› › ›

已添加 AdminSDHolder SDProp 排除项

识别 dsHeuristics 属性上的修改，该属性控制从 SDProp 进程中排除的组的配置。SDProp 将受保护对象的权限与 AdminSDHolder 对象上定义的权限进行比较。如果任何受保护的帐户和组的权限不匹配，则受保护帐户和组的权限将重置为与域的 AdminSDHolder 对象的权限匹配，这意味着排除的组将保持不变。攻击者可以滥用此错误配置来维持对这些组中特权帐户的长期访问。

规则类型：eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重性：高

风险评分: 73

运行频率：5 分钟

搜索索引起始时间：now-9m（日期数学格式，另请参阅 其他回溯时间）

每次执行的最大警报数: 100

参考:

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：持久性
数据源：Active Directory
资源：调查指南
用例：Active Directory 监控
数据源：系统

版本: 212

规则作者:

Elastic

规则许可证：Elastic License v2

调查指南

编辑

分类和分析

调查已添加的 AdminSDHolder SDProp 排除项

SDProp 进程将受保护对象的权限与 AdminSDHolder 对象上定义的权限进行比较。如果任何受保护的帐户和组的权限不匹配，它会将受保护帐户和组的权限重置为与域 AdminSDHolder 对象中定义的权限匹配。

dSHeuristics 是一个 Unicode 字符串属性，字符串中的每个字符都表示一个用于确定 Active Directory 行为的启发式规则。

管理员可以通过将字符串的第 16 位 (dwAdminSDExMask) 设置为某个值（表示组），使用 dSHeuristics 属性将特权组从 SDProp 进程中排除。

例如，要排除 Account Operators 组，管理员将修改字符串，使第 16 个字符设置为 1（即，0000000001000001）。

此排除的使用可能会使帐户不受保护，并促进排除组的权限错误配置，从而使攻击者能够将帐户添加到这些组中，以保持具有高权限的长期持久性。

此规则匹配 dsHeuristics 对象的变化，其中第 16 位设置为零以外的值。

可能的调查步骤

确定执行操作的用户帐户，以及它是否应该执行此类操作。
联系帐户和系统所有者，并确认他们是否知道此活动。
调查过去 48 小时内与用户/主机相关的其他警报。
检查 winlog.event_data.AttributeValue 字段上字符串的第 16 位分配的值
帐户操作员 eq 1
服务器操作员 eq 2
打印操作员 eq 4
备份操作员 eq 8 字段值范围可以是 0 到 f (15)。如果指定多个组，则这些值将相加在一起；例如，备份操作员和打印操作员将在位上设置 c 值。

误报分析

虽然这种修改可以合法完成，但它不是最佳实践。任何潜在的良性真阳性 (B-TP) 都应由安全团队映射和审查，以寻找替代方案，因为这会削弱特权组的安全性。

响应和修复

可以通过在 dSHeuristics 中将 dwAdminSDExMask（第 16 位）设置为 0 来恢复更改。
使用事件响应数据，更新日志记录和审核策略，以提高检测平均时间 (MTTD) 和响应平均时间 (MTTR)。

设置

编辑

设置

必须为“审核目录服务更改”日志记录策略配置（成功）。使用高级审核配置实现日志记录策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
DS Access >
Audit Directory Service Changes (Success)

如果在版本 <8.2 的非 elastic-agent 索引（如 Beats）上启用 EQL 规则，则事件将不会定义 event.ingested，并且直到 8.2 版本才添加 EQL 规则的默认回退。因此，为了使此规则有效工作，用户需要添加自定义摄取管道以将 event.ingested 填充到 @timestamp。有关添加自定义摄取管道的更多详细信息，请参阅 - https://elastic.ac.cn/guide/en/fleet/current/data-streams-pipeline-tutorial.html

规则查询

编辑

any where event.action in ("Directory Service Changes", "directory-service-object-modified") and
  event.code == "5136" and
  winlog.event_data.AttributeLDAPDisplayName : "dSHeuristics" and
  length(winlog.event_data.AttributeValue) > 15 and
  winlog.event_data.AttributeValue regex~ "[0-9]{15}([1-9a-f]).*"

框架：MITRE ATT&CK^TM

策略
- 名称：持久性
- ID：TA0003
- 参考 URL：https://attack.mitre.org/tactics/TA0003/
技术
- 名称：有效帐户
- ID：T1078
- 参考 URL：https://attack.mitre.org/techniques/T1078/
子技术
- 名称：域帐户
- ID：T1078.002
- 参考 URL：https://attack.mitre.org/techniques/T1078/002/
技术
- 名称：帐户操作
- ID：T1098
- 参考 URL：https://attack.mitre.org/techniques/T1098/

« AdminSDHolder 后门分配给 Okta 组的管理员权限 »