Ele geçirilmiş etki alanını kurtarmak
Saldırganın etki alanı yöneticisi olduğu bir durumda kapsamı belirler, kalıcılık noktalarını temizler, krbtgt’yi ve yetkili hesapları güvenle sıfırlar, gerekirse ormanı yedekten kurtarırsın.
Seviye 501 · 12 ders · 12 pratik lab
Dersler
Değerlendirme
- Etki alanı ele geçirilmesinin kapsamı
- AD kalıcılığı: gizli yöneticiler, SID geçmişi, AdminSDHolder
- Temizlemek mi, yeniden kurmak mı
- Kısa görev: saldırganın bıraktığı dört kalıcılık noktasını bul
Kurtarma
- krbtgt parolasını iki kez güvenle sıfırlamak
- Yetkili hesap ve hizmet hesabı parolalarını döndürmek
- Orman kurtarma: yetkili geri yükleme
- Güven ilişkilerini ve sertifika hizmetlerini yeniden güvenceye almak
- Kısa görev: hizmetleri durdurmadan krbtgt sıfırlamasını yap
Sonrası
- Kurtarma sonrası yoğun izleme
- Ders çıkarmak ve kalıcı iyileştirmeler
- Bitirme görevi: ele geçirilmiş CORP.LAB’i 48 saatlik bir planla geri al
Pratik lablar
- Ele geçirilme kapsamını gösteren kanıtları sınıflandır: Verilen on bulguyu tek makine, yetkili hesap ya da tüm etki alanı düzeyi olarak etiketle ve en ağır kanıtı seç.
- Saldırganın hangi yetki düzeyine ulaştığını olaylardan belirle: Yetkili oturumları, çoğaltma isteklerini ve grup değişikliklerini inceleyip krbtgt anahtarının açığa çıkmış sayılıp sayılmayacağına karar ver.
- Temizleme ile yeniden kurma arasında gerekçeli karar ver: Yedeklerin yaşını, kalıcılık bulgularını ve iş kesintisi maliyetini tartan bir karar tablosu doldur ve Demirsu Enerji yönetimine tek sayfalık öneri yaz.
- Yeni oluşturulmuş ve yetkili gruplara eklenmiş hesapları bul: Son 30 günde oluşturulan hesapları ve yetkili gruplara yapılan eklemeleri karşılaştırıp açıklanamayan hesabı işaretle.
- SID geçmişi ve AdminSDHolder üzerindeki kalıcılığı çıkar: SID geçmişinde yetkili bir SID taşıyan hesabı ve AdminSDHolder erişim listesine eklenmiş yabancı girişi bul ve ikisini de temizle.
- Saldırganın bıraktığı dört kalıcılık noktasını bul ve kanıtla: Gizli yönetici, çoğaltma hakkı, GPO betiği ve servis hesabı parolası değişikliğini dizin sorguları ve olaylarla ortaya çıkar, her biri için kanıt ve temizleme adımı yaz.
- krbtgt hesabının parola yaşını ve sürüm numarasını oku: krbtgt hesabının son parola değişikliği tarihini ve anahtar sürüm numarasını sorgula ve iki denetleyicide aynı olduğunu doğrula.
- krbtgt parolasını hizmetleri durdurmadan bir kez sıfırla: Çoğaltma sağlığını kontrol et, parolayı sıfırla, değişikliğin ikinci denetleyiciye ulaştığını doğrula ve bilet alımının sürdüğünü göster.
- Çift krbtgt sıfırlamasını ve yetkili parola döndürmesini sırala: Bilet ömrünü hesaba katan bekleme süresiyle iki sıfırlamayı, yönetici ve servis hesabı parolalarının sırasını planla, labda uygula ve eski biletin reddedildiğini kanıtla.
- Yedekten dönülecek denetleyiciyi ve yedeğin yaşını belirle: Yedek kayıtlarından en son sağlam sistem durumu yedeğini, tarihini ve hangi denetleyiciye ait olduğunu bul.
- Silinen OU’yu yetkili geri yükleme ile geri getir: Dizin hizmetleri geri yükleme kipinde yedeği yükle, silinen OU’yu yetkili olarak işaretle ve ikinci denetleyiciye çoğaldığını doğrula.
- Kurtarma sonrası ilk 48 saat için yoğun izleme düzeni kur: Güven ilişkisi parolasını ve sertifika hizmetlerini yeniden güvene aldıktan sonra eski hesap, eski bilet ve yeni yetkili üyelik için üç uyarı kur ve sınayarak göster.
Kurs hakkında
Saldırganın etki alanı yöneticisi olduğu bir durumda kapsamı belirler, kalıcılık noktalarını temizler, krbtgt’yi ve yetkili hesapları güvenle sıfırlar, gerekirse ormanı yedekten kurtarırsın.
Ne öğreneceksin
- Değerlendirme
- Kurtarma
- Sonrası
Ön koşullar
Aynı yolun 401 düzeyine kadar olan konularında deneyimli olmalısın.
Lab ortamı
Dersler, tarayıcında açılan bir Kali Linux terminalinde ve her lab için ayrı kurulan bir uygulama etki alanında (CORP.LAB) geçer. Kurulum gerekmez.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 501 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.