LDAP-Aufklärung

Durchführung von Aufklärung mit LDAP

SCHRITT 1: Einen Fuß fassen

Angreifer verwenden eine Vielzahl von Techniken, um in die IT-Umgebung einer Organisation einzudringen, einschließlich Phishing, Watering-Hole-Angriffen und Passwort-Spraying-Attacken. Hier ist, wie ein Angreifer, der eine Liste möglicher Benutzernamen erhalten hat, einen Passwort-Spraying-Angriff mit Spray durchführen kann, einem Bash-Skript, das entwickelt wurde, um Passwort-Spraying-Angriffe auf mehreren Plattformen durchzuführen, gegen den VPN-Server der Organisation:

      [attacker@machine ~]$ spray.sh -cisco vpn.org.com usernames.txt passwords.txt 1 35

Valid Credentials joed Summer2020
      

SCHRITT 2: Führen Sie eine Aufklärung mit LDAP durch

Der Angreifer verwendet die kompromittierten Anmeldeinformationen, um sich beim VPN zu authentifizieren und Netzwerkzugriff zu erhalten, und verwendet dann dieselben Anmeldeinformationen, um Active Directory abzufragen. Sie können Active Directory mit dem ActiveDirectory PowerShell-Modul auflisten oder die Entdeckung mit Tools wie BloodHound und PowerSploit automatisieren. In diesem Beispiel verwendet der Angreifer PowerShell, um nach möglichen Passwörtern in den Beschreibungsattributen der Benutzer zu suchen:

      PS> Import-Module ActiveDirectory

PS> Get-ADObject -LDAPFilter "(&(objectClass=user)(description=*pass*))" -property * | Select-Object SAMAccountName, Description, DistinguishedName

SAMAccountName DescriptionDistinguishedName

-------------- ----------------------------

AlicePassword: P@ssw0rd123!CN=Alice,OU=Users,DC=domain,DC=com

PS>
      

SCHRITT 3: Informationen nutzen, um Ziele weiterzuverfolgen

Using the credentials they have found, the adversary conducts further internal reconnaissance using tools like BloodHound and SharpHound, which assist with untangling complex webs of permissions. Using this information, the adversary can map out pathways to objectives, such as domain dominance.

The graphic below illustrates an example. Suppose an attacker gains the credentials for the user account Alice. That account has WriteDACL and WriteOwner permissions to the user Eve, which means Alice can grant herself access to Eve’s account. Eve has rights to reset the password of the account Bob, and Bob has permissions (granted through AdminSDHolder propagation) to modify the Domain Admins group. Therefore, finding Alice’s password was very valuable the adversary!

Ergebnis

Nachdem Daten mit SharpHound.exe -C All gesammelt wurden, kann der Angreifer das Datenset in BloodHound laden, um Wege zur Dominanz im Domain zu erkunden.

Erkennen, Minderung und Reaktion

Erkennen

Schwierigkeit: Schwer

Das LDAP-Protokoll wird häufig in Active Directory verwendet, daher ist es schwierig, bösartige Abfragen von legitimen zu unterscheiden. Darüber hinaus bietet Active Directory keinen Mechanismus zum Protokollieren der exakten empfangenen Abfragen; jedoch kann ein gewisses Maß an Profiling und Überwachung für den Zugriff auf bestimmte Attribute mit Hilfe von Ereignis 4662 in der Unterkategorie Audit Directory Service Access erreicht werden.

Die Überwachung des Netzwerkverkehrs, der von Domänencontrollern für spezifische LDAP-Abfragen empfangen wird, kann Ihnen helfen, feindliche Aktivitäten zu erkennen. Die folgende Tabelle zeigt eine kleine Auswahl von Abfragen, die im normalen Betrieb selten sein sollten, aber starke Anzeichen für feindliche Aktivitäten liefern können:

Mildern

Schwierigkeitsgrad: Schwer

Da LDAP eine wesentliche Rolle im normalen Betrieb von Active Directory spielt, können Organisationen dessen Nutzung nicht einfach blockieren. Stattdessen sollten sie sich auf Maßnahmen konzentrieren, die eine Infiltration von vornherein verhindern: Sensibilisierung und Schulung der Benutzer, Erkennung und Reaktion auf Endpunkt-Kompromittierungen, Phishing-Erkennung und -Prävention, E-Mail-Sicherheit, Multi-Faktor-Authentifizierung (MFA) und so weiter.

Antworten

Schwierigkeitsgrad: Mittel

If LDAP reconnaissance is detected in the environment, activate the incident response process and alert the incident response team.

If an adversary’s presence is confirmed:

• Setzen Sie das Passwort zurück und deaktivieren Sie das Benutzerkonto, das die Aufklärung durchführt.
• Quarantäne für den Quellcomputer zur forensischen Untersuchung sowie für Ausrottungs- und Wiederherstellungsaktivitäten.