Reconocimiento LDAP

Realizando reconocimiento utilizando LDAP

PASO 1: Obtener un punto de apoyo

Los adversarios utilizan una variedad de técnicas para obtener un punto de apoyo en el entorno de TI de una organización, incluyendo ataques de phishing, watering hole y de rociado de contraseñas. Aquí está cómo un adversario que ha obtenido una lista de posibles nombres de usuario puede llevar a cabo un ataque de rociado de contraseñas utilizando Spray, un script de bash creado para realizar ataques de rociado de contraseñas en múltiples plataformas, contra el servidor de red privada virtual (VPN) de la organización:

      [attacker@machine ~]$ spray.sh -cisco vpn.org.com usernames.txt passwords.txt 1 35

Valid Credentials joed Summer2020
      

PASO 2: Realizar reconocimiento utilizando LDAP

El adversario utiliza las credenciales comprometidas para autenticarse en la VPN y obtener acceso a la red, y luego usa esas mismas credenciales para consultar Active Directory. Pueden enumerar Active Directory utilizando el módulo de PowerShell ActiveDirectory, o automatizar el descubrimiento con herramientas como BloodHound y PowerSploit. En este ejemplo, el adversario utiliza PowerShell para buscar posibles contraseñas en los atributos de descripción de los usuarios:

      PS> Import-Module ActiveDirectory

PS> Get-ADObject -LDAPFilter "(&(objectClass=user)(description=*pass*))" -property * | Select-Object SAMAccountName, Description, DistinguishedName

SAMAccountName DescriptionDistinguishedName

-------------- ----------------------------

AlicePassword: P@ssw0rd123!CN=Alice,OU=Users,DC=domain,DC=com

PS>
      

PASO 3: Utilizar la información para avanzar en los objetivos

Utilizando las credenciales que han encontrado, el adversario lleva a cabo un reconocimiento interno adicional utilizando herramientas como BloodHound y SharpHound, que ayudan a desenredar complejas redes de permisos. Con esta información, el adversario puede trazar rutas hacia objetivos, como el dominio del dominio.

La gráfica a continuación ilustra un ejemplo. Supongamos que un atacante obtiene las credenciales de la cuenta de usuario Alice. Esa cuenta tiene permisos WriteDACL y WriteOwner sobre el usuario Eve, lo que significa que Alice puede otorgarse acceso a la cuenta de Eve. Eve tiene derechos para restablecer la contraseña de la cuenta Bob, y Bob tiene permisos (otorgados a través de la propagación de AdminSDHolder) para modificar el grupo de Administradores del Dominio. Por lo tanto, ¡encontrar la contraseña de Alice fue muy valioso para el adversario!

Resultado

Después de recolectar datos con SharpHound.exe -C All, el adversario puede cargar el conjunto de datos en BloodHound para explorar caminos hacia el dominio del dominio.

Detectar, Mitigar y Responder

Detectar

Dificultad: Difícil

El protocolo LDAP se utiliza con frecuencia en Active Directory, por lo que es difícil separar las consultas maliciosas de las legítimas. Además, Active Directory no proporciona un mecanismo para registrar las consultas exactas recibidas; sin embargo, se puede lograr cierto grado de perfilado y monitoreo del acceso a atributos específicos utilizando el evento 4662 en la subcategoría Audit Directory Service Access.

Monitorear el tráfico de red recibido por los controladores de dominio para consultas LDAP específicas puede ayudar a detectar actividad de adversarios. La siguiente tabla muestra una pequeña muestra de los tipos de consultas que deberían ser infrecuentes en una operación normal, pero que pueden proporcionar señales fuertes de actividad de adversarios:

Mitigar

Dificultad: Difícil

Debido a que LDAP desempeña un papel esencial en las operaciones normales de Active Directory, las organizaciones no pueden simplemente bloquear su uso. En su lugar, concéntrese en mitigaciones que prevengan la infiltración desde el principio: conciencia y capacitación de usuarios, detección y respuesta ante compromisos de endpoints, detección y prevención de phishing, seguridad de correo electrónico, autenticación de múltiples factores (MFA) y así sucesivamente.

Responder

Dificultad: Media

Si se detecta reconocimiento LDAP en el entorno, active el proceso de respuesta ante incidentes y alerte al equipo de respuesta ante incidentes.

Si se confirma la presencia de un adversario:

• Restablezca la contraseña y deshabilite la cuenta de usuario que realiza reconocimiento.
• Ponga en cuarentena el ordenador fuente para la investigación forense y las actividades de erradicación y recuperación.