Detecção de Ataque DCSync no Active Directory

Quando Usar

• Ao procurar por roubo de credenciais em ambientes Active Directory
• Após o comprometimento de contas com permissões de Replicar Alterações de Diretório
• Ao investigar o uso suspeito de Mimikatz ou Impacket secretsdump
• Durante a resposta a incidentes envolvendo movimento lateral com credenciais de administrador de domínio
• Ao auditar permissões de replicação do AD como parte do fortalecimento da segurança

Pré-requisitos

• Logs de Eventos de Segurança do Windows com o Event ID 4662 (Acesso a Objetos) habilitado
• Política de Auditoria Avançada: Auditoria de Acesso ao Serviço de Diretório habilitada
• Encaminhamento de eventos do Controlador de Domínio para SIEM
• Conhecimento dos nomes de host e IPs legítimos dos controladores de domínio
• Auditoria de Acesso ao Serviço de Diretório com SACL no objeto de domínio

Fluxo de Trabalho

1. Identificar Fontes de Replicação Legítimas: Documente todos os controladores de domínio no ambiente por nome de host, IP e conta de computador. Somente estes devem realizar a replicação do diretório.
2. Habilitar Auditoria Necessária: Configure a Política de Auditoria Avançada para capturar o Event ID 4662 em controladores de domínio com monitoramento de GUID específico para direitos de replicação.
3. Monitorar Acesso a Direitos de Replicação: Rastreie o acesso a três GUIDs críticos -- DS-Replication-Get-Changes (1131f6aa-9c07-11d1-f79f-00c04fc2dcd2), DS-Replication-Get-Changes-All (1131f6ad-9c07-11d1-f79f-00c04fc2dcd2) e DS-Replication-Get-Changes-In-Filtered-Set (89e95b76-444d-4c62-991a-0facbeda640c).
4. Detectar Solicitações de Replicação Não-DC: Alerte quando qualquer conta NÃO associada a um controlador de domínio solicitar direitos de replicação.
5. Correlacionar com Tráfego de Rede: DCSync gera tráfego de replicação (MS-DRSR/RPC) da máquina do atacante para o DC. Monitore chamadas RPC DrsGetNCChanges de endereços IP que não sejam de DC.
6. Investigar Contexto da Origem: Examine o processo, a conta de usuário e a máquina que originou a solicitação de replicação.
7. Verificar Abuso de Credenciais: Após a detecção de DCSync, audite o uso subsequente de hashes extraídos (pass-the-hash, criação de golden ticket).

Conceitos Chave

Ferramentas e Sistemas

Consultas de Detecção

Splunk -- Detecção de DCSync via Evento 4662

index=wineventlog EventCode=4662
| where Properties IN ("*1131f6aa-9c07-11d1-f79f-00c04fc2dcd2*",
    "*1131f6ad-9c07-11d1-f79f-00c04fc2dcd2*",
    "*89e95b76-444d-4c62-991a-0facbeda640c*")
| where NOT match(SubjectUserName, ".*\\$$")
| where NOT SubjectUserName IN ("known_svc_account1", "known_svc_account2")
| stats count values(Properties) as ReplicationRights by SubjectUserName SubjectDomainName Computer
| where count > 0
| table SubjectUserName SubjectDomainName Computer count ReplicationRights

KQL -- Detecção de DCSync no Microsoft Sentinel

SecurityEvent
| where EventID == 4662
| where Properties has "1131f6ad-9c07-11d1-f79f-00c04fc2dcd2"
    or Properties has "1131f6aa-9c07-11d1-f79f-00c04fc2dcd2"
| where SubjectUserName !endswith "$"
| where SubjectUserName !in ("AzureADConnect", "MSOL_*")
| project TimeGenerated, SubjectUserName, SubjectDomainName, Computer, Properties
| sort by TimeGenerated desc

Regra Sigma -- Atividade DCSync

title: Atividade DCSync Detectada - Solicitação de Replicação Não-DC
status: stable
logsource:
    product: windows
    service: security
detection:
    selection:
        EventID: 4662
        Properties|contains:
            - '1131f6aa-9c07-11d1-f79f-00c04fc2dcd2'

…