Realizando Avaliação de Vulnerabilidades do Active Directory

Visão Geral

O Active Directory (AD) é o principal sistema de gerenciamento de identidade e acesso na maioria dos ambientes corporativos, tornando-o um alvo crítico de ataque. Esta habilidade abrange a avaliação abrangente de segurança do AD usando PingCastle para verificações de integridade, BloodHound para análise de caminhos de ataque e Purple Knight para pontuação de postura de segurança. Essas ferramentas identificam configurações incorretas, privilégios excessivos, fraquezas do Kerberos e oportunidades de movimento lateral.

Quando Usar

• Ao realizar avaliações de segurança que envolvam a realização de avaliação de vulnerabilidades do Active Directory
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes ou atividades de auditoria de segurança agendados
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Estação de trabalho ingressada no domínio ou acesso de administrador de domínio para varredura
• PingCastle (https://github.com/netwrix/pingcastle)
• BloodHound Community Edition com coletor SharpHound
• Purple Knight da Semperis (ferramenta comunitária gratuita)
• Python 3.9+ para scripts de análise
• .NET Framework 4.7+ para PingCastle no Windows

Ferramenta 1: Verificação de Integridade do PingCastle

Instalação e Execução

# Download PingCastle
Invoke-WebRequest -Uri "https://github.com/netwrix/pingcastle/releases/latest/download/PingCastle.zip" `
  -OutFile "PingCastle.zip"
Expand-Archive PingCastle.zip -DestinationPath C:\Tools\PingCastle

# Run health check against current domain
cd C:\Tools\PingCastle
.\PingCastle.exe --healthcheck

# Run health check against specific domain
.\PingCastle.exe --healthcheck --server dc01.corp.local --user CORP\scanner_account --password P@ssw0rd

# Run in scanner mode for multiple domains
.\PingCastle.exe --scanner --scannerlp

# Generate consolidated report
.\PingCastle.exe --healthcheck --level Full

Categorias de Pontuação do PingCastle

Verificações Chave do PingCastle

# Critical items to review in PingCastle report:
- Accounts with "Password Never Expires" flag
- Accounts with Kerberos pre-authentication disabled (AS-REP roastable)
- Accounts with Kerberos delegation (unconstrained/constrained)
- Domain Controllers running unsupported OS versions
- AdminSDHolder permission modifications
- Accounts in privileged groups (Domain Admins, Enterprise Admins, Schema Admins)
- Trust relationships with SID filtering disabled
- GPO vulnerabilities allowing privilege escalation

Ferramenta 2: Análise de Caminho de Ataque do BloodHound

Coleta de Dados do SharpHound

# Download SharpHound collector
# https://github.com/SpecterOps/BloodHound/tree/main/packages/csharp/SharpHound

# Run SharpHound collection (all methods)
.\SharpHound.exe --collectionmethods All --domain corp.local --zipfilename bloodhound_data.zip

# Stealthy collection (minimal noise)
.\SharpHound.exe --collectionmethods Session,LoggedOn --domain corp.local --stealth

# Collection with specific domain controller
.\SharpHound.exe --collectionmethods All --domain corp.local --domaincontroller dc01.corp.local

# Run via PowerShell
Import-Module .\SharpHound.ps1
Invoke-BloodHound -CollectionMethod All -Domain corp.local -OutputDirectory C:\BH_Data

Configuração do BloodHound CE

# Deploy BloodHound Community Edition with Docker
curl -L https://ghst.ly/getbhce -o docker-compose.yml
docker compose up -d

# Access BloodHound CE at http://localhost:8080
# Default credentials shown in docker compose logs

# Upload SharpHound data through web UI or API
curl -X POST "http://localhost:8080/api/v2/file-upload/start" \
  -H "Authorization: Bearer $BH_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"fileName": "bloodhound_data.zip"}'

Consultas Críticas do BloodHound

# Encontrar o caminho mais curto para Domain Admin
MATCH p=shortestPath((u:User)-[*1..]->(g:Group {name:"DOMAIN ADMINS@CORP.LOCAL"}))
WHERE u.name <> "ADMINISTRATOR@CORP.LOCAL"
RETURN p

# Encontrar contas Kerberoastable com privilégios de administrador
MATCH (u:User {hasspn:true})-[:MemberOf*1..]->(g:Group)

…