Realizando Reconhecimento Interno com BloodHound CE

Aviso Legal: Esta habilidade é apenas para fins de testes de segurança autorizados e educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude de computador.

Visão Geral

BloodHound Community Edition (CE) é uma plataforma moderna e baseada na web para reconhecimento de Active Directory, desenvolvida pela SpecterOps, que utiliza teoria de grafos para revelar relacionamentos ocultos e caminhos de ataque em ambientes AD. Diferente da aplicação legada BloodHound, BloodHound CE usa um backend PostgreSQL com um banco de dados de grafos dedicado, proporcionando melhor desempenho, uma interface web moderna e capacidades de API aprimoradas. Equipes vermelhas usam BloodHound CE para coletar objetos AD, ACLs, sessões, associações de grupo e relacionamentos de confiança, e então visualizam caminhos de ataque de contas comprometidas de baixo privilégio para alvos de alto valor como Administradores de Domínio. O coletor SharpHound (v2 para CE) coleta dados do Active Directory, enquanto o AzureHound coleta de ambientes Azure AD / Entra ID.

Quando Usar

• Ao realizar avaliações de segurança que envolvam reconhecimento interno com bloodhound ce
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar atividades programadas de testes de segurança ou auditoria
• Ao validar controles de segurança através de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Implantar o servidor BloodHound CE usando Docker Compose
• Coletar dados AD usando SharpHound v2 ou BloodHound.py
• Importar dados coletados no BloodHound CE para análise de grafos
• Identificar os caminhos de ataque mais curtos de principais possuídos para Administradores de Domínio
• Descobrir caminhos de ataque baseados em ACL, contas Kerberoastable e abuso de delegação
• Executar consultas Cypher personalizadas para análise avançada de caminhos de ataque
• Gerar relatórios de caminhos de ataque para documentação de engajamento

Mapeamento MITRE ATT&CK

• T1087.002 - Descoberta de Conta: Conta de Domínio
• T1069.002 - Descoberta de Grupos de Permissão: Grupos de Domínio
• T1482 - Descoberta de Confiança de Domínio
• T1615 - Descoberta de Política de Grupo
• T1018 - Descoberta de Sistema Remoto
• T1033 - Descoberta de Proprietário/Usuário do Sistema
• T1016 - Descoberta de Configuração de Rede do Sistema

Fluxo de Trabalho

Fase 1: Implantação do BloodHound CE

1. Implante o BloodHound CE usando Docker Compose:

   curl -L https://ghst.ly/getbhce -o docker-compose.yml
   docker compose pull
   docker compose up -d
   

2. Acesse a interface web em https://localhost:8080
3. Faça login com as credenciais de administrador padrão (exibidas nos logs do Docker):

   docker compose logs | grep "Initial Password"
   

4. Altere a senha de administrador padrão imediatamente

Fase 2: Coleta de Dados com SharpHound v2

1. Transfira o SharpHound v2 para o host Windows comprometido:

   # Execute full collection
   .\SharpHound.exe -c All --outputdirectory C:\Temp
   
   # DCOnly collection (LDAP only, stealthier)
   .\SharpHound.exe -c DCOnly
   
   # Session collection for logged-on user mapping
   .\SharpHound.exe -c Session --loop --loopduration 02:00:00
   
   # Collect from specific domain
   .\SharpHound.exe -c All -d child.domain.local
   

2. Alternativa: Use BloodHound.py do Linux:

   bloodhound-python -u user -p 'Password123' -d domain.local -ns 10.10.10.1 -c All
   

3. Exfiltre o arquivo ZIP gerado para a estação de trabalho de análise

Fase 3: Importação de Dados e Análise Inicial

1. Carregue os dados coletados através da interface web do BloodHound CE (Ingestão de Arquivo)
2. Marque as contas comprometidas como "Possuídas" na interface
3. Execute consultas de análise integradas:
   • Caminho Mais Curto para Administrador de Domínio
   • Usuários Kerberoastable com Caminho para DA
   • Usuários AS-REP Roastable
   • Usuários com Direitos DCSync
   • Computadores com Delegação Não Restrita

Fase 4: Consultas Cypher Personalizadas

1. Execute consultas Cypher personalizadas na barra de pesquisa do BloodHound CE:

   // Encontra o caminho mais curto de principais possuídos para Administradores de Domínio
   MATCH p=shortestPath((n {owned:true})-[*1..]->(m:Group {name:"DOMAIN ADMINS@DOMAIN.LOCAL"}))
   RETURN p
   
   // Encontra usuários Kerberoastable com caminho para DA
   MATCH (u:User {hasspn:true})
   MATCH p=shortestPath((u)-[*1..]->(g:Group {name:"DOMAIN ADMINS@DOMAIN.LOCAL"}))
   RETURN p
   

…