Implantação de Honeytokens do Active Directory

Quando Usar

• Ao implantar detecção baseada em engano em ambientes do Active Directory
• Ao detectar ataques de Kerberoasting via honeytokens de SPN falsos (honeyroasting)
• Ao criar contas de "tripwire" para detectar roubo de credenciais e movimento lateral
• Ao construir GPOs de isca para detectar a coleta de senhas de Preferências de Política de Grupo
• Ao criar caminhos enganosos no BloodHound para desviar e detectar atacantes
• Ao complementar o monitoramento existente do AD com sinais de detecção de alta fidelidade

Pré-requisitos

• Privilégios de administrador de domínio ou de administração delegada do AD
• Domínio do Active Directory (Windows Server 2016+ recomendado)
• Encaminhamento de logs de eventos do Windows para SIEM (Splunk, Sentinel, Elastic)
• PowerShell 5.1+ com o módulo ActiveDirectory
• Console de Gerenciamento de Política de Grupo (GPMC)
• Compreensão de segurança do AD, Kerberos e caminhos de ataque do BloodHound

Contexto

Por que Honeytokens de AD

A detecção tradicional baseada em assinatura perde técnicas de ataque novas. Honeytokens fornecem detecção de alta fidelidade com quase zero falsos positivos, pois qualquer interação com um objeto de isca é inerentemente suspeita. No Active Directory:

• Contas privilegiadas falsas detectam a extração de credenciais (DCSync, extração de NTDS.dit)
• SPNs falsos detectam reconhecimento de Kerberoasting (solicitações TGS para serviços inexistentes)
• GPOs de isca detectam a coleta de senhas de Preferências de Política de Grupo
• Caminhos falsos no BloodHound desorientam atacantes que usam análise de AD baseada em grafos

IDs de Eventos de Detecção Chave

Tornando Honeytokens Realistas

De acordo com a pesquisa da Trimarc Security, honeytokens eficazes devem parecer legítimos:

• Envelheça a conta: Reutilize contas antigas inativas (contas de 10-15 anos em domínios igualmente antigos parecem autênticas)
• Defina AdminCount=1: Marca a conta como tendo direitos elevados no AD, tornando-a um alvo atraente para Kerberoasting
• Use nomenclatura realista: Corresponda às convenções de nomenclatura da organização (svc_sqlbackup, admin.maintenance, svc_exchange_legacy)
• Defina data de senha antiga: Idade da senha de 10+ anos com um SPN parece uma conta de serviço negligenciada e de alto valor para atacantes
• Adicione associações a grupos: Coloque em grupos visíveis como "Usuários de Área de Trabalho Remota" ou um "Operadores de Backup" personalizado para aumentar o interesse do atacante
• Evite sinais de detecção: Atacantes verificam a data de criação versus o último logon versus a data de alteração da senha para consistência

Instruções

Etapa 1: Implantar Conta de Administrador Privilegiada Falsa

Crie uma conta de honeytoken que imite uma conta de serviço privilegiada legada.

# Import the deployment module
Import-Module .\scripts\Deploy-ADHoneytokens.ps1

# Create a honeytoken admin account
$honeyAdmin = New-HoneytokenAdmin `
    -SamAccountName "svc_sqlbackup_legacy" `
    -DisplayName "SQL Backup Service (Legacy)" `
    -Description "Legacy SQL Server backup service account - DO NOT DELETE" `
    -OU "OU=Service Accounts,DC=corp,DC=example,DC=com" `
    -PasswordLength 128 `
    -SetAdminCount $true

Write-Host "Honeytoken admin created: $($honeyAdmin.DistinguishedName)"

Etapa 2: Implantar SPN Falso para Detecção de Kerberoasting

Atribua um SPN realista, mas falso, à conta de honeytoken. Qualquer solicitação TGS para este SPN é definitivamente maliciosa (honeyroasting).

# Add fake SPN to honeytoken account
$honeySPN = Add-HoneytokenSPN `
    -SamAccountName "svc_sqlbackup_legacy" `
    -ServiceClass "MSSQLSvc" `
    -Hostname "sql-legacy-bak01.corp.example.com" `
    -Port 1433

Write-Host "Honey SPN registered: $($honeySPN.SPN)"
Write-Host "Monitor Event ID 4769 for TGS requests targeting this SPN"

Etapa 3: Implantar GPO de Isca com Armadilha de Credenciais

Crie um GPO falso no SYSVOL com uma cpassword embutida (senha de Preferência de Política de Grupo). Atacantes que usam ferramentas como Get-GPPPassword ou gpp-decrypt encontrarão e tentarão usar essas credenciais, acionando a detecção.

…