BloodHound

BloodHound ist ein Tool, das Beziehungen in Active Directory als Graphen abbildet. Es zeigt verborgene Angriffspfade von einem Benutzer mit wenigen Berechtigungen zu wertvollen Zielen wie Domain Admin auf.

Was Menschen in komplexen Berechtigungsgeflechten übersehen, findet BloodHound mithilfe der Graphentheorie.

BloodHound modelliert AD als Knoten (Benutzer, Gruppen, Computer, OUs, GPOs), die durch Kanten (Beziehungen) verbunden sind.

Kanten stellen Rechte wie MemberOf, AdminTo, HasSession oder GenericAll dar. Eine Kette aus Kanten bildet einen Angriffspfad.

SharpHound ist der Datensammler. Es wird aus einem domänenverbundenen Kontext ausgeführt und fragt LDAP sowie andere Quellen ab, um Objekte, Gruppenmitgliedschaften, Sitzungen und ACLs zu erfassen.

Es gibt komprimierte JSON-Daten aus, die Sie anschließend in die BloodHound-Oberfläche importieren.

SharpHound unterstützt über -c mehrere Erfassungsmethoden:

• Group: Gruppenmitgliedschaften.
• Session: Wer wo angemeldet ist.
• ACL: Objektberechtigungen.
• All: alles (mehr Datenverkehr, aber vollständiger).

Eine auffällige Erfassung kann die Erkennung riskieren, daher können Angreifer sie zeitlich verteilen oder auf bestimmte Bereiche begrenzen.

Wenn Sie SharpHound nicht unter Windows ausführen können, erfasst bloodhound-python die Daten remote über LDAP und verwendet dabei Domänenzugangsdaten.

Das ist ideal für eine Linux-Angriffsmaschine während eines Assume-Breach-Tests.

BloodHound verwendet die Graphdatenbank Neo4j als Backend. Sie starten Neo4j, melden sich bei der BloodHound-GUI an und ziehen das gesammelte ZIP-Archiv zum Import in die Oberfläche.

Nach dem Import können Sie vorgefertigte Abfragen ausführen oder eigene Abfragen in Cypher schreiben.

BloodHound wird mit leistungsfähigen vorgefertigten Abfragen ausgeliefert, zum Beispiel:

• Shortest Paths to Domain Admins.
• Find Principals with DCSync Rights.
• Kerberoastable Accounts.

Wenn Sie Ihren aktuellen Benutzer als „Owned“ markieren, kann BloodHound Pfade ausgehend von dem berechnen, was Sie kontrollieren.

Ein Angriffspfad könnte lauten: Ihr Benutzer ist MemberOf einer Gruppe, die GenericAll für einen anderen Benutzer besitzt, der AdminTo auf einem Server ist, auf dem ein Domain Admin eine Sitzung hat.

Jede Kante zeigt die genaue Technik, die für den nächsten Schritt erforderlich ist, und verwandelt den Graphen in einen schrittweisen Plan.

Zu den am häufigsten missbrauchten Kanten gehören ACL-basierte Rechte:

• GenericAll / GenericWrite: vollständiger oder weitreichender Schreibzugriff auf ein Objekt.
• WriteDacl / WriteOwner: Kontrolle über die Berechtigungen eines Objekts übernehmen.
• ForceChangePassword: das Passwort eines Zielkontos zurücksetzen.

Damit können Sie Ihre Rechte erweitern, ohne jemals einen Hash zu knacken.

Für benutzerdefinierte Analysen können Sie Cypher, die Abfragesprache von Neo4j, schreiben. Damit können Sie gezielt nach Bedingungen suchen, die von den integrierten Abfragen nicht abgedeckt werden.

Beispielsweise können Sie alle Benutzer finden, die einen Pfad zu einem sensiblen Server haben.

BloodHound ist nicht nur ein Tool für Angreifer. Verteidiger führen es aus, um ihr eigenes AD zu prüfen, unbeabsichtigte Angriffspfade zu finden und gefährliche Berechtigungen zu entfernen, bevor Angreifer sie ausnutzen.

Das Absichern von ACLs, das Entfernen veralteter Administratorrechte und das Einschränken der Sitzungsexposition verkleinern den Graphen, den ein Angreifer durchqueren könnte.

Rufen Sie die Rolle von SharpHound ab.

Sie verstehen nun BloodHound:

• Es modelliert AD als Graphen aus Knoten und Beziehungskanten.
• SharpHound (oder bloodhound-python) erfasst die Daten für eine GUI auf Neo4j-Basis.
• Vorgefertigte Abfragen und Cypher-Abfragen zeigen die kürzesten Pfade zu Domain Admin.
• ACL-Kanten wie GenericAll und WriteDacl ermöglichen eine Rechteausweitung ohne Cracken.

Sie haben den Kurs zu Active Directory Attacks abgeschlossen.