mcpField
H
hunting-for-dcsync-attacks

hunting-for-dcsync-attacks

github.com/mukul975セキュリティ35.2k49 回インストール8 週間前に更新
リポジトリ

hunting-for-dcsync-attacks について

Active Directory 環境での DCSync による認証情報窃取を検知する脅威ハンティングスキルです。Event ID 4662 の監査、レプリケーション権限の絞り込み、非ドメインコントローラーの送信元特定、調査結果の検証を支援します。

主な機能

  1. 01Windows Event ID 4662 の監査
  2. 02ディレクトリ複製 GUID の抽出
  3. 03非ドメインコントローラーの送信元特定
  4. 04イベントと送信元 IP の相関分析
  5. 05正規の複製ツールの除外
  6. 06インシデント対応策の提示

活用シーン

  1. 01DCSync による認証情報窃取のハンティング
  2. 02Active Directory 侵害疑いの調査
  3. 03不正な複製リクエストの監視
  4. 04紫チーム演習での検知テスト

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-dcsync-attacks

インストール後、Claude Code で/hunting-for-dcsync-attacksを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

LICENSE
references/
api-reference.md
scripts/
agent.py

詳細

DCSync攻撃のハンティング

使用場面

  • DCSyncによる認証情報窃取（MITRE ATT&CK T1003.006）をハンティングする場合
  • 環境内でMimikatzなどの類似ツールを検出した後
  • Active Directoryの侵害に関わるインシデント対応中
  • 許可されていないドメインレプリケーション要求を監視する場合
  • AD攻撃の検出をテストするパープルチーム演習中

前提条件

  • Windowsセキュリティイベントログの転送が有効になっていること（イベントID 4662）
  • グループポリシーで「ディレクトリサービスアクセスの監査」が有効になっていること
  • マシンアカウント検出のため、ドメインオブジェクトにDomain Computers SACLが設定されていること
  • Windowsイベントデータを取り込んだSIEM（Splunk、Elastic、Sentinel）があること
  • 正規のドメインコントローラーのアカウントとレプリケーションパートナーを把握していること

ワークフロー

  1. 監査の有効化: ドメインコントローラーで「ディレクトリサービスアクセスの監査」が有効になっていることを確認します。
  2. イベントの収集: AccessMask 0x100（Control Access）のWindowsイベントID 4662を収集します。
  3. レプリケーションGUIDのフィルタリング: DS-Replication-Get-ChangesおよびDS-Replication-Get-Changes-Allを検索します。
  4. 非DCの発信元の特定: SubjectUserNameがドメインコントローラーのマシンアカウントではないイベントにフラグを立てます。
  5. ネットワークとの相関分析: 発信元IPアドレスを既知のDCのアドレスと照合します。
  6. 検出結果の検証: 正規のレプリケーションツール（Azure AD Connect、SCCM）を除外します。
  7. 対応: 侵害されたアカウントを無効化し、krbtgtをリセットし、横方向の移動を調査します。

主要な概念

概念説明
DCSyncAD レプリケーションプロトコルを悪用してパスワードハッシュを抽出する手法
イベントID 4662ディレクトリサービスアクセスの監査イベント
DS-Replication-Get-ChangesGUID 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2
DS-Replication-Get-Changes-AllGUID 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2
AccessMask 0x100拡張権限の検証を示すControl Access権限
T1003.006OS認証情報ダンプ: DCSync

ツールとシステム

ツール用途
Windows イベント ビューアーイベントログの直接分析
Splunkイベント4662のSIEM相関分析
Elastic SecurityDCSyncパターンの検出ルール
Mimikatz lsadump::dcsyncDCSyncの実行に使用される攻撃ツール
Impacket secretsdump.pyPythonによるDCSyncの実装
BloodHoundレプリケーション権限を持つアカウントの特定

出力形式

Hunt ID: TH-DCSYNC-[DATE]-[SEQ]
Technique: T1003.006
Domain Controller: [DC hostname]
Subject Account: [Account performing replication]
Source IP: [Non-DC IP address]
GUID Accessed: [Replication GUID]
Risk Level: [Critical/High/Medium/Low]
Recommended Action: [Disable account, reset krbtgt, investigate]

コメント

Markdown 対応