Investigando Compromisso no Active Directory

Visão Geral

A investigação de compromisso no Active Directory (AD) é uma capacidade crítica de resposta a incidentes que se concentra em identificar como os atacantes obtiveram acesso aos serviços de domínio, quais mecanismos de persistência estabeleceram e o escopo do comprometimento de credenciais. Como 88% das violações envolvem credenciais comprometidas (Verizon 2025 DBIR), o AD é o alvo principal para ataques em toda a empresa. Os investigadores devem analisar a integridade do banco de dados NTDS.dit, a atividade de concessão de tickets Kerberos, modificações na Política de Grupo, metadados de replicação e alterações na associação de grupos privilegiados para reconstruir a cadeia de ataque e determinar o escopo total do comprometimento.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a investigação de compromisso no Active Directory
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de resposta a incidentes
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Principais Áreas de Investigação

1. Análise do Banco de Dados NTDS.dit

O arquivo NTDS.dit é o banco de dados central de credenciais do Active Directory, contendo todos os hashes de senha para contas de domínio. Os atacantes comumente exfiltram este arquivo usando ferramentas como ntdsutil, secretsdump.py ou ataques DCSync via Mimikatz.

Indicadores de detecção:

• Evento ID 4662: Acesso a objetos do serviço de diretório com permissões de replicação
• Evento ID 4742: Modificações de conta de computador em controladores de domínio
• Criação de Cópia de Sombra de Volume em controladores de domínio (Evento ID 8222)
• Execução incomum de ntdsutil.exe ou vssadmin.exe
• Tráfego de replicação de fontes não-DC (detecção DCSync)

2. Detecção de Ataques Kerberos

Indicadores de Golden Ticket:

• Tickets TGT com tempos de vida anormalmente longos (padrão é 10 horas)
• Evento ID 4769 com tipo de criptografia 0x17 (RC4) em vez de AES
• TGT emitido sem o Evento ID 4768 (AS-REQ) correspondente
• Tickets Kerberos referenciando contas inexistentes ou desativadas

Indicadores de Silver Ticket:

• Tickets de serviço sem solicitações TGT correspondentes
• Evento ID 4769 com nomes de serviço incomuns
• Tickets com dados PAC forjados

Indicadores de Kerberoasting:

• Alto volume de Evento ID 4769 para contas de serviço
• Solicitações de criptografia RC4 para contas que suportam AES
• Solicitações de estações de trabalho que normalmente não acessam esses serviços

3. Abuso de Política de Grupo

• Modificações de GPO concedendo novos privilégios (Evento ID 5136)
• Implantação de tarefas agendadas via GPO
• Políticas de instalação de software adicionadas ao domínio
• Modificações de script de login
• Alterações de política baseadas em registro para persistência

4. Enumeração de Grupos Privilegiados

Acompanhe as modificações nestes grupos críticos:

• Domain Admins, Enterprise Admins, Schema Admins
• Account Operators, Backup Operators
• DnsAdmins (pode executar DLLs arbitrárias em DCs)
• Group Policy Creator Owners
• Alterações de associação no grupo Protected Users

5. Análise de Relação de Confiança

• Criação de novas confianças de floresta/domínio (Evento ID 4706)
• Injeção de SID History para escalonamento de privilégios
• Indicadores de falsificação de ticket de confiança
• Anomalias de autenticação entre domínios

Metodologia de Investigação

Fase 1: Escopo e Coleta de Evidências

1. Identify potentially compromised domain controllers
2. Collect Security, System, Directory Service event logs
3. Extract AD replication metadata using repadmin
4. Capture ntdsutil snapshots for offline analysis
5. Collect DNS server logs and zone transfer records
6. Export Group Policy Object configurations
7. Document current privileged group memberships

Fase 2: Análise de Logs de Autenticação

1. Parse Event ID 4624/4625 for logon patterns
2. Identify pass-the-hash indicators (Event ID 4624 Type 3 with NTLM)
3. Analyze Event ID 4768/4769/4771 for Kerberos anomalies
4. Review Event ID 4776 for NTLM authentication failures
5. Cross-reference logon events with known compromised accounts
6. Map lateral movement paths through authentication chains

Fase 3: Detecção de Persistência e Backdoor

1. Enumerar modificações de ACL do AdminSDHolder
2. Verificar abuso de SID History em contas
3. Verificar idade da senha da conta krbtgt
4. Auditar configuração da senha DSRM
5. Verificar indicadores de malware skeleton key

…