Caçando Ataques de Relay NTLM

Visão Geral

Ataques de relay NTLM interceptam e encaminham mensagens de autenticação NTLM para obter acesso não autorizado a recursos de rede. Atacantes usam ferramentas como Responder para envenenamento LLMNR/NBT-NS e ntlmrelayx para relay de credenciais. Esta habilidade detecta atividade de relay consultando o Evento de Segurança do Windows 4624 (logon bem-sucedido) para logons de rede do tipo 3 com autenticação NTLMSSP, identificando incompatibilidades entre WorkstationName e source IpAddress, detectando autenticação rápida em múltiplos hosts a partir de contas únicas e auditando a configuração de assinatura SMB em hosts do domínio.

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça por ataques de relay NTLM
• Ao construir regras de detecção ou consultas de threat hunting para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Python 3.9+ com acesso ao Windows Event Log ou logs exportados
• Auditoria de segurança do Windows habilitada (Event ID 4624, 4625, 5145)
• Acesso à rede para verificações de status de assinatura SMB

Principais Áreas de Detecção

1. Incompatibilidade IP-hostname — WorkstationName no Evento 4624 não se resolve para o source IpAddress
2. Autenticação NTLMSSP — eventos de logon usando NTLM em vez de Kerberos de hosts ingressados no domínio
3. Relay de conta de máquina — contas de computador (terminando em $) autenticando de IPs inesperados
4. Autenticação rápida — conta única autenticando em múltiplos hosts em segundos
5. Acesso a named pipe — Evento 5145 mostrando acesso aos pipes Spoolss, lsarpc, netlogon, samr
6. Assinatura SMB desabilitada — hosts não exigindo assinatura SMB, permitindo ataques de relay

Saída

Relatório JSON com eventos de relay suspeitos, anomalias de correlação IP-hostname, resultados de auditoria de assinatura SMB e mapeamento do MITRE ATT&CK para T1557.001.