通过通配符记录创建潜在的 ADIDNS 欺骗

活动目录集成 DNS (ADIDNS) 是 AD DS 的核心组件之一，它利用 AD 的访问控制和复制来维护域一致性。它将 DNS 区域存储为 AD 对象，此功能虽然健壮，但也引入了一些安全问题，例如通配符记录，这主要是由于创建 DNS 命名记录的默认权限（任何已认证的用户）导致的。攻击者可以创建通配符记录来重定向与区域中包含的记录不完全匹配的流量，从而成为中间人，并能够类似于 LLMNR/NBNS 欺骗的方式滥用 DNS。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重程度: 高

风险评分: 73

每隔: 5m 运行

搜索索引时间: now-9m (日期数学格式，另请参阅 其他回溯时间)

每次执行的最大告警数: 100

参考:

标签:

域：端点
操作系统：Windows
用例：威胁检测
战术：凭据访问
数据源：活动目录
用例：活动目录监控
数据源：系统

版本: 103

规则作者:

Elastic

规则许可证: Elastic License v2

设置

编辑

设置

必须为（成功、失败）配置“审核目录服务更改”日志策略。使用高级审核配置实施日志策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
DS Access >
Audit Directory Service Changes (Success,Failure)

上述策略默认情况下不涵盖目标对象（我们仍然需要配置它以生成事件），因此我们需要使用 https://github.com/OTRF/Set-AuditRule 设置 AuditRule。

Set-AuditRule -AdObjectPath 'AD:\CN=MicrosoftDNS,DC=DomainDNSZones,DC=Domain,DC=com' -WellKnownSidType WorldSid -Rights CreateChild -InheritanceFlags Descendents -AttributeGUID e0fa1e8c-9b45-11d0-afdd-00c04fd930c9 -AuditFlags Success

规则查询

编辑

any where host.os.type == "windows" and event.action in ("Directory Service Changes", "directory-service-object-modified") and
    event.code == "5137" and startsWith(winlog.event_data.ObjectDN, "DC=*,")

框架: MITRE ATT&CK^TM

战术
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
技术
- 名称：中间人
- ID：T1557
- 参考 URL：https://attack.mitre.org/techniques/T1557/

« 可能的 Okta 拒绝服务攻击潜在的 AWS S3 存储桶勒索软件记录上传 »