BloodHound

BloodHound to narzędzie, które odwzorowuje relacje w Active Directory w postaci grafu. Ujawnia ukryte ścieżki ataku prowadzące od użytkownika o niskich uprawnieniach do cennych celów, takich jak Domain Admin.

To, co ludzie przeoczają w złożonej sieci uprawnień, BloodHound odnajduje za pomocą teorii grafów.

BloodHound modeluje AD jako węzły (użytkownicy, grupy, komputery, jednostki organizacyjne, obiekty GPO) połączone przez krawędzie (relacje).

Krawędzie reprezentują uprawnienia, takie jak MemberOf, AdminTo, HasSession lub GenericAll. Łańcuch krawędzi tworzy ścieżkę ataku.

SharpHound to collector danych. Uruchomiony w kontekście dołączonym do domeny, odpytuje LDAP i inne źródła, aby zebrać obiekty, członkostwa w grupach, sesje i listy ACL.

Generuje pliki JSON (spakowane), które następnie importuje się do interfejsu BloodHound.

SharpHound obsługuje kilka metod zbierania danych za pomocą -c:

• Group: członkostwa w grupach.
• Session: informacje o tym, kto i gdzie jest zalogowany.
• ACL: uprawnienia obiektów.
• All: wszystko (więcej szumu, ale pełniejsze dane).

Głośne zbieranie danych zwiększa ryzyko wykrycia, dlatego atakujący mogą rozkładać je w czasie lub ograniczać jego zakres.

Jeśli nie można uruchomić SharpHound w systemie Windows, bloodhound-python zbiera dane zdalnie przez LDAP przy użyciu poświadczeń domenowych.

Jest to idealne rozwiązanie podczas testu assumed breach prowadzonego z linuksowej maszyny używanej do ataków.

BloodHound używa grafowej bazy danych Neo4j jako backendu. Należy uruchomić Neo4j, zalogować się do GUI BloodHound, a następnie przeciągnąć zebrane archiwum zip do interfejsu, aby je zaimportować.

Po zaimportowaniu można uruchamiać gotowe zapytania lub pisać własne w języku Cypher.

BloodHound zawiera zaawansowane gotowe zapytania, takie jak:

• Shortest Paths to Domain Admins.
• Find Principals with DCSync Rights.
• Kerberoastable Accounts.

Oznaczenie bieżącego użytkownika jako „Owned” pozwala BloodHound obliczać ścieżki rozpoczynające się od zasobów znajdujących się pod kontrolą użytkownika.

Ścieżka ataku może wyglądać tak: użytkownik jest MemberOf grupy, która ma GenericAll wobec innego użytkownika, a ten użytkownik ma AdminTo wobec serwera, na którym sesję ma użytkownik Domain Admin.

Każda krawędź wskazuje dokładną technikę potrzebną do wykonania kolejnego kroku, przekształcając graf w plan działania krok po kroku.

Do najczęściej wykorzystywanych krawędzi należą uprawnienia oparte na ACL:

• GenericAll / GenericWrite: pełne lub szerokie uprawnienia zapisu do obiektu.
• WriteDacl / WriteOwner: przejęcie kontroli nad uprawnieniami obiektu.
• ForceChangePassword: zresetowanie hasła celu.

Umożliwiają one eskalację bez konieczności łamania hasha.

Na potrzeby niestandardowej analizy można pisać zapytania w języku Cypher, czyli języku zapytań Neo4j. Pozwala to wyszukiwać określone warunki, których nie obejmują wbudowane zapytania.

Przykładem może być znalezienie wszystkich użytkowników mających ścieżkę do wrażliwego serwera.

BloodHound nie jest wyłącznie narzędziem atakujących. Obrońcy uruchamiają go, aby kontrolować własne środowisko AD, znajdować niezamierzone ścieżki ataku i usuwać niebezpieczne uprawnienia, zanim wykorzystają je przeciwnicy.

Zaostrzenie reguł ACL, usunięcie nieaktualnych uprawnień administratora i ograniczenie ekspozycji sesji zmniejszają graf, który atakujący mógłby przemierzyć.

Przypomnij sobie rolę SharpHound.

Rozumiesz już BloodHound:

• Modeluje AD jako graf węzłów i relacji reprezentowanych przez krawędzie.
• SharpHound (lub bloodhound-python) zbiera dane do GUI opartego na Neo4j.
• Gotowe zapytania i zapytania Cypher ujawniają najkrótsze ścieżki do Domain Admin.
• Krawędzie ACL, takie jak GenericAll i WriteDacl, umożliwiają eskalację bez łamania hashy.

Ukończył(a) Pan/Pani kurs Active Directory Attacks.