detecting-t1003-credential-dumping-with-edr

使用 EDR 检测 T1003 凭据转储

何时使用

• 在环境中搜寻凭据窃取活动时
• 当入侵指标表明攻击者已获得提升的权限后
• 当 EDR 针对 LSASS 访问或可疑进程内存读取触发告警时
• 在事件响应期间，确定凭据泄露的范围时
• 在审计 LSASS 保护控制措施（Credential Guard、RunAsPPL）时

前提条件

• 已部署具备 LSASS 访问监控能力的 EDR Agent（CrowdStrike、Defender for Endpoint、SentinelOne）
• 带 LSASS 专用过滤条件的 Sysmon 事件 ID 10（ProcessAccess）
• Windows 安全事件 ID 4656/4663（对象访问审核）
• 已启用 LSASS SACL 审核（Windows 10+）
• 针对 SAM 配置单元访问的注册表审核

工作流

1. 监控 LSASS 进程访问：跟踪所有以可疑访问权限（PROCESS_VM_READ 0x0010、PROCESS_ALL_ACCESS 0x1FFFFF）打开 lsass.exe 句柄的进程。非特权或不寻常的进程访问 LSASS 是强有力的指示。
2. 检测凭据转储工具：搜寻已知工具特征 -- Mimikatz（sekurlsa::logonpasswords）、针对 LSASS 的 procdump.exe、comsvcs.dll MiniDump，以及任务管理器创建 LSASS 转储。
3. 监控 NTDS.dit 访问：检测卷影副本创建（vssadmin、wmic shadowcopy）随后进行 NTDS.dit 文件访问，或 ntdsutil.exe IFM 创建。
4. 跟踪 SAM/SECURITY/SYSTEM 配置单元访问：搜寻针对 SAM、SECURITY 和 SYSTEM 注册表配置单元的 reg.exe save 命令。
5. 检测 DCSync 活动：监控非 DC 账户请求目录复制的情况（事件 4662 带复制 GUID）。
6. 与横向移动关联：凭据转储之后，攻击者通常会横向移动。将凭据访问事件与随后的远程登录尝试关联起来。
7. 评估影响：确定哪些凭据可能已泄露，并启动密码重置。

关键概念

概念	描述
T1003.001	LSASS 内存 -- 从 LSASS 进程转储凭据
T1003.002	安全账户管理器 -- 从 SAM 提取本地账户哈希
T1003.003	NTDS -- 从 Active Directory 数据库提取域哈希
T1003.004	LSA 机密 -- 提取服务账户密码
T1003.005	缓存的域凭据 -- 提取 DCC2 哈希
T1003.006	DCSync -- 从域控制器复制凭据
Credential Guard	基于虚拟化的 LSASS 机密隔离
RunAsPPL	用于 LSASS 的保护进程轻量级（Protected Process Light）

检测查询

Splunk -- LSASS 访问检测

index=sysmon EventCode=10
| where match(TargetImage, "(?i)lsass\.exe$")
| where GrantedAccess IN ("0x1FFFFF", "0x1F3FFF", "0x143A", "0x1F0FFF", "0x0040", "0x1010", "0x1410")
| where NOT match(SourceImage, "(?i)(csrss|lsass|svchost|MsMpEng|WmiPrvSE|taskmgr|procexp|SecurityHealthService)\.exe$")
| table _time Computer SourceImage SourceProcessId GrantedAccess CallTrace

Splunk -- 凭据转储工具检测

index=sysmon EventCode=1
| where match(CommandLine, "(?i)(sekurlsa|lsadump|kerberos::list|crypto::certificates)")
    OR match(CommandLine, "(?i)procdump.*-ma.*lsass")
    OR match(CommandLine, "(?i)comsvcs\.dll.*MiniDump")
    OR match(CommandLine, "(?i)ntdsutil.*\"ac i ntds\".*ifm")
    OR match(CommandLine, "(?i)reg\s+save\s+hklm\\\\(sam|security|system)")
    OR match(CommandLine, "(?i)vssadmin.*create\s+shadow")
| table _time Computer User Image CommandLine ParentImage

KQL -- Microsoft Defender for Endpoint

DeviceEvents
| where Timestamp > ago(7d)
| where ActionType in ("LsassAccess", "CredentialDumpingActivity")
| project Timestamp, DeviceName, AccountName, InitiatingProcessFileName,
    InitiatingProcessCommandLine, ActionType, AdditionalFields
| sort by Timestamp desc

Sigma 规则 -- LSASS 凭据转储

title: LSASS Memory Credential Dumping Attempt
status: stable
logsource:
    product: windows
    category: process_access
detection:
    selection:
        TargetImage|endswith: '\lsass.exe'
        GrantedAccess|contains:
            - '0x1FFFFF'
            - '0x1F3FFF'
            - '0x143A'
            - '0x0040'
    filter:
        SourceImage|endswith:
            - '\csrss.exe'
            - '\lsass.exe'
            - '\MsMpEng.exe'
            - '\svchost.exe'
    condition: selection and not filter
level: critical
tags:
    - attack.credential_access
    - attack.t1003.001

常见场景

1. Mimikatz sekurlsa：通过 sekurlsa::logonpasswords 直接读取 LSASS 内存，以提取明文密码、NTLM 哈希和 Kerberos 票据。
2. ProcDump LSASS：procdump.exe -ma lsass.exe lsass.dmp 创建内存转储，用于离线凭据提取。
3. Comsvcs.dll MiniDump：rundll32.exe comsvcs.dll MiniDump [LSASS_PID] dump.bin full 使用 Windows 内置 DLL 进行 LSASS 转储。
4. NTDS.dit 提取：创建卷影副本并复制 NTDS.dit + SYSTEM 配置单元，用于使用 secretsdump 离线提取域哈希。
5. SAM 配置单元导出：reg save HKLM\SAM sam.save 随后执行 reg save HKLM\SYSTEM system.save，用于提取本地账户哈希。
6. 任务管理器转储：在任务管理器中右键单击 LSASS 以创建内存转储 -- 一个被滥用于凭据窃取的合法工具。

输出格式

Hunt ID: TH-CRED-[DATE]-[SEQ]
Host: [Hostname]
Dumping Method: [LSASS_Access/NTDS/SAM/DCSync]
Source Process: [Tool or process used]
Target: [LSASS/NTDS.dit/SAM/SECURITY]
Access Rights: [Granted access mask]
User Context: [Account performing the dump]
ATT&CK Technique: [T1003.00x]
Risk Level: [Critical/High/Medium]
Credentials at Risk: [Scope assessment]