Attack Path Mapping mit BloodHound AD

AD-Angriff - Zuordnung lokaler Administratoren

Sobald ein Angreifer in Ihrem Active Directory (AD) eine Basis geschaffen hat, beginnt er nach Wegen zu suchen, um sein endgültiges Ziel zu erreichen, wie zum Beispiel den Zugriff auf sensible Daten auf Dateiservern oder in Datenbanken, die Verbreitung von Ransomware oder das Lahmlegen Ihrer IT-Infrastruktur. Um dies zu tun, muss er zunächst zusätzliche Zugriffsrechte erlangen – idealerweise eine Mitgliedschaft in hochprivilegierten Gruppen wie den Domain Admins.

BloodHound Active Directory hilft ihnen dabei, genau das zu tun. Diese Webanwendung entdeckt und visualisiert Angriffspfade – eine Reihe strategischer seitlicher Bewegungen, die es dem Angreifer ermöglichen, seine Privilegien zu erhöhen. Indem ein Angreifer einem vom Tool dargelegten Angriffspfad folgt, kann er oft schnell von einem gewöhnlichen Benutzerkonto zur Kontrolle des Active Directory gelangen.

Organisationen können BloodHound auch als Verteidigungswerkzeug nutzen, um sicherzustellen, dass es keine praktikablen Wege gibt, um kritische Konten und Computer in ihrer IT-Umgebung zu kompromittieren.

Wie BloodHound AD funktioniert

Hinter den Kulissen stützt sich das Sicherheitstool BloodHound auf PowerSploit und den Befehl Invoke-UserHunter, um seine Angriffspfade zu erstellen. Zu Beginn ermittelt Bloodhound zwei kritische Datensätze in einem Active Directory-Domäne:

• Zuerst erstellt es eine Informationskarte von Beziehungen, wie zum Beispiel, wer Zugang zu welchen Computern im Unternehmen hat. Dies konzentriert sich auf die Mitgliedschaft in der Gruppe der lokalen Administratoren (Lokale Admin-Zuordnung).
• Als Nächstes ermittelt BloodHound aktive Sitzungen und angemeldete Benutzer auf domänenverbundenen Computern. Diese Datensammlung zeigt, wer auf welche Systeme zugreift und welche Benutzeranmeldeinformationen auf diesen Systemen gespeichert sind, bereit, aus dem Speicher gestohlen zu werden.

Sammeln von BloodHound-Angriffsdaten

Um die Datensammlung durchzuführen, können Angreifer den folgenden PowerShell-Befehl ausführen, der die Informationen sammelt und sie in eine CSV-Datei schreibt:

Alternativ kann man Daten mit dem folgenden SharpHound-Befehl sammeln:

C:> SharpHound.exe

Folgende Informationen werden vom Domain-Controller gesammelt:

• Mitgliedschaften in Sicherheitsgruppen
• Domänenvertrauensstellungen
• Missbrauchbare Rechte an Active Directory-Objekten
• Gruppenrichtlinie verknüpfungen
• Struktur des OU-Baums
• Mehrere Eigenschaften von Computer-, Gruppen- und Benutzerobjekten
• SQL-Admin-Links

Visualisierung und Abfrage von BloodHound-Daten

Das Cyber-Sicherheitstool Bloodhound analysiert dann die Daten und erstellt Visualisierungen von Angriffspfaden im Bereich. Hier ist eine Beispielversion von Angriffspfaden:

Queries in BloodHound AD ausführen

BloodHound macht die Planung eines Angriffs auf eine Domäne so einfach wie die Planung einer Autoreise mit Google Maps. Es beinhaltet eine Reihe von vordefinierten Abfragen, einschließlich einer, um den kürzesten Weg zu finden, um die Gruppe der Domain Admins zu kompromittieren, wie Sie in der folgenden Liste sehen können:

Alternativ können Sie Ihre eigene Quelle und Ziel angeben, und BloodHound wird alle möglichen Angriffspfade aufzeigen, wie unten dargestellt:

Abbildung 1. Festlegen von Quell- und Zielrechnern

Abbildung 2. Darstellung der durch BloodHound aufgezeichneten Angriffspfade

Schutz vor Angriffen mit BloodHound

BloodHound AD ist äußerst nützlich, um Schwachstellen in Ihrem Domain zu kartieren. Eine gute Methode, diese Schwachstellen zu reduzieren, ist der strikte Zugriffskontrolle auf privilegierte Serverzugänge. Zum Beispiel bietet Microsoft Windows Privileged Access Management Best Practices für Active Directory Sicherheit mithilfe des Unternehmenszugriffsmodells und des rapid modernization plan (RaMP).

Darüber hinaus kann die Überwachung von verdächtigen Authentifizierungs- und Anmeldeaktivitäten Versuche aufdecken, Angriffspfade auszunutzen.

Wie Netwrix helfen kann

Für einen umfassenden Schutz Ihres Domänenbereichs, sehen Sie sich die Netwrix Active Directory Security Solution an. Sie wird Ihnen helfen:

• Führen Sie regelmäßige Risikobewertungen durch, die Sicherheitslücken in Ihrer AD-Umgebung aufzeigen.
• Identifizieren und beschränken Sie den Zugriff auf Ihre wertvollsten Daten und andere IT-Ressourcen.
• Schränken Sie die Mitgliedschaft in privilegierten Gruppen wie Domain Admin ein.
• Erkennen Sie verdächtige Aktivitäten rechtzeitig, um schwerwiegende Sicherheitsverletzungen zu verhindern.