通过创建通配符记录的潜在 ADIDNS 中毒

Active Directory 集成 DNS (ADIDNS) 是 AD DS 的核心组件之一，它利用 AD 的访问控制和复制来维护域一致性。它将 DNS 区域存储为 AD 对象，这种功能虽然强大，但也引入了一些安全问题，例如通配符记录，这主要是因为创建 DNS 命名记录的默认权限（任何经过身份验证的用户）。攻击者可以创建通配符记录来重定向与区域中包含的记录不显式匹配的流量，从而成为中间人并能够以类似于 LLMNR/NBNS 欺骗的方式滥用 DNS。

规则类型: eql

规则索引:

winlogbeat-*
logs-system.*
logs-windows.*

严重性: 高

风险评分: 73

运行频率: 5 分钟

搜索索引起始时间: now-9m (日期数学格式，另请参阅 额外回溯时间)

每次执行的最大警报数: 100

参考:

标签:

域：端点
操作系统：Windows
用例：威胁检测
策略：凭证访问
数据源：Active Directory
用例：Active Directory 监控
数据源：系统

版本: 103

规则作者:

Elastic

规则许可: Elastic License v2

设置

编辑

设置

必须为“审核目录服务更改”日志记录策略配置（成功，失败）。使用高级审核配置实施日志记录策略的步骤

Computer Configuration >
Policies >
Windows Settings >
Security Settings >
Advanced Audit Policies Configuration >
Audit Policies >
DS Access >
Audit Directory Service Changes (Success,Failure)

上述策略默认不涵盖目标对象（我们仍然需要将其配置为生成事件），因此我们需要使用 https://github.com/OTRF/Set-AuditRule 设置 AuditRule。

Set-AuditRule -AdObjectPath 'AD:\CN=MicrosoftDNS,DC=DomainDNSZones,DC=Domain,DC=com' -WellKnownSidType WorldSid -Rights CreateChild -InheritanceFlags Descendents -AttributeGUID e0fa1e8c-9b45-11d0-afdd-00c04fd930c9 -AuditFlags Success

规则查询

编辑

any where host.os.type == "windows" and event.action in ("Directory Service Changes", "directory-service-object-modified") and
    event.code == "5137" and startsWith(winlog.event_data.ObjectDN, "DC=*,")

框架: MITRE ATT&CK^TM

策略
- 名称：凭证访问
- ID: TA0006
- 参考 URL: https://attack.mitre.org/tactics/TA0006/
技术
- 名称：中间人攻击
- ID: T1557
- 参考 URL: https://attack.mitre.org/techniques/T1557/

« 可能的 Okta DoS 攻击潜在的 AWS S3 存储桶勒索软件说明上传 »