BloodHound

BloodHound — инструмент, который представляет связи в Active Directory в виде графа. Он показывает скрытые пути атаки от пользователя с низкими привилегиями к важным целям, таким как Domain Admin.

То, что люди не замечают в сложных переплетениях разрешений, BloodHound находит с помощью теории графов.

BloodHound представляет AD в виде узлов (пользователи, группы, компьютеры, OU, GPO), соединенных связями (отношениями).

Связи представляют такие права, как MemberOf, AdminTo, HasSession или GenericAll. Цепочка связей образует путь атаки.

SharpHound — сборщик данных. Запущенный из контекста компьютера, присоединенного к домену, он запрашивает LDAP и другие источники, собирая объекты, членство в группах, сеансы и списки ACL.

Он создает файлы JSON (в архиве), которые затем импортируются в интерфейс BloodHound.

SharpHound поддерживает несколько методов сбора через -c:

• Group: членство в группах.
• Session: кто и где вошел в систему.
• ACL: разрешения объектов.
• All: все данные (больше шума, но полнее).

Шумный сбор данных повышает риск обнаружения, поэтому злоумышленники могут выполнять его поэтапно или ограничивать область сбора.

Если Вы не можете запустить SharpHound в Windows, bloodhound-python собирает данные удаленно через LDAP с использованием учетных данных домена.

Это особенно удобно при работе с атакующей машиной Linux во время теста на проникновение по сценарию предполагаемого взлома.

BloodHound использует графовую базу данных Neo4j в качестве серверной части. Вы запускаете Neo4j, входите в GUI BloodHound и перетаскиваете собранный архив в интерфейс для импорта.

После импорта можно выполнять готовые запросы или писать собственные на Cypher.

BloodHound поставляется с мощными готовыми запросами, например:

• Кратчайшие пути к Domain Admins.
• Поиск субъектов с правами DCSync.
• Учетные записи, уязвимые для Kerberoasting.

Если отметить текущего пользователя как «Owned», BloodHound сможет вычислять пути, начинающиеся с объектов, которые Вы контролируете.

Путь атаки может выглядеть так: Ваш пользователь входит в группу, имеющую GenericAll для другого пользователя, который обладает AdminTo на сервере, где есть сеанс Domain Admin.

Каждая связь сообщает точный метод, необходимый для следующего перехода, превращая граф в пошаговый план.

К числу наиболее часто используемых злоумышленниками относятся права на основе ACL:

• GenericAll / GenericWrite: полный или широкий доступ на запись к объекту.
• WriteDacl / WriteOwner: получение контроля над разрешениями объекта.
• ForceChangePassword: сброс пароля цели.

Они позволяют повысить привилегии, не взламывая хеш.

Для пользовательского анализа можно писать запросы на Cypher — языке запросов Neo4j. Это позволяет искать определенные условия, которые не охватываются встроенными запросами.

Например, можно найти всех пользователей, имеющих путь к важному серверу.

BloodHound предназначен не только для злоумышленников. Защитники запускают его для аудита собственного AD, поиска непреднамеренных путей атаки и удаления опасных разрешений до того, как ими воспользуются злоумышленники.

Усиление ACL, удаление устаревших прав администратора и ограничение видимости сеансов — все это уменьшает граф, по которому может перемещаться злоумышленник.

Вспомните роль SharpHound.

Теперь Вы понимаете принцип работы BloodHound:

• Он представляет AD в виде графа из узлов и связей между отношениями.
• SharpHound (или bloodhound-python) собирает данные в GUI на основе Neo4j.
• Готовые запросы и запросы на Cypher показывают кратчайшие пути к Domain Admin.
• Связи ACL, такие как GenericAll и WriteDacl, позволяют повысить привилегии без взлома.

Вы завершили курс по атакам на Active Directory.