Reconhecimento LDAP

Realizando Reconhecimento usando LDAP

PASSO 1: Obter um ponto de apoio

Os adversários utilizam uma variedade de técnicas para obter um ponto de apoio no ambiente de TI de uma organização, incluindo ataques de phishing, watering hole e password spraying. Aqui está como um adversário que obteve uma lista de possíveis nomes de usuário pode realizar um ataque de password spraying usando Spray, um script bash criado para executar ataques de password spray em múltiplas plataformas, contra o servidor de rede privada virtual (VPN) da organização:

      [attacker@machine ~]$ spray.sh -cisco vpn.org.com usernames.txt passwords.txt 1 35

Valid Credentials joed Summer2020
      

PASSO 2: Realize o reconhecimento usando LDAP

O adversário utiliza as credenciais comprometidas para se autenticar na VPN e obter acesso à rede, e depois usa essas mesmas credenciais para consultar o Active Directory. Eles podem enumerar o Active Directory usando o módulo PowerShell do ActiveDirectory, ou automatizar a descoberta usando ferramentas como BloodHound e PowerSploit. Neste exemplo, o adversário usa o PowerShell para procurar possíveis senhas nos atributos de descrição dos usuários:

      PS> Import-Module ActiveDirectory

PS> Get-ADObject -LDAPFilter "(&(objectClass=user)(description=*pass*))" -property * | Select-Object SAMAccountName, Description, DistinguishedName

SAMAccountName DescriptionDistinguishedName

-------------- ----------------------------

AlicePassword: P@ssw0rd123!CN=Alice,OU=Users,DC=domain,DC=com

PS>
      

ETAPA 3: Use as informações para promover os objetivos

Using the credentials they have found, the adversary conducts further internal reconnaissance using tools like BloodHound and SharpHound, which assist with untangling complex webs of permissions. Using this information, the adversary can map out pathways to objectives, such as domain dominance.

The graphic below illustrates an example. Suppose an attacker gains the credentials for the user account Alice. That account has WriteDACL and WriteOwner permissions to the user Eve, which means Alice can grant herself access to Eve’s account. Eve has rights to reset the password of the account Bob, and Bob has permissions (granted through AdminSDHolder propagation) to modify the Domain Admins group. Therefore, finding Alice’s password was very valuable the adversary!

Resultado

Após coletar dados com SharpHound.exe -C All, o adversário pode carregar o conjunto de dados no BloodHound para explorar caminhos para a dominação do domínio.

Detectar, Mitigar e Responder

Detectar

Dificuldade: Difícil

O protocolo LDAP é usado frequentemente no Active Directory, tornando difícil separar consultas maliciosas de legítimas. Além disso, o Active Directory não oferece um mecanismo para registrar as consultas exatas recebidas; no entanto, algum grau de perfilamento e monitoramento do acesso a atributos específicos pode ser alcançado usando o evento 4662 na subcategoria Audit Directory Service Access.

Monitorar o tráfego de rede recebido pelos controladores de domínio para consultas LDAP específicas pode ajudar a detectar atividades de adversários. A tabela a seguir mostra uma pequena amostra dos tipos de consultas que devem ser infrequentes em operações normais, mas que podem fornecer fortes indícios de atividades de adversários:

Mitigar

Dificuldade: Difícil

Porque o LDAP desempenha um papel essencial nas operações normais do Active Directory, as organizações não podem simplesmente bloquear seu uso. Em vez disso, concentre-se em medidas de mitigação que previnam a infiltração desde o início: conscientização e treinamento de usuários, detecção e resposta a comprometimento de endpoints, detecção e prevenção de phishing, segurança de e-mail, autenticação de múltiplos fatores (MFA) e assim por diante.

Responder

Dificuldade: Média

Se a reconhecimento LDAP for detectado no ambiente, ative o processo de resposta a incidentes e alerte a equipe de resposta a incidentes.

Se a presença de um adversário for confirmada:

• Redefina a senha e desative a conta de usuário que está realizando reconhecimento.
• Coloque o computador de origem em quarentena para investigação forense e atividades de erradicação e recuperação.