向AD对象添加潜在的影子凭据
编辑向AD对象添加潜在的影子凭据
编辑识别 Active Directory 计算机或用户对象中 msDS-KeyCredentialLink 属性的修改。攻击者可以滥用对对象的控制权并创建密钥对，将原始公钥附加到属性中，并获取对目标用户或计算机对象的持久且隐蔽的访问权限。
规则类型: 查询
规则索引:
- winlogbeat-*
- logs-system.*
- logs-windows.*
严重性: 高
风险评分: 73
每隔: 5 分钟运行
搜索索引自: now-9m (日期数学格式，另请参见 其他回溯时间)
每次执行的最大警报数: 100
参考:
标签:
- 域：端点
- 操作系统：Windows
- 用例：威胁检测
- 战术：凭据访问
- 数据源：Active Directory
- 资源：调查指南
- 用例：Active Directory 监控
- 数据源：系统
版本: 212
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑分类和分析
调查向AD对象添加潜在的影子凭据
msDS-KeyCredentialLink 是一个 Active Directory (AD) 属性，用于将加密证书链接到用户或计算机以进行域身份验证。
具有对该属性的写入权限的攻击者可以通过滥用它来获取对对象的访问权限或保持持久性。这意味着他们可以代表被利用的身份进行身份验证并执行操作，并且他们可以使用影子凭据代表该身份请求票证授予票证 (TGT)。
可能的调查步骤
- 确定环境中是否使用了适用于企业的 Windows Hello (WHfB) 和/或 Azure AD。
- 查看事件 ID 4624 以获取涉及主体身份的登录事件（
winlog.event_data.SubjectUserName）。 - 检查
source.ip是否是运行 Azure AD Connect 的服务器。 - 联系帐户和系统所有者，并确认他们是否知晓此活动。
- 调查过去 48 小时内与用户/主机关联的其他警报。
- 查看事件 ID 4768 和 4769 以查找涉及已修改身份的可疑票证请求（
winlog.event_data.ObjectDN）。 - 从这些事件中提取源 IP 地址，并将其用作入侵指标 (IoC) 以调查主机是否已遭到入侵，并确定攻击者对环境的访问范围。
误报分析
- 管理员可能会在 Azure AD Connect 上使用自定义帐户。如果是这种情况，请确保帐户已得到妥善保护。如果预期的活动在您的环境中产生了过多的噪音，您也可以为该帐户创建例外情况。
响应和补救
- 根据分类结果启动事件响应流程。
- 调查攻击者入侵或使用的系统上的凭据泄露，以确保识别所有受损帐户。重置这些帐户和其他可能受到损害的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
- 从对象中删除影子凭据。
- 调查攻击者如何提升权限并识别他们用于进行横向移动的系统。利用这些信息来确定攻击者如何重新访问环境。
- 确定攻击者滥用的初始载体，并采取措施防止通过相同载体重新感染。
- 利用事件响应数据，更新日志记录和审计策略以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
设置
编辑设置
必须为（成功、失败）配置“审核目录服务更改”日志记录策略。使用高级审核配置实施日志记录策略的步骤
Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policies Configuration > Audit Policies > DS Access > Audit Directory Service Changes (Success,Failure)
上述策略不涵盖用户对象，因此我们需要使用 https://github.com/OTRF/Set-AuditRule 设置 AuditRule。由于这指定了 msDS-KeyCredentialLink 属性 GUID，因此预计噪音较低。
Set-AuditRule -AdObjectPath 'AD:\CN=Users,DC=Domain,DC=com' -WellKnownSidType WorldSid -Rights WriteProperty -InheritanceFlags Children -AttributeGUID 5b47d60f-6090-40b2-9f37-2a4de88f3063 -AuditFlags Success
规则查询
编辑event.action:("Directory Service Changes" or "directory-service-object-modified") and event.code:"5136" and
winlog.event_data.AttributeLDAPDisplayName:"msDS-KeyCredentialLink" and winlog.event_data.AttributeValue :B\:828* and
not winlog.event_data.SubjectUserName: MSOL_*
框架: MITRE ATT&CKTM
-
战术
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：修改身份验证过程
- ID：T1556
- 参考 URL：https://attack.mitre.org/techniques/T1556/