Identidade de Competição no Windows

Use esta habilidade apenas como uma especialização posterior, depois que $ctf-sandbox-orchestrator já estiver ativo e tiver estabelecido suposições de sandbox, propriedade de nós e prioridades de evidências. Se isso ainda não aconteceu, retorne primeiro para $ctf-sandbox-orchestrator.

Use esta habilidade quando o desafio girar em torno do fluxo de identidade, credenciais reproduzíveis, artefatos de host Windows, e-mail corporativo ou movimento lateral.

Responda em Português do Brasil, a menos que o usuário solicite explicitamente o inglês.

Início Rápido

1. Mapeie a identidade ou a cadeia de pivô antes de mergulhar em todos os artefatos do host.
2. Separe a posse de credenciais do privilégio aceito.
3. Correlacione evidências de identidade, evidências de host e evidências de e-mail em uma única linha do tempo.
4. Mantenha tickets, SIDs, IDs de evento, regras de caixa de correio e hosts de pivô em blocos de evidências compactos.
5. Reproduza a vantagem de privilégio ou o efeito de e-mail a partir da menor cadeia viável.

Fluxo de Trabalho

1. Identidade e AD

• Rastreie a origem principal, o caminho de sincronização, a emissão de token ou ticket, a transformação de declarações, a resolução de grupos e o serviço de aceitação.
• Quando o Kerberos for importante, registre o tipo de ticket, SPN, modo de delegação, dados de PAC ou grupo, tipo de criptografia e local de cache.

2. Host Windows e Pivô

• Correlacione SAM, SECURITY, SYSTEM, NTDS, DPAPI, segredos LSA, ETW, Sysmon, PowerShell, serviços, tarefas, WMI, WinRM, SMB e RDP como um único gráfico de pivô.
• Expresse o movimento como uma cadeia concreta: ponto de entrada -> artefato recuperado -> caminho de reprodução -> host de pivô -> capacidade resultante.

3. Mensagens Corporativas

• Mantenha iscas de phishing, logs de consentimento, regras de caixa de correio e eventos do provedor de identidade interligados para que o caminho de e-mail e o caminho de privilégio permaneçam conectados.

Leia esta Referência

• Carregue references/identity-windows.md para a lista de verificação de tickets, host e mensagens corporativas.
• Se a tarefa for principalmente um pivô de host para host, reprodução Kerberos ou cadeia de privilégios do Windows, prefira $competition-windows-pivot.
• Se a tarefa for especificamente sobre delegação restrita, delegação irrestrita, RBCD, S4U ou prova de aceitação de ticket, prefira $competition-kerberos-delegation.
• Se a tarefa for especificamente sobre AD CS, modelos de certificado, EKUs, direitos de registro, PKINIT ou privilégio baseado em certificado, prefira $competition-ad-certificate-abuse.
• Se a tarefa for especificamente sobre declarações OAuth ou OIDC, fluxo de callback, escopos, consentimento ou identidade de login aceita, prefira $competition-oauth-oidc-chain.
• Se a tarefa for especificamente sobre chaves mestras DPAPI, blobs de cofre, segredos de navegador ou cofre, uso de chave de backup ou cadeias de segredo protegido para acesso, prefira $competition-dpapi-credential-chain.
• Se a tarefa for especificamente sobre memória LSASS, caches de ticket, material vinculado a LUID, contexto DPAPI ou artefatos de credenciais de host reproduzíveis, prefira $competition-lsass-ticket-material.
• Se a tarefa for especificamente sobre regras de caixa de correio, encaminhamento, consentimento OAuth, acesso delegado ou abuso de e-mail em nível de transporte, prefira $competition-mailbox-abuse.
• Se a tarefa for especificamente sobre autenticação forçada, alvos de retransmissão ou prova de qual serviço aceita autenticação retransmitida, prefira $competition-relay-coercion-chain.

O Que Preservar

• SIDs, SPNs, campos de ticket, IDs de evento, regras de caixa de correio e pontos de reprodução
• Ordem exata do pivô de host para host e o serviço que aceita a credencial ou o ticket
• Artefatos brutos, resumos analisados e linhas do tempo derivadas como saídas separadas