BloodHound

BloodHound adalah alat yang memetakan hubungan dalam Active Directory sebagai sebuah graf. Alat ini mengungkap jalur serangan tersembunyi dari pengguna dengan hak rendah menuju target bernilai tinggi seperti Administrator Domain.

Hal-hal yang terlewat oleh manusia dalam kerumitan izin, dapat ditemukan BloodHound menggunakan teori graf.

BloodHound memodelkan AD sebagai simpul (pengguna, grup, komputer, OU, GPO) yang dihubungkan oleh sisi (hubungan).

Sisi merepresentasikan hak seperti MemberOf, AdminTo, HasSession, atau GenericAll. Rangkaian sisi merupakan jalur serangan.

SharpHound adalah pengumpul data. Jika dijalankan dari konteks yang bergabung ke domain, alat ini meminta data melalui LDAP dan sumber lainnya untuk mengumpulkan objek, keanggotaan grup, sesi, dan ACL.

Hasilnya berupa JSON (dalam bentuk zip) yang kemudian Anda impor ke antarmuka BloodHound.

SharpHound mendukung beberapa metode pengumpulan melalui -c:

• Group: keanggotaan grup.
• Session: siapa yang masuk di mana.
• ACL: izin objek.
• All: semuanya (lebih berisik, tetapi lebih lengkap).

Pengumpulan yang terlalu mencolok berisiko terdeteksi, sehingga penyerang mungkin melakukannya secara bertahap atau membatasi cakupannya.

Jika Anda tidak dapat menjalankan SharpHound di Windows, bloodhound-python mengumpulkan data dari jarak jauh melalui LDAP menggunakan kredensial domain.

Ini ideal dilakukan dari mesin serangan Linux selama pengujian dengan asumsi pelanggaran.

BloodHound menggunakan basis data graf Neo4j sebagai backend-nya. Anda menjalankan Neo4j, masuk ke GUI BloodHound, lalu menyeret file zip hasil pengumpulan ke antarmuka untuk mengimpornya.

Setelah diimpor, Anda dapat menjalankan kueri bawaan atau menulis kueri sendiri dalam Cypher.

BloodHound dilengkapi kueri siap pakai yang andal, seperti:

• Jalur Terpendek menuju Administrator Domain.
• Menemukan Prinsipal dengan Hak DCSync.
• Akun yang Dapat Di-Kerberoast.

Menandai pengguna Anda saat ini sebagai 'Owned' memungkinkan BloodHound menghitung jalur yang dimulai dari hal-hal yang Anda kuasai.

Jalur serangan mungkin berbunyi: pengguna Anda adalah MemberOf sebuah grup yang memiliki GenericAll atas pengguna lain yang merupakan AdminTo pada server tempat Administrator Domain memiliki sesi.

Setiap sisi memberi tahu teknik tepat yang diperlukan untuk lompatan berikutnya, sehingga graf berubah menjadi rencana langkah demi langkah.

Beberapa sisi yang paling sering disalahgunakan adalah hak berbasis ACL:

• GenericAll / GenericWrite: hak tulis penuh atau luas atas sebuah objek.
• WriteDacl / WriteOwner: mengambil kendali atas izin suatu objek.
• ForceChangePassword: mengatur ulang kata sandi target.

Semua ini memungkinkan Anda meningkatkan hak tanpa perlu memecahkan hash.

Untuk analisis khusus, Anda dapat menulis Cypher, yaitu bahasa kueri Neo4j. Dengan demikian, Anda dapat mencari kondisi tertentu yang tidak tercakup oleh kueri bawaan.

Contohnya, mencari semua pengguna yang memiliki jalur menuju server sensitif.

BloodHound bukan hanya alat penyerang. Pihak yang bertahan menjalankannya untuk mengaudit AD mereka sendiri, menemukan jalur serangan yang tidak disengaja, dan menghapus izin berbahaya sebelum dimanfaatkan oleh musuh.

Memperketat ACL, menghapus hak administrator yang sudah tidak diperlukan, dan membatasi paparan sesi semuanya mengurangi graf yang dapat dilalui penyerang.

Sekarang Anda memahami BloodHound:

• BloodHound memodelkan AD sebagai graf yang terdiri dari simpul dan sisi hubungan.
• SharpHound (atau bloodhound-python) mengumpulkan data ke dalam GUI yang didukung Neo4j.
• Kueri bawaan dan Cypher mengungkap jalur terpendek menuju Administrator Domain.
• Sisi ACL seperti GenericAll dan WriteDacl memungkinkan peningkatan hak tanpa pemecahan hash.

Anda telah menyelesaikan kursus Serangan Active Directory.