BloodHound ile Active Directory Keşfi: Toplama Davranışı, Saldırı Yolu Analizi ve Savunma

HARDEC · Savunma Güvenliği Ekibi·Yayın: 13 Haziran 2026·Güncelleme: 15 Temmuz 2026·13 dk okuma

BloodHound/SharpHound ile Active Directory keşfinin bütüncül haritası: koleksiyon yöntemleri (Default, All, DCOnly, Session, LoggedOn, ACL, Trusts, Container), düğüm/kenar tipleri ve Cypher saldırı yolu sorguları, OpSec/gürültü değerlendirmesi, LDAP 1644 + 5145 tabanlı tespit, oturum sayımı sertleştirmesi ve ACL hijyeni. SOC/DFIR ve kırmızı/mor takım için teknik başvuru kaynağı.

Exploit

Prevention

Detection

Savunma profili:6 detection kuralı 3 önlem 6 baseline kontrolü 3 müdahale playbook'u

Kaydırarak veya oklarla bölümler arasında geçin

Bölüm 1 / 3

Zafiyet (Vulnerability)

Tehdit bağlamı, zafiyet ve istismar senaryosu

Beta

Bu bölüm henüz açık değil

Başlıklar ve özetler ücretsiz. Bu bölümün detayı henüz yayında değil. Açık ortamlar için offline kıyaslama aracını şirket e-postasıyla isteyebilirsiniz.

Offline aracı iste →

Bölüm 2 / 3

Prevention & Hardening

Savunma teknolojileri, policy ve sertleştirme

Beta

Bu bölüm henüz açık değil

Başlıklar ve özetler ücretsiz. Bu bölümün detayı henüz yayında değil. Açık ortamlar için offline kıyaslama aracını şirket e-postasıyla isteyebilirsiniz.

Offline aracı iste →

Bölüm 3 / 3

Detection

Davranış, loglama ve detection kuralları

Beta

Bu bölüm henüz açık değil

Başlıklar ve özetler ücretsiz. Bu bölümün detayı henüz yayında değil. Açık ortamlar için offline kıyaslama aracını şirket e-postasıyla isteyebilirsiniz.

Offline aracı iste →

Bilgilendirme notu

Savunma notu: BloodHound'u yalnızca saldırı tarafında kullanmak büyük bir fırsatı kaçırmak demektir; aynı araç mavi takım tarafından periyodik çalıştırılarak tehlikeli ACL yolları ve yanlış yapılandırılmış yönetici oturumları proaktif biçimde tespit edilebilir. Toplayıcıların (collector) ürettiği yüksek LDAP sorgu hacmi ve oturum numaralandırma trafiği anomali algılama sistemleri için anlamlı bir sinyal oluşturur. Sık yapılan hata: BloodHound verilerini yalnızca pentest raporu için kullanıp sonradan ihmal etmek yerine sürekli döngüsel denetim sürecine dahil etmemek (MITRE ATT&CK T1069.002).

Detection kuralları

Bu tekniği tespit eden, doğrudan kopyalanabilir kurallar (Sigma/KQL/…). Her kuralın gereken telemetrisi, olgunluğu ve kaynağı belirtilir.

AD Privileged Users or Groups Reconnaissance

Detect priv users or groups recon based on 4661 eventid and known privileged users or groups SIDs

high

sigmaTest

Kuralı gösterKuralı gizle

title: AD Privileged Users or Groups Reconnaissance
id: 35ba1d85-724d-42a3-889f-2e2362bcaf23
status: test
description: Detect priv users or groups recon based on 4661 eventid and known privileged users or groups SIDs
references:
    - https://web.archive.org/web/20230329163438/https://blog.menasec.net/2019/02/threat-hunting-5-detecting-enumeration.html
author: Samir Bousseaden
date: 2019-04-03
modified: 2022-07-13
tags:
    - attack.discovery
    - attack.t1087.002
logsource:
    product: windows
    service: security
    definition: 'Requirements: enable Object Access SAM on your Domain Controllers'
detection:
    selection:
        EventID: 4661
        ObjectType:
            - 'SAM_USER'
            - 'SAM_GROUP'
    selection_object:
        - ObjectName|endswith:
              - '-512'
              - '-502'
              - '-500'
              - '-505'
              - '-519'
              - '-520'
              - '-544'
              - '-551'
              - '-555'
        - ObjectName|contains: 'admin'
    filter:
        SubjectUserName|endswith: '$'
    condition: selection and selection_object and not filter
falsepositives:
    - If source account name is not an admin then its super suspicious
level: high

Doğrulanmadı

Çalışması için gereken telemetri: windows; securitywindows / securitywindows

Yanlış pozitif: If source account name is not an admin then its super suspicious

Kaynak: SIGMA · Detection Rule License (DRL) 1.1 · orijinal kural

Önlemler

Bu tekniği azaltan/engelleyen prevention ve hardening önlemleri.

Audit

Prevention

Gelismis denetim politikasi + komut satiri + Sysmon + dizin erisim denetimi: tespitin gerektirdigi telemetri.

Bilgilendirme notu

Bilgilendirme notu: Varsayılan Windows denetim politikaları yetersizdir; başarısız oturum açma, hassas ayrıcalık kullanımı ve nesne erişimi gibi kritik olaylar ek yapılandırma gerektirmektedir. Sysmon ile süreç oluşturma komut satırı kayıtları ve ağ bağlantı logları zorunlu olarak toplanmalıdır. Linux'ta auditd varsayılan ayarları son derece minimal olup güvenlik kullanım senaryolarına göre özelleştirilmelidir. Log üretilmeden toplama mümkün olmadığından denetim politikası yapılandırması, SIEM entegrasyonundan önce tamamlanmalıdır.

Operating System Configuration

Hardening

İşletim sistemini güvenli temel yapılandırmaya (secure baseline) getirme.

Bilgilendirme notu

Bilgilendirme notu: İşletim sistemi sertleştirmesinde Linux için SELinux/AppArmor zorunlu erişim denetimleri, gereksiz servis kaldırma ve SSH anahtar tabanlı kimlik doğrulama birlikte uygulanmalıdır. Parola içerme riski taşıyan kabuk geçmişi dosyaları ve yapılandırma dosyaları düzenli denetlenmelidir. Windows ortamlarında ise tam denetim politikası, Sysmon dağıtımı ve WinRM güvenli yapılandırması temel gereksinimleri oluşturur. Tüm hesaplar için parolasız sudo ve ANY:ANY sudo politikaları kaldırılmalıdır.

Bu tekniğe karşı baseline kontrolleri

Aşağıdaki güvenlik baseline kontrolleri bu tekniği azaltır. Kurumunuzun yapılandırmasını ilgili baseline ile .

Müdahale playbook'ları

Bu teknik tespit edildiğinde izlenecek NIST/SANS fazlı müdahale akışları.

Referanslar

MITRE ATT&CK — T1087.002: BloodHound ile Active Directory Keşfi: Toplama Davranışı, Saldırı Yolu Analizi ve Savunma ↗

Bu makale MITRE ATT&CK çerçevesine dayanır; tespit, savunma ve müdahale içeriği bağımsız olarak hazırlanmıştır.

title: SharpHound veya BloodHound Toplayici Sureci Tespit Edildi id: c5e9f4a1-73d2-4b8c-9e1a-7f3d5c2b4e89 status: experimental description: | BloodHound Active Directory guzergah analizi icin kullanilan SharpHound veya AzureHound toplayici surecinin calistirilmasini tespit eder. Bu araclar saldirganlar tarafindan domain hesaplarini, gruplarini, oturum bilgilerini ve ACL'leri toplu olarak sorgulamak (T1087.002) ve yuksek degerli saldiri yollarini bulmak icin kullanilir. Kural AI tarafindan uretilmis / dogrulanmamistir. references: - https://attack.mitre.org/techniques/T1087/002/ - https://github.com/BloodHoundAD/BloodHound - https://github.com/SigmaHQ/sigma/blob/master/rules/windows/process_creation/proc_creation_win_bloodhound_sharphound_collector.yml - https://www.specterops.io/assets/resources/Certified_Pre-Owned.pdf author: CyberSecLab (AI) date: 2026-06-13 modified: 2026-06-13 tags: - attack.t1087.002 - attack.discovery - attack.t1069.002 logsource: product: windows category: process_creation detection: selection_image: Image|endswith: - '\SharpHound.exe' - '\AzureHound.exe' - '\SharpHound3.exe' selection_cmdline: CommandLine|contains: - 'SharpHound' - 'Invoke-BloodHound' - 'CollectionMethod' - '-c All' - '-c Default' - '-c Session' - '-c DCOnly' - '--Stealth' - 'SessionLoop' - '--ZipPassword' - '--EncryptZip' selection_renamed: CommandLine|contains: - '--CollectionMethods' - '--OutputDirectory' - '--Domain ' - '--LdapUsername' CommandLine|contains: - 'LDAP' filter_pentest: ParentImage|contains: - '\PenTest' - '\RedTeam' - '\Assessment' condition: (selection_image or selection_cmdline or selection_renamed) and not filter_pentest falsepositives: - Yetkilendirilmis sizma testi veya kirmizi takim tatbikatlari - BloodHound Community Edition guvenlik degerlendirme projeleri level: high

title: Active Directory Database Snapshot Via ADExplorer id: 9212f354-7775-4e28-9c9f-8f0a4544e664 related: - id: ef61af62-bc74-4f58-b49b-626448227652 type: derived status: test description: Detects the execution of Sysinternals ADExplorer with the "-snapshot" flag in order to save a local copy of the active directory database. This can be used by attackers to extract data for Bloodhound, usernames for password spraying or use the meta data for social engineering. The snapshot doesn't contain password hashes but there have been cases, where administrators put passwords in the comment field. references: - https://www.documentcloud.org/documents/5743766-Global-Threat-Report-2019.html - https://learn.microsoft.com/de-de/sysinternals/downloads/adexplorer - https://github.com/c3c/ADExplorerSnapshot.py/tree/f700904defac330802bbfedd1d8ffd9248f4ee24 - https://www.packetlabs.net/posts/scattered-spider-is-a-young-ransomware-gang-exploiting-large-corporations/ - https://www.nccgroup.com/us/research-blog/lapsus-recent-techniques-tactics-and-procedures/ - https://trustedsec.com/blog/adexplorer-on-engagements author: Nasreddine Bencherchali (Nextron Systems) date: 2023-03-14 modified: 2025-07-09 tags: - attack.discovery - attack.t1087.002 - attack.t1069.002 - attack.t1482 logsource: category: process_creation product: windows detection: selection_img: - Image|endswith: - '\ADExp.exe' - '\ADExplorer.exe' - '\ADExplorer64.exe' - '\ADExplorer64a.exe' - OriginalFileName: 'AdExp' - Description: 'Active Directory Editor' - Product: 'Sysinternals ADExplorer' selection_cli: CommandLine|contains: 'snapshot' condition: all of selection_* falsepositives: - Unknown level: medium

title: ADExplorer Writing Complete AD Snapshot Into .dat File id: 0a1255c5-d732-4b62-ac02-b5152d34fb83 related: - id: 9212f354-7775-4e28-9c9f-8f0a4544e664 type: similar status: experimental description: Detects the dual use tool ADExplorer writing a complete AD snapshot into a .dat file. This can be used by attackers to extract data for Bloodhound, usernames for password spraying or use the meta data for social engineering. The snapshot doesn't contain password hashes but there have been cases, where administrators put passwords in the comment field. references: - https://learn.microsoft.com/de-de/sysinternals/downloads/adexplorer - https://github.com/c3c/ADExplorerSnapshot.py/tree/f700904defac330802bbfedd1d8ffd9248f4ee24 - https://www.packetlabs.net/posts/scattered-spider-is-a-young-ransomware-gang-exploiting-large-corporations/ - https://www.nccgroup.com/us/research-blog/lapsus-recent-techniques-tactics-and-procedures/ - https://trustedsec.com/blog/adexplorer-on-engagements author: Arnim Rupp (Nextron Systems), Thomas Patzke date: 2025-07-09 tags: - attack.discovery - attack.t1087.002 - attack.t1069.002 - attack.t1482 logsource: category: file_event product: windows detection: selection: Image|endswith: - '\ADExp.exe' - '\ADExplorer.exe' - '\ADExplorer64.exe' - '\ADExplorer64a.exe' TargetFilename|endswith: '.dat' condition: selection falsepositives: - Legitimate use of ADExplorer by administrators creating .dat snapshots level: medium

title: Supheceli LDAP Kitlesel Sorgu - Domain Hesap Kesfetme id: d2b8e5f3-46a1-4c7d-8b2e-9a5f1c3d7e04 status: experimental description: | Tek bir istemci surecinin kisa sure icerisinde cok sayida LDAP baglantisi kurmasini veya domain denetleyicisine cok sayida SMB/SAMR sorgusu gondermesini tespit eder. BloodHound/SharpHound domain hesap ve grup kesifleri (T1087.002) icin domain denetleyicisine yogun LDAP sorgusu gonderir. Bu desen NetBIOS/SAMR uzerinden 'net group /domain' veya 'dsquery' komutlariyla da olusabilir. Kural AI tarafindan uretilmis / dogrulanmamistir. references: - https://attack.mitre.org/techniques/T1087/002/ - https://github.com/SigmaHQ/sigma/blob/master/rules/windows/network_connection/net_connection_win_ldap_recon.yml - https://github.com/BloodHoundAD/SharpHound - https://media.defcon.org/DEF%20CON%2026/DEF%20CON%2026%20presentations/Rohan%20Vazarkar/DEFCON-26-Rohan-Vazarkar-Hunting-for-Privilege-Escalation-in-Windows-Environment.pdf author: CyberSecLab (AI) date: 2026-06-13 modified: 2026-06-13 tags: - attack.t1087.002 - attack.discovery - attack.t1069.002 logsource: product: windows category: network_connection detection: selection_ldap: DestinationPort: - 389 - 636 - 3268 - 3269 Initiated: 'true' filter_legitimate: Image|endswith: - '\svchost.exe' - '\lsass.exe' - '\MsMpEng.exe' - '\dns.exe' - '\dfsr.exe' - '\dfsrs.exe' - '\mmc.exe' - '\AdExplorer.exe' - '\ldp.exe' filter_system_accounts: User|contains: - 'SYSTEM' - 'NETWORK SERVICE' - 'LOCAL SERVICE' condition: selection_ldap and not 1 of filter_* timeframe: 5m aggregation: type: count group-by: - Image - User - SourceIp condition: count(DestinationHostname) >= 15 falsepositives: - Sistem yonetim araclari (SCCM, Intune, AD yonetim konsolllari) - Domain denetleyicisi replikasyon surecleri - Merkezi kimlik dogrulama servisleri level: medium

BloodHound ile Active Directory Keşfi: Toplama Davranışı, Saldırı Yolu Analizi ve Savunma

Zafiyet (Vulnerability)

Bu bölüm henüz açık değil

Prevention & Hardening

Bu bölüm henüz açık değil

Detection

Bu bölüm henüz açık değil

Detection kuralları

AD Privileged Users or Groups Reconnaissance

Önlemler

Audit

Operating System Configuration

Bu tekniğe karşı baseline kontrolleri

Müdahale playbook'ları

Referanslar

SharpHound/BloodHound Surec Tespiti

Active Directory Database Snapshot Via ADExplorer

Active Directory Structure Export Via Csvde.EXE

ADExplorer Writing Complete AD Snapshot Into .dat File

LDAP Kitlesel Domain Hesap Sorgusu (BloodHound Ag Aktivitesi)

User Account Management

BloodHound / AD Keşfi ile Birlikte Credential Theft veya Yanal Hareket Müdahalesi

AD CS Yanlış Yapılandırma ve Keşif Müdahalesi

BloodHound / SharpHound AD Keşfi Müdahalesi