AD-Безопасность: "У вас zero-day до Domain Admin". Смотрим на свою сеть глазами хакера

Вы думаете, что ваша Active Directory защищена. Вы уверены, что у "Helpdesk" нет прав на контроллере домена.
Злоумышленник так не думает. Он не гадает. Он строит граф атаки.

BloodHound — это не просто "еще один сканер". Это самый мощный и страшный инструмент для аудита AD. Он использует теорию графов, чтобы найти кратчайший путь к правам Domain Admin от любого пользователя в сети.

Как это работает (и почему это страшно):

1. Сбор данных (SharpHound): На целевой машине запускается сборщик, который собирает метаданные: "Кто в какой группе?", "Кто где залогинен?", "Кто имеет права локального админа на каком сервере?".

2. Визуализация (BloodHound GUI): Вы загружаете эти данные и видите... всё.

Типичный путь атаки, который находит BloodHound:
(например)
Ваш Helpdesk-User (низкие права)...
...имеет права RDP на SRV-PRINT...
...на SRV-PRINT сейчас активна сессия SQL-Admin...
...SQL-Admin является локальным админом на WEB-SRV01...
...на WEB-SRV01 в планировщике висит скрипт, который запускается от Domain-Admin.
БИНГО. Путь: Helpdesk -> SRV-PRINT -> SQL-Admin -> WEB-SRV01 -> Domain Admin.

Злоумышленнику остается только пройти по этому пути, собирая учетные данные (Pass-the-Hash, Kerberoasting).

Взгляд архитектора: Вы не можете защитить то, что вы не видите. Архитектор не "надеется", что его модель прав доступа "чистая". Он верифицирует её.

Скачайте BloodHound (https://github.com/BloodHoundAD/BloodHound).
Запустите сборщик SharpHound.
Загрузите данные и найдите свой "кратчайший путь" к Domain Admin.
Это лучшее, что вы можете сделать для безопасности своего AD на этой неделе.

#security #windows #activedirectory #bloodhound #cybersecurity #pentest #architect

AD: "Путь к Domain Admin". Аудит путей атаки с PowerShell

Боль: Вы запустили BloodHound и увидели 50 "красных" путей к правам Domain Admin. Вы в ужасе. Что делать дальше?

Реакция админа: "Закрою 1-2 самые очевидные дыры".
Реакция архитектора: Начать систематический аудит "Control Paths" (путей контроля).

Атака BloodHound — это не магия. Это злоупотребление "опасными" правами (ACL), которые вы сами раздали. Самые опасные — GenericAll , GenericWrite , WriteDacl .

Этот PowerShell-скрипт (на модуле ActiveDirectory ) — оборонительный BloodHound . Он найдет, кто имеет "опасные" права на ваш самый ценный объект — группу "Domain Admins".

Код скрипта:
PowerShell

Import-Module ActiveDirectory

Write-Host "--- Начинаю аудит 'опасных' ACL на группе 'Domain Admins' ---" -ForegroundColor Cyan

$DAMinGroupDN = (Get-ADGroup "Domain Admins").DistinguishedName
$ACLs = (Get-Acl "AD:$DAMinGroupDN").Access

# Список "смертельных" прав, которые дают полный контроль
$DangerousRights = @(
    "GenericAll",
    "GenericWrite",
    "WriteDacl",
    "WriteProperty",
    "WriteOwner"
)

# Ищем всех, у кого есть эти права, КРОМЕ "ожидаемых" (Админы, SYSTEM...)
$SuspiciousACLs = $ACLs | Where-Object {
    ($_.ActiveDirectoryRights -in $DangerousRights) -and
    ($_.IdentityReference -notin @("NT AUTHORITY\SYSTEM", "BUILTIN\Administrators", "CORP\Domain Admins"))
}

if ($SuspiciousACLs.Count -gt 0) {
    Write-Host "`n[!!!] ОБНАРУЖЕНЫ КРИТИЧЕСКИЕ ПУТИ АТАКИ:" -ForegroundColor Red
    $SuspiciousACLs | Format-Table IdentityReference, ActiveDirectoryRights, AccessControlType
} else {
    Write-Host "`n[OK] 'Лишних' прав на группе Domain Admins не найдено." -ForegroundColor Green
}

Взгляд архитектора: Вы не "ищете" уязвимость. Вы валидируете вашу Admin Tier Model. Этот скрипт — ваш первый шаг к "очистке" AD-безопасности.

#windows #security #activedirectory #powershell #bloodhound #architect #скрипты #musthave