Odkryj tajniki ruchu lateralnego w Active Directory
Odkryj tajniki ruchu lateralnego w Active Directory
Ruch lateralny w Active Directory to kluczowy temat w kontekście bezpieczeństwa sieci. Wykorzystanie mechanizmu WinRM (Windows Remote Management) stanowi istotne zagrożenie, które może zostać wykorzystane przez atakujących do przejęcia kontroli nad systemem.
Jednym z głównych wyzwań związanych z analizą WinRM jest lokalizacja logów. Logi specyficzne dla WinRM, znajdujące się w kanale Microsoft-Windows-WinRM/Operational, są dostępne wyłącznie na hoście docelowym. To oznacza, że na maszynie, która inicjuje połączenie, nie pozostają jednoznaczne ślady użycia tego mechanizmu.
W przypadku uwierzytelnienia Kerberos, kontroler domeny rejestruje zdarzenie wydania ticketu serwisowego (Event ID 4769). Niestety, nie dostarcza on informacji, że ticket został użyty do sesji WinRM. W rzeczywistości, samo użycie biletu odbywa się bez udziału kontrolera domeny i jest widoczne tylko w logach serwera docelowego, na przykład w logach logowania (Event ID 4624).
Na podstawie: Źródła
