潜在的影子凭据添加到 AD 对象
编辑潜在的影子凭据添加到 AD 对象编辑
识别 Active Directory 计算机或用户对象的 msDS-KeyCredentialLink 属性的修改。攻击者可以滥用对对象的控制，创建密钥对，将原始公钥附加到属性中，并获得对目标用户或计算机对象的持久且隐蔽的访问权限。
规则类型: 查询
规则索引:
- winlogbeat-*
- logs-system.*
- logs-windows.*
严重性: 高
风险分数: 73
每: 5m
搜索索引来源: now-9m (日期数学格式，另请参见 额外回溯时间)
每次执行的最大警报数: 100
参考资料:
标签:
- 域：端点
- 操作系统：Windows
- 用例：威胁检测
- 战术：凭据访问
- 数据源：Active Directory
- 资源：调查指南
- 用例：Active Directory 监控
版本: 108
规则作者:
- Elastic
规则许可: Elastic License v2
调查指南编辑
分类和分析
调查潜在的影子凭据添加到 AD 对象
msDS-KeyCredentialLink 是一个 Active Directory (AD) 属性，它将加密证书链接到用户或计算机以进行域身份验证。
攻击者对该属性拥有对对象的写入权限，可以滥用它来获取对对象的访问权限或保持持久性。这意味着他们可以代表被利用的身份进行身份验证并执行操作，并且他们可以使用影子凭据代表身份请求票证授予票证 (TGT)。
可能的调查步骤
- 确定环境中是否使用了 Windows Hello for Business (WHfB) 和/或 Azure AD。
- 检查事件 ID 4624 以查找涉及主体身份 (
winlog.event_data.SubjectUserName) 的登录事件。 - 检查
source.ip是否是运行 Azure AD Connect 的服务器。 - 联系帐户和系统所有者，确认他们是否了解此活动。
- 调查过去 48 小时内与用户/主机相关的其他警报。
- 检查事件 ID 4768 和 4769 以查找涉及已修改身份 (
winlog.event_data.ObjectDN) 的可疑票证请求。 - 从这些事件中提取源 IP 地址，并将它们用作入侵指标 (IoC) 来调查主机是否受到入侵，并确定攻击者对环境的访问范围。
误报分析
- 管理员可能会在 Azure AD Connect 上使用自定义帐户。如果是这种情况，请确保帐户得到适当保护。如果您期望的活动在您的环境中产生过多的噪音，您还可以为该帐户创建例外。
响应和补救
- 根据分类结果启动事件响应流程。
- 调查攻击者入侵或使用的系统上的凭据泄露，确保识别所有受损帐户。重置这些帐户和其他可能受损的凭据（例如电子邮件、业务系统和 Web 服务）的密码。
- 从对象中删除影子凭据。
- 调查攻击者如何提升权限并识别他们用来进行横向移动的系统。使用此信息来确定攻击者可以重新访问环境的方式。
- 确定攻击者利用的初始载体并采取措施防止通过相同载体重新感染。
- 使用事件响应数据，更新日志记录和审计策略以提高平均检测时间 (MTTD) 和平均响应时间 (MTTR)。
设置编辑
设置
必须为（成功、失败）配置审计目录服务更改日志记录策略。使用高级审计配置实施日志记录策略的步骤
Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policies Configuration > Audit Policies > DS Access > Audit Directory Service Changes (Success,Failure)
上述策略不涵盖用户对象，因此我们需要使用 https://github.com/OTRF/Set-AuditRule 设置 AuditRule。由于这指定了 msDS-KeyCredentialLink 属性 GUID，因此预计其噪音很低。
Set-AuditRule -AdObjectPath 'AD:\CN=Users,DC=Domain,DC=com' -WellKnownSidType WorldSid -Rights WriteProperty -InheritanceFlags Children -AttributeGUID 5b47d60f-6090-40b2-9f37-2a4de88f3063 -AuditFlags Success
规则查询编辑
event.action:"Directory Service Changes" and event.code:"5136" and winlog.event_data.AttributeLDAPDisplayName:"msDS-KeyCredentialLink" and winlog.event_data.AttributeValue :B\:828* and not winlog.event_data.SubjectUserName: MSOL_*
框架: MITRE ATT&CKTM
-
战术
- 名称：凭据访问
- ID：TA0006
- 参考 URL：https://attack.mitre.org/tactics/TA0006/
-
技术
- 名称：修改身份验证过程
- ID：T1556
- 参考 URL：https://attack.mitre.org/techniques/T1556/