BloodHound

BloodHound é uma ferramenta que mapeia os relacionamentos no Active Directory como um grafo. Ela revela caminhos de ataque ocultos de um usuário com poucos privilégios até alvos de alto valor, como o Admin do Domínio.

O que os humanos não percebem em emaranhados complexos de permissões, o BloodHound encontra usando a teoria dos grafos.

O BloodHound representa o AD como nós (usuários, grupos, computadores, UOs, GPOs) conectados por arestas (relacionamentos).

As arestas representam direitos como MemberOf, AdminTo, HasSession ou GenericAll. Uma cadeia de arestas é um caminho de ataque.

SharpHound é o coletor de dados. Executado em um contexto associado ao domínio, ele consulta o LDAP e outras fontes para reunir objetos, associações a grupos, sessões e ACLs.

Ele gera um arquivo JSON compactado, que depois é importado na interface do BloodHound.

O SharpHound é compatível com vários métodos de coleta por meio de -c:

• Group: associações a grupos.
• Session: quem está conectado e em qual local.
• ACL: permissões de objetos.
• All: tudo (mais ruidoso, porém mais completo).

Uma coleta muito ruidosa aumenta o risco de detecção, portanto os invasores podem distribuí-la ao longo do tempo ou limitar seu escopo.

Se você não puder executar o SharpHound no Windows, o bloodhound-python coletará dados remotamente pelo LDAP usando credenciais do domínio.

Isso é ideal a partir de uma máquina Linux de ataque durante um teste de invasão presumida.

O BloodHound usa um banco de dados de grafos Neo4j como sistema de suporte. Você inicia o Neo4j, entra na GUI do BloodHound e arrasta o arquivo zip coletado para a interface para importá-lo.

Depois da importação, você pode executar consultas predefinidas ou escrever as suas próprias em Cypher.

O BloodHound inclui consultas predefinidas avançadas, como:

• Caminhos mais curtos até administradores do domínio.
• Encontrar principais com direitos de DCSync.
• Contas suscetíveis a Kerberoasting.

Marcar seu usuário atual como 'Owned' permite que o BloodHound calcule caminhos a partir do que está sob seu controle.

Um caminho de ataque pode ser descrito assim: seu usuário é MemberOf de um grupo que possui GenericAll sobre outro usuário que é AdminTo de um servidor onde um Admin do Domínio tem uma sessão.

Cada aresta informa a técnica exata necessária para o próximo salto, transformando um grafo em um plano passo a passo.

Alguns dos direitos mais explorados são baseados em ACLs:

• GenericAll / GenericWrite: controle de escrita total ou amplo sobre um objeto.
• WriteDacl / WriteOwner: assumir o controle das permissões de um objeto.
• ForceChangePassword: redefinir a senha de um alvo.

Esses direitos permitem escalar privilégios sem jamais quebrar um hash.

Para análises personalizadas, você pode escrever em Cypher, a linguagem de consulta do Neo4j. Isso permite procurar condições específicas que as consultas integradas não abrangem.

Por exemplo, encontrar todos os usuários com um caminho até um servidor sensível.

O BloodHound não é apenas uma ferramenta para invasores. Os defensores o executam para auditar o próprio AD, encontrar caminhos de ataque não intencionais e eliminar permissões perigosas antes que adversários as explorem.

Fortalecer as ACLs, remover direitos de administrador antigos e limitar a exposição de sessões reduzem o grafo que um invasor poderia percorrer.

Recapitule a função do SharpHound.

Agora você entende o BloodHound:

• Ele representa o AD como um grafo de nós e arestas de relacionamento.
• O SharpHound (ou bloodhound-python) coleta os dados em uma GUI apoiada pelo Neo4j.
• Consultas predefinidas e consultas em Cypher revelam os caminhos mais curtos até o Admin do Domínio.
• Arestas de ACL como GenericAll e WriteDacl permitem a escalação sem quebra de hashes.

Você concluiu o curso de Ataques ao Active Directory.