Mapeando Caminhos de Ataque com BloodHound CE

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados, engajamentos de equipe vermelha e fins educacionais. A reconhecimento do Active Directory e do Entra ID revela cadeias de escalonamento de privilégios que levam à compromisso total do domínio/tenant. Use apenas em ambientes que você possui ou tem autorização explícita por escrito (regras de engajamento) para testar. O uso não autorizado viola o Computer Fraud and Abuse Act e leis equivalentes.

Visão Geral

BloodHound Community Edition (CE) é a plataforma de gerenciamento de caminhos de ataque baseada em grafos da SpecterOps. Ela modela principais de segurança (usuários, computadores, grupos, OUs, GPOs, usuários/grupos/aplicativos/funções do Entra ID) como nós e as permissões, associações de grupo, sessões, trusts e ACLs entre eles como arestas. Ao enquadrar o Active Directory e o Entra ID como um grafo direcionado, o BloodHound transforma a pergunta "esta conta de baixo privilégio pode alcançar Domain Admins / Global Administrator?" em uma consulta de caminho mais curto que encontra cadeias de escalonamento que um revisor humano perderia.

O BloodHound CE substituiu o legado BloodHound apenas com Neo4j por uma pilha conteinerizada: um servidor de API Go, um armazenamento relacional PostgreSQL e um banco de dados de grafos Neo4j, tudo por trás de uma interface web moderna e API REST. Os dados são coletados por dois coletores mantidos pela SpecterOps:

• SharpHound (o coletor CE/.NET, executado em ou contra um host Windows ingressado no domínio) coleta AD on-prem: objetos, associação de grupo, ACLs, sessões, direitos de administrador local, trusts, GPOs, serviços de certificado (ADCS) e legibilidade de LAPS. Ele emite um ZIP de JSON.
• AzureHound (um binário Go multiplataforma) coleta dados do Entra ID e do Azure Resource Manager através das APIs Microsoft Graph e Azure REST: usuários, grupos, registros de aplicativos, entidades de serviço, funções de diretório, atribuições de assinatura/função e cofres de chaves. Ele emite um único arquivo JSON.

A partir de lançamentos recentes do CE, quando um domínio AD e seu tenant Entra ID sincronizado são ingeridos, o BloodHound renderiza automaticamente Caminhos de Ataque Híbridos — cadeias que cruzam a fronteira on-prem/nuvem (por exemplo, um usuário on-prem sincronizado para uma conta na nuvem que detém uma função privilegiada do Entra). Mapeado para o MITRE ATT&CK, a atividade principal é T1069 – Descoberta de Grupos de Permissão, suportado por T1087 (Descoberta de Contas), T1482 (Descoberta de Trust de Domínio) e T1018 (Descoberta de Sistema Remoto).

Quando Usar

• Durante um teste de penetração interno autorizado ou engajamento de equipe vermelha após obter qualquer ponto de apoio no domínio ou credenciais do Entra
• Quando você precisa priorizar rotas de escalonamento de principais possuídos para ativos de Nível 0 (Domain Admins, Global Administrator)
• Ao avaliar o risco de identidade híbrida onde o AD on-prem é sincronizado com o Entra ID
• Durante exercícios de equipe roxa para validar que as detecções são acionadas na coleta e nas etapas de execução de caminho
• Ao produzir evidências de caminhos de ataque e orientação de remediação para um cliente de defesa

Pré-requisitos

• Escopo autorizado cobrindo reconhecimento de AD/Entra
• Um ponto de apoio: qualquer usuário de domínio válido (para SharpHound) e/ou credenciais válidas do Entra ou um token (para AzureHound)
• Docker + Docker Compose na estação de trabalho de análise
• Os coletores:

  # Deploy BloodHound CE (pulls Postgres, Neo4j, and the BloodHound API)
  curl -L https://ghst.ly/getbhce -o docker-compose.yml
  docker compose pull
  docker compose up -d
  # Reveal the randomly generated initial admin password
  docker compose logs bloodhound | grep -i "Initial Password"
  
  # AzureHound (download the release binary for your OS from the GitHub releases page)
  #   https://github.com/SpecterOps/AzureHound/releases
  chmod +x ./azurehound
  
  # SharpHound CE collector: download SharpHound.zip from the BloodHound CE
  # web UI (Administration -> Download Collectors), transfer to a domain-joined host.
  

Objetivos

• Implantar o BloodHound CE e autenticar na interface web e API
• Coletar dados de AD com SharpHound e dados do Entra com AzureHound
• Ingerir ambos os conjuntos de dados e marcar os principais comprometidos como Possuídos
• Executar análises integradas (Caminho Mais Curto para Domain Admins, contas Kerberoastable, abuso de ADCS)
• Criar consultas Cypher personalizadas para caminhos de ataque sob medida e híbridos
• Priorizar e documentar rotas de escalonamento para o relatório de engajamento

Mapeamento MITRE ATT&CK

…