BloodHound

BloodHound est un outil qui cartographie les relations dans Active Directory sous forme de graphe. Il révèle les chemins d'attaque cachés menant d'un utilisateur peu privilégié à des cibles de grande valeur comme un administrateur du domaine.

BloodHound trouve, grâce à la théorie des graphes, ce que les humains ne voient pas dans les enchevêtrements complexes d'autorisations.

BloodHound modélise AD sous forme de nœuds (utilisateurs, groupes, ordinateurs, unités d'organisation et objets de stratégie de groupe) reliés par des arêtes (relations).

Les arêtes représentent des droits tels que MemberOf, AdminTo, HasSession ou GenericAll. Une chaîne d'arêtes constitue un chemin d'attaque.

SharpHound est le collecteur de données. Exécuté depuis un contexte joint au domaine, il interroge LDAP et d'autres sources pour recueillir les objets, les appartenances aux groupes, les sessions et les ACL.

Il produit un fichier JSON compressé que vous importez ensuite dans l'interface de BloodHound.

SharpHound prend en charge plusieurs méthodes de collecte via -c :

• Group : appartenances aux groupes.
• Session : qui est connecté et où.
• ACL : autorisations des objets.
• All : tout (plus bruyant, mais plus complet).

Une collecte bruyante risque d'être détectée ; les attaquants peuvent donc l'échelonner ou en limiter la portée.

Si vous ne pouvez pas exécuter SharpHound sous Windows, bloodhound-python effectue une collecte à distance via LDAP avec des identifiants de domaine.

C'est idéal depuis une machine Linux d'attaque lors d'un test d'intrusion simulant une compromission.

BloodHound utilise une base de données de graphes Neo4j comme infrastructure dorsale. Vous démarrez Neo4j, vous vous connectez à l'interface graphique de BloodHound, puis vous faites glisser l'archive zip collectée dans l'interface pour l'importer.

Une fois les données importées, vous pouvez exécuter des requêtes prédéfinies ou écrire les vôtres en Cypher.

BloodHound fournit de puissantes requêtes prédéfinies, notamment :

• Chemins les plus courts vers les administrateurs du domaine.
• Rechercher les principaux disposant de droits DCSync.
• Comptes vulnérables au Kerberoasting.

Marquer votre utilisateur actuel comme « Owned » permet à BloodHound de calculer les chemins à partir de ce que vous contrôlez.

Un chemin d'attaque peut se présenter ainsi : votre utilisateur est MemberOf d'un groupe qui possède GenericAll sur un autre utilisateur qui est AdminTo d'un serveur sur lequel un administrateur du domaine possède une session.

Chaque arête vous indique la technique exacte nécessaire pour l'étape suivante, transformant un graphe en plan étape par étape.

Parmi les arêtes les plus exploitées figurent les droits fondés sur les ACL :

• GenericAll / GenericWrite : droit d'écriture total ou étendu sur un objet.
• WriteDacl / WriteOwner : prendre le contrôle des autorisations d'un objet.
• ForceChangePassword : réinitialiser le mot de passe d'une cible.

Elles permettent d'élever ses privilèges sans jamais craquer un hachage.

Pour effectuer une analyse personnalisée, vous pouvez écrire en Cypher, le langage de requête de Neo4j. Vous pouvez ainsi rechercher des conditions précises que les requêtes intégrées ne couvrent pas.

Par exemple, trouver tous les utilisateurs ayant un chemin vers un serveur sensible.

BloodHound n'est pas réservé aux attaquants. Les défenseurs l'exécutent pour auditer leur propre AD, trouver les chemins d'attaque involontaires et supprimer les autorisations dangereuses avant que des adversaires ne les exploitent.

Le renforcement des ACL, la suppression des droits d'administrateur obsolètes et la limitation de l'exposition des sessions réduisent tous la taille du graphe qu'un attaquant pourrait parcourir.

Rappelez-vous le rôle de SharpHound.

Vous comprenez maintenant BloodHound :

• Il modélise AD sous forme de graphe composé de nœuds et d'arêtes relationnelles.
• SharpHound (ou bloodhound-python) collecte les données dans une interface graphique reposant sur Neo4j.
• Les requêtes prédéfinies et les requêtes Cypher révèlent les chemins les plus courts vers l'administrateur du domaine.
• Les arêtes ACL comme GenericAll et WriteDacl permettent une élévation sans craquage.

Vous avez terminé le cours sur les attaques contre Active Directory.