Detecção de Técnicas de Extração de Credenciais

Visão Geral

Extração de credenciais (MITRE ATT&CK T1003) é uma técnica pós-exploração onde adversários extraem credenciais de autenticação da memória do sistema operacional, colmeias do registro ou bancos de dados de controladores de domínio. Esta habilidade abrange a detecção de acesso à memória do LSASS via Sysmon Event ID 10 (ProcessAccess), exportação da colmeia do registro SAM via reg.exe, extração do NTDS.dit via ntdsutil/vssadmin e abuso do MiniDump do comsvcs.dll. As regras de detecção analisam máscaras de bits de GrantedAccess, processos chamadores suspeitos e assinaturas de ferramentas conhecidas.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de técnicas de extração de credenciais.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Sysmon v14+ implantado com registro de ProcessAccess (Event ID 10) para lsass.exe.
• Política de auditoria de segurança do Windows habilitando a criação de processos (Event ID 4688) com registro de linha de comando.
• Splunk ou Elastic SIEM ingerindo logs do Sysmon e de Segurança do Windows.
• Python 3.8+ para análise de logs.

Passos

1. Configure o Sysmon para registrar eventos ProcessAccess visando o lsass.exe.
2. Encaminhe o Sysmon Event ID 10 e o Windows Event ID 4688 para o SIEM.
3. Crie regras de detecção para padrões conhecidos de GrantedAccess (0x1010, 0x1FFFFF).
4. Detecte o MiniDump do comsvcs.dll e o procdump.exe visando o PID do LSASS.
5. Alerte sobre comandos de exportação de colmeias SAM/SECURITY/SYSTEM do reg.exe.
6. Detecte a criação de cópia de sombra do ntdsutil/vssadmin para roubo do NTDS.dit.
7. Correlacione detecções com contexto de usuário/host para pontuação de risco.

Saída Esperada

Relatório JSON contendo indicadores detectados de extração de credenciais com classificação da técnica, níveis de severidade, detalhes do processo, mapeamento MITRE ATT&CK e consultas de detecção Splunk/Elastic.