下審計事件：”、“成功”和“失敗”復選框
要捕獲目錄服務(wù)更改事件，我們需要啟用“審核目錄服務(wù)更改”日志。按照以下步驟啟用日志。
登錄域控制器
打開(kāi)組策略管理控制臺
展開(kāi)域對象
展開(kāi)組策略對象
右鍵單擊默認域策略并單擊編輯（應用于所有域計算機的策略。它可能在您的環(huán)境中有所不同）
按照以下路徑啟用審核登錄事件: 計算機配置 --> Windows 設置 --> 安全設置 --> 高級審核策略配置 --> 審核策略 --> DS 訪(fǎng)問(wèn) --> 審核目錄服務(wù)更改
選擇“配置以下審計事件：”、“成功”和“失敗”復選框
在我們的實(shí)驗室中，我們使用HELK設置來(lái)解析和查詢(xún)日志，并使用winlogbeat將日志從各個(gè)系統推送到HELK實(shí)例。
檢測 OverPass-The-Hash
現在讓我們運行以下查詢(xún)來(lái)檢測在執行 OverPass-The-Hash 攻擊時(shí)生成的登錄事件。
event_id ：4624
logon_type ：9
logon_process_name ：seclogo
在上述查詢(xún)中，我們可以搜索包含 logon_type 9 和 logon_process_name seclogo 的事件 ID 4624 日志。
事件 ID 4624 - 創(chuàng )建登錄會(huì )話(huà)時(shí)生成此事件。
登錄類(lèi)型 9 - 調用者克隆了其當前令牌并為出站連接指定了新憑據。新的登錄會(huì )話(huà)具有相同的本地身份，但對其他網(wǎng)絡(luò )連接使用不同的憑據。當我們執行 OverPass-The-Hash 攻擊時(shí)，登錄類(lèi)型為 9。
登錄進(jìn)程 - 用于登錄的可信登錄進(jìn)程的名稱(chēng)。當我們執行 OverPass-The-Hash 攻擊時(shí)，一個(gè)名為“seclogo”的登錄進(jìn)程。
在執行 OverPass-The-Hash 攻擊時(shí)，Mimikatz 嘗試訪(fǎng)問(wèn) LSASS 進(jìn)程。運行以下查詢(xún)以檢測是否以某些特權訪(fǎng)問(wèn) LSASS 進(jìn)程，這些特權在機器上運行 Mimikatz 以提取憑據或執行 OverPass-The-Hash 攻擊時(shí)很常見(jiàn)。
host_name ：“oil-attacker.oil.crude.corp”
event_id ：10
process_granted_access_orig ：（“ 0x1010”或“0x1038” ）
在上述查詢(xún)中，我們在“oil-attacker”機器上搜索事件 ID 10 日志，該機器已授予對 LSASS 進(jìn)程的特定訪(fǎng)問(wèn)權限。我們可以在這里查找特定進(jìn)程的訪(fǎng)問(wèn)權限:
這種攻擊也可以通過(guò) ATA 檢測為“異常協(xié)議實(shí)現”
檢測 DCSync
我們可以運行以下查詢(xún)來(lái)確定是否執行了 DCSync 攻擊。
event_id : 4662
log_name : "Security"
object_properties : ( "1131f6aa-9c07-11d1-f79f-00c04fc2dcd2"或"1131f6ad-9c07-11d1-f79f-00c04fc2dcd2"或"89e95b76-444d-4c62-9901a ) -
上述查詢(xún)中提到的 GUID 是執行 DCSync 攻擊所需的 Replication 權限的 GUID。
我們還可以利用網(wǎng)絡(luò )流量來(lái)檢測 DCSync 攻擊。需要在域控制器上安裝一個(gè)工具 DCSYNCMonitor 來(lái)監控網(wǎng)絡(luò )流量:
當通過(guò)網(wǎng)絡(luò )執行任何復制時(shí)，此工具會(huì )觸發(fā)警報。當真正的域控制器請求復制時(shí)，這可能會(huì )觸發(fā)誤報警報。因此，建議使用 DCSYNCMonitor 工具和配置文件，我們在其中指定網(wǎng)絡(luò )中域控制器的 IP 地址，以避免誤報警報。
我們可以運行以下查詢(xún)來(lái)識別由 DCSYNCMonitor 工具觸發(fā)的警報:
event_id ：1
source_name ：“DCSYNCALERT”
在上面的屏幕截圖中，我們可以看到 IP: 172.16.1.2 地址的誤報警報，因為它是真實(shí)的域控制器。這是為了在使用 DCSYNCMonitor工具時(shí)突出配置文件的重要性。
這種攻擊也可以通過(guò) ATA 檢測為“目錄服務(wù)的惡意復制”。
檢測 ACL 修改
我們可以運行以下查詢(xún)來(lái)識別我們授予對手用戶(hù) DCSync 權限的 ACL 修改。
event_id ：5136
log_name ：“Security”
dsobject_class ：“domainDNS”
修改 ACL 時(shí)會(huì )生成多個(gè)事件。
事件日志計數將始終為偶數，因為單個(gè) ACL 修改始終有 2 個(gè)事件。同樣可以通過(guò)使用“相關(guān) ID”過(guò)濾來(lái)驗證。一個(gè)事件是“Value Deleted”（ACL 刪除/刪除），第二個(gè)事件是“Value Added”（ACL 添加/修改）。
我們還可以使用 PowerShell 命令:“ConvertFrom-SddlString”轉換“nTSecurityDescriptor”值，以獲取有關(guān)所做更改的更多詳細信息。
注意：- 此命令無(wú)法檢索 DCSync 權限的值，我們將始終將值視為“WriteAttributes”，我們需要從加入域的機器上運行此命令。
建議
建議定期審核有風(fēng)險的基于 ACL 的錯誤配置，因為這可能會(huì )導致整個(gè)域環(huán)境受到損害。
?。?a href="http://www.reeanfmc.com/wechat/">邯鄲微信托管）
