BloodHound

BloodHound è uno strumento che rappresenta le relazioni in Active Directory come un grafo. Rivela percorsi di attacco nascosti da un utente con pochi privilegi a obiettivi di alto valore come Domain Admin.

Ciò che gli esseri umani non riescono a individuare in complesse reti di autorizzazioni, BloodHound lo trova usando la teoria dei grafi.

BloodHound modella AD come nodi (utenti, gruppi, computer, OU, GPO) collegati da archi (relazioni).

Gli archi rappresentano diritti come MemberOf, AdminTo, HasSession o GenericAll. Una catena di archi costituisce un percorso di attacco.

SharpHound è il collector dei dati. Eseguito da un contesto con aggiunta al dominio, interroga LDAP e altre origini per raccogliere oggetti, appartenenze ai gruppi, sessioni e ACL.

Genera JSON (compresso in un archivio zip) che potrà poi importare nell'interfaccia di BloodHound.

SharpHound supporta diversi metodi di raccolta tramite -c:

• Group: appartenenze ai gruppi.
• Session: chi ha effettuato l'accesso e da dove.
• ACL: autorizzazioni degli oggetti.
• All: tutto (più rumoroso, ma più completo).

Una raccolta rumorosa aumenta il rischio di rilevamento, quindi gli attaccanti possono distribuirla nel tempo o limitarne l'ambito.

Se non può eseguire SharpHound su Windows, bloodhound-python raccoglie i dati da remoto tramite LDAP usando credenziali del dominio.

È ideale da una macchina Linux per gli attacchi durante un test di compromissione simulata.

BloodHound utilizza un database a grafo Neo4j come backend. Avvii Neo4j, acceda alla GUI di BloodHound e trascini nell'interfaccia l'archivio zip raccolto per importarlo.

Una volta importati i dati, può eseguire query predefinite o scriverne di proprie in Cypher.

BloodHound include potenti query predefinite, tra cui:

• Shortest Paths to Domain Admins.
• Find Principals with DCSync Rights.
• Kerberoastable Accounts.

Contrassegnando l'utente corrente come 'Owned', BloodHound può calcolare i percorsi a partire da ciò che si controlla.

Un percorso di attacco potrebbe essere: il suo utente è MemberOf di un gruppo che dispone di GenericAll su un altro utente che è AdminTo di un server sul quale è presente una sessione di Domain Admin.

Ogni arco indica la tecnica esatta necessaria per il passaggio successivo, trasformando un grafo in un piano operativo passo per passo.

Alcuni degli archi più sfruttati rappresentano diritti basati su ACL:

• GenericAll / GenericWrite: controllo completo o ampi diritti di scrittura su un oggetto.
• WriteDacl / WriteOwner: assumere il controllo delle autorizzazioni di un oggetto.
• ForceChangePassword: reimpostare la password di un obiettivo.

Questi diritti consentono di eseguire un'escalation senza dover mai sottoporre un hash a cracking.

Per un'analisi personalizzata può scrivere query in Cypher, il linguaggio di interrogazione di Neo4j. Questo consente di cercare condizioni specifiche che le query integrate non coprono.

Ad esempio, può trovare tutti gli utenti con un percorso verso un server sensibile.

BloodHound non è solo uno strumento per gli attaccanti. I difensori lo eseguono per verificare il proprio AD, individuare percorsi di attacco indesiderati e rimuovere le autorizzazioni pericolose prima che gli avversari possano sfruttarle.

Rafforzare le ACL, rimuovere i diritti di amministratore obsoleti e limitare l'esposizione delle sessioni riduce il grafo che un attaccante potrebbe attraversare.

Ora comprende BloodHound:

• Modella AD come un grafo di nodi e archi che rappresentano relazioni.
• SharpHound (o bloodhound-python) raccoglie i dati in una GUI basata su Neo4j.
• Le query predefinite e quelle in Cypher rivelano i percorsi più brevi verso Domain Admin.
• Gli archi ACL come GenericAll e WriteDacl consentono l'escalation senza cracking.

Ha completato il corso sugli attacchi ad Active Directory.