Kritik önemHARDEC6 adım · 6 faz
Privilege Escalation / Domain Admin Compromise
Ayricalik yukseltme / Domain/Tenant admin ele gecirme; AD orman kurtarma odakli.
Bilgilendirme notu
Bilgilendirme notu: Domain yöneticisi ele geçirildiğinde yalnızca hesabı devre dışı bırakmak yetmez; saldırgan krbtgt hash'ini biliyor olabilir ve Golden Ticket ile ortamda kalmaya devam edebilir. MITRE T1484 kapsamında krbtgt parolasını iki kez sıfırlayın (replikasyon gecikmesi nedeniyle), tüm etki alanı denetleyicilerinde ACL değişikliklerini denetleyin ve ayrıcalıklı hesapların oturum açtığı tüm sistemleri ihlal kapsamında değerlendirin.
1
Preparation
1 adım- Tiered admin + yedek
Admin tiering, PAW, krbtgt rotasyon proseduru, AD yedegi.
2
Identification
1 adım- Yukseltme yolunu bul
Somurulen acik/yanlis yapilandirma (DCSync, Kerberoasting, token theft), ele gecen ayricalikli hesaplar.
3
Containment
1 adım- Ayricaligi geri al
Ele gecen admin hesaplarini devre disi birak, DC erisimini kisitla, ayricalikli oturumlari sonlandir.
4