Purple Team laboratoriyasi: Active Directory

Umumiy ma’lumot

Loyiha haqida qisqacha

Muammo: Dastlabki kirishdan domenni egallashgacha bo‘lgan hujum zanjirini kuzatish va mavjud telemetriyani baholash.
Arxitektura: Alohida Windows Server 2022 domeni, ish stansiyasi va Kali hujumchi tizimi.
Mening hissam: Laboratoriyani qurdim, hujum zanjirini takrorladim va himoya bo‘yicha xulosalarni yozdim.
Sinovlar: Hisob ma’lumotlaridan foydalanish, tarmoq ichida harakatlanish, DCSync, Golden Ticket va SCP ssenariylari.
Natija: Hujum zanjiri bo‘ylab Windows Security, Sysmon va OpenSSH dalillari qayd etildi.
Cheklovlar: Hodisaning o‘zi hujum aniqlanganini isbotlamaydi; razvedka uchun tarmoq telemetriyasi kerak.

Laboratoriya arxitekturasi

HujumchiKali Linux
Ish stansiyasiWS-01 · corp.local
Domen boshqaruvchisiDC-01 · Windows Server 2022

Ajratilgan laboratoriya tarmog‘idagi uchta xost. Nomlar repozitoriyga mos; ish stansiyasining operatsion tizimi README va oldingi maqolada turlicha ko‘rsatilgan.

Dalillar nimani ko‘rsatadi

Hisob va ruxsatlar

Tarmoq orqali kirish, maxsus ruxsatlar va WinRM seanslari hisob ma’lumotlaridan foydalanishni tahlil qilishga yordam beradi. Hodisalar: 4624, 4672 va WinRM 91.

Xostdagi faoliyat

Sysmon jarayon jurnallari rundll32/comsvcs.dll orqali LSASS xotirasini olish izlarini ko‘rsatadi; tarmoq hodisalari LDAP va SSH faoliyatiga kontekst beradi.

Domendagi faoliyat

4662 hodisasi replikatsiya faoliyatiga tegishli. Foydali aniqlash uchun foydalanuvchi, ruxsatlar, nishon va odatiy administrator faoliyati konteksti kerak.

Hujum bosqichlari va kuzatilgan hodisalar

Laboratoriyada qayd etilgan dalillar. Hodisa IDlarini ko‘rish uchun bosqichni tanlang.

Hodisa manbalari: 46244769
Hodisa manbalari: WinRM 914672
Hodisa manbalari: 5379
Hodisa manbalari: Sysmon 3
Hodisa manbalari: OpenSSH 44624
Hodisa manbalari: Sysmon 1
Hodisa manbalari: 4662
Hodisa manbalari: Sysmon 3

LLMNR zaharlash, so‘ng WinRM shell

Hodisa manbalari: 4624 · 4769

Himoya bo‘yicha tavsiyalar

Keraksiz LLMNR/NBT-NS’ni o‘chirish va Kerberos oldindan autentifikatsiyasini talab qilish.
Xizmat hisoblarining ortiqcha ruxsatlarini olib tashlash va administrator parollarini qayta ishlatmaslik.
Administrator darajalarini ajratish; boshqariladigan xizmat hisoblari, LAPS va LSASS himoyasini baholash.

Loyiha dalillari

Cheklovlar

Cheklangan xostlar soniga ega shaxsiy laboratoriya. Hodisa ID’lari mos aniqlash qoidasi yoki noto‘g‘ri ogohlantirish darajasini isbotlamaydi. Razvedka uchun tarmoq telemetriyasi zarur; tarixiy manbalarda ish stansiyasi tizimi turlicha tasvirlangan. Bu tahlil uchun yangi ishga tushirish sinovi o‘tkazilmadi.

Manbani ko‘rib chiqish sanasi yangi ishga tushirish sinovi yoki mustaqil xavfsizlik auditini anglatmaydi.