添加到 AD 对象的潜在影子凭据
编辑添加到 AD 对象的潜在影子凭据
编辑识别 Active Directory 计算机或用户对象中 msDS-KeyCredentialLink 属性的修改。攻击者可以滥用对对象的控制权，创建密钥对，将原始公钥附加到该属性，并获得对目标用户或计算机对象的持久且隐秘的访问权限。
规则类型: 查询
规则索引:
- winlogbeat-*
- logs-system.*
- logs-windows.*
严重性: 高
风险评分: 73
运行频率: 5 分钟
搜索索引时间范围: now-9m (日期数学格式，另请参阅 额外的回溯时间)
每次执行的最大警报数: 100
参考:
标签:
- 域：端点
- 操作系统：Windows
- 用例：威胁检测
- 战术：凭据访问
- 数据源：Active Directory
- 资源：调查指南
- 用例：Active Directory 监控
- 数据源：系统
版本: 212
规则作者:
- Elastic
规则许可证: Elastic License v2
调查指南
编辑分类和分析
调查添加到 AD 对象的潜在影子凭据
msDS-KeyCredentialLink 是 Active Directory (AD) 属性，用于将加密证书链接到用户或计算机以进行域身份验证。
对该对象的此属性具有写入权限的攻击者可以滥用它来获得对对象的访问权限或保持持久性。这意味着他们可以代表被利用的身份进行身份验证和执行操作，并且他们可以使用影子凭据来代表该身份请求票证授权票据 (TGT)。
可能的调查步骤
- 确定环境中是否使用了 Windows Hello for Business (WHfB) 和/或 Azure AD。
- 查看事件 ID 4624 中涉及主体身份（
winlog.event_data.SubjectUserName）的登录事件。 - 检查
source.ip是否是运行 Azure AD Connect 的服务器。 - 联系帐户和系统所有者，确认他们是否了解此活动。
- 调查过去 48 小时内与用户/主机相关的其他警报。
- 查看事件 ID 4768 和 4769 中涉及已修改身份（
winlog.event_data.ObjectDN）的可疑票证请求。 - 从这些事件中提取源 IP 地址，并将它们用作入侵指标 (IoC)，以调查主机是否被入侵，并确定攻击者对环境的访问范围。
误报分析
- 管理员可能会在 Azure AD Connect 上使用自定义帐户。如果是这种情况，请确保帐户已正确保护。如果预期活动在您的环境中产生过多噪声，您也可以为该帐户创建异常。
响应和补救
- 根据分类结果启动事件响应过程。
- 调查攻击者入侵或使用的系统上的凭据泄露情况，以确保识别所有受损帐户。重置这些帐户和其他可能泄露的凭据（如电子邮件、业务系统和 Web 服务）的密码。
- 从对象中删除影子凭据。
- 调查攻击者如何提升权限并识别他们用于进行横向移动的系统。使用此信息来确定攻击者可能重新获得对环境的访问权限的方式。
- 确定攻击者滥用的初始向量，并采取行动以防止通过同一向量再次感染。
- 使用事件响应数据，更新日志记录和审计策略，以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
设置
编辑设置
必须为（成功，失败）配置审核目录服务更改日志记录策略。使用高级审核配置实施日志记录策略的步骤
Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policies Configuration > Audit Policies > DS Access > Audit Directory Service Changes (Success,Failure)
以上策略不涵盖用户对象，因此我们需要使用 https://github.com/OTRF/Set-AuditRule 设置 AuditRule。由于这指定了 msDS-KeyCredentialLink 属性 GUID，因此预计噪声较低。
Set-AuditRule -AdObjectPath 'AD:\CN=Users,DC=Domain,DC=com' -WellKnownSidType WorldSid -Rights WriteProperty -InheritanceFlags Children -AttributeGUID 5b47d60f-6090-40b2-9f37-2a4de88f3063 -AuditFlags Success
规则查询
编辑event.action:("Directory Service Changes" or "directory-service-object-modified") and event.code:"5136" and
winlog.event_data.AttributeLDAPDisplayName:"msDS-KeyCredentialLink" and winlog.event_data.AttributeValue :B\:828* and
not winlog.event_data.SubjectUserName: MSOL_*
框架: MITRE ATT&CKTM
-
战术
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：修改身份验证过程
- ID：T1556
- 参考 URL：https://attack.mitre.org/techniques/T1556/