Auditoria do Entra ID com AADInternals

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados, engajamentos de equipe vermelha e fins educacionais. O AADInternals pode forjar tokens SAML e instalar backdoors de federação que concedem personificação persistente de qualquer usuário do tenant. Use apenas contra tenants que você possui ou tem autorização explícita por escrito (regras de engajamento) para testar. O uso não autorizado viola o Computer Fraud and Abuse Act e leis equivalentes.

Visão Geral

O AADInternals é o kit de ferramentas PowerShell ofensivo/administrativo mais abrangente para Microsoft Entra ID (anteriormente Azure AD), Azure AD Connect e Active Directory Federation Services (AD FS), criado pelo Dr. Nestori Syynimaa (Gerenios / Secureworks). Ele expõe centenas de cmdlets (todos prefixados AADInt) cobrindo reconhecimento de forasteiros não autenticados, aquisição de token de acesso para todas as APIs da Microsoft, manipulação de diretório, ataques AD FS/PTA e a técnica pela qual é mais famoso: backdoors de federação que abusam do caminho Set-MsolDomainFederationSettings / ConvertTo-AADIntBackdoor para que um atacante que controla o IssuerUri de um domínio federado possa emitir tokens SAML para usuários arbitrários — mapeando para a técnica MITRE ATT&CK T1606.002 (Forge Web Credentials: SAML Tokens), a mesma classe de técnica usada nas intrusões SolarWinds (Golden SAML).

O kit de ferramentas separa as capacidades por posição necessária. Invoke-AADIntReconAsOutsider e Get-AADIntLoginInformation não requerem credenciais — eles consultam endpoints públicos (getuserrealm, configuração OpenID, autodiscover) para revelar domínios verificados, ID do tenant, tipo de federação, marca e se o Desktop/Seamless SSO está habilitado. Com um ponto de entrada, cmdlets Get-AADIntAccessTokenFor* adquirem tokens para Azure AD Graph, Microsoft Graph, Exchange Online, SharePoint, Azure Core Management e mais, opcionalmente armazenando-os em cache para que cmdlets subsequentes os reutilizem. Com Global Administrator (ou uma conta sincronizada do AD Connect), o kit de ferramentas pode ler segredos do diretório, manipular usuários e estabelecer o backdoor de federação.

Esta habilidade direciona o AADInternals através de uma lente de validação defensiva: confirmar o que um atacante externo pode aprender, o que um token de baixo privilégio alcança e se a configuração de federação/AD FS permitiria o Golden SAML — em seguida, produzir evidências e recomendações de fortalecimento.

Quando Usar

• Durante uma avaliação autorizada de equipe vermelha ou de suposta violação do Entra ID / Microsoft 365
• Para enumerar a superfície de ataque externa (domínios verificados, tipo de federação, SSO) antes de ataques de credenciais
• Para validar que os certificados de assinatura de token de federação e AD FS estão protegidos contra Golden SAML
• Para testar a aquisição e repetição de tokens em APIs de primeira parte da Microsoft
• Ao construir detecções (emparelhar com a habilidade de caça de logs do Graph para equipe azul) e você precisa de telemetria real do AADInternals

Pré-requisitos

• Autorização por escrito cobrindo testes de ataque de identidade e backdoor de federação
• Host Windows com PowerShell 5.1+ (ou PowerShell 7 no subconjunto suportado)
• Para testes de backdoor/federação: Global Administrator (ou equivalente) no tenant alvo, no escopo de acordo com as ROE
• Instale o módulo do PowerShell Gallery:

  Install-Module AADInternals -Scope CurrentUser
  Import-Module AADInternals
  # Cross-platform AsOutsider-only reimplementation (no creds) is also available:
  #   https://github.com/synacktiv/AADOutsider-py
  

• Familiaridade com SAML/WS-Federation, tokens OAuth e Azure AD Connect

Objetivos

• Realizar reconhecimento de tenant não autenticado e enumerar domínios verificados, ID do tenant e tipo de federação
• Adquirir e armazenar em cache tokens de acesso para APIs de primeira parte da Microsoft
• Enumerar usuários/grupos/funções com um token autenticado
• Testar o backdoor de federação / caminho Golden SAML de maneira controlada e autorizada
• Documentar a exposição e entregar recomendações de fortalecimento (proteção de certificado de assinatura de token, monitoramento de federação)

Mapeamento MITRE ATT&CK

Técnicas relacionadas: T1087.004 Account Discovery: Cloud Account (reconhecimento), T1528 Steal Application Access Token (aquisição de token), T1556.007 Modify Authentication Process: Hybrid Identity (backdoors de federação/PTA).

Fluxo de Trabalho

…