DCSync ve çoğaltma haklarının kötüye kullanımı
Güvenlik günlüğünde çoğaltma isteklerini (4662) DC’lerin kendi trafiğinden ayırır, çoğaltma GUID’lerini tanır, isteği yapan hesabı, bilgisayarı ve zamanı bulur, tespiti bir betiğe çevirirsin; dizinde etki alanının tepe nesnesinde bu hesaba verilmiş çoğaltma haklarını lmos-acl ile yakalar, meşru sahiplerle karşılaştırır ve müdahale planını (krbtgt dahil) yazarsın. Hesap, bilgisayar ve saat her labda farklıdır.
Seviye 201 · 50 dk
DC’ler değişiklikleri birbirlerine çoğaltma (replication) ile aktarır. Bir DC diğerinden "son değişiklikleri, parola özetleri dahil, gönder" diye ister. Bu istek için etki alanının tepe nesnesinde iki genişletilmiş hak gerekir: DS-Replication-Get-Changes ve DS-Replication-Get-Changes-All.
DCSync saldırısında saldırgan, bu haklara sahip bir hesabı ele geçirir ve bir bilgisayardan DC gibi davranarak bütün parola özetlerini, krbtgt dahil, ister. krbtgt’nin özeti elde edilirse saldırgan istediği kişi adına bilet üretebilir ("golden ticket"). Bu yüzden DCSync, etki alanının tamamen ele geçirildiği anlamına gelir.
İz iki yerde kalır: DC’nin güvenlik günlüğünde 4662 olayı (çoğaltma GUID’leriyle), dizinde ise haklar. DC’ler de sürekli 4662 üretir; işin sırrı DC olmayan bir hesabı ayırmaktır. Çizim GUID’leri ve meşru hak sahiplerini gösteriyor. Saldırının kendisini yapmayacaksın; amaç tespit ve müdahale. Lab açıldıktan 30 saniye kadar sonra bu labın dizin değişiklikleri yerinde olur.
Bu derste ne yapacaksın
- 4662’leri kim üretiyor?
- Hangi işlem? Çoğaltma GUID’leri
- Hangi bilgisayardan, ne zaman?
- Dizinde: hak kimde?
- Meşru sahipler
- SDDL’de iz sür: SID’den ada
- Tespit kuralı yaz
- Bulguyu kaydet
- Müdahale planı
- Kısa sınav
Kazanacağın beceriler
- DCSync’i çoğaltma olaylarında tespit etmek (4662)
- Güvenlik günlüğünü jq ile okumak ve saymak
- Bir olayın kim, kimi, nereden ve ne zaman sorularını çözmek
- DCSync (çoğaltma) haklarını denetlemek
- Bir AD nesnesinin izinlerini (DACL, ACE) okumak
- Bir SID’in kime ait olduğunu bulmak
- SDDL biçimindeki izinleri okumak
- Tespit kuralını betiğe çevirmek
- DCSync sonrası müdahaleyi planlamak (ACE, krbtgt, parolalar)
- Denetim bulgularını yazılı rapora dökmek
← Kerberoasting'i tespit etmek ve önlemek · Active Directory güvenliği: denetim ve sıkılaştırma · Katmanlı yönetim modeli (tier 0/1/2) →
Ücretsiz başla