mcpField
H
hunting-for-dcsync-attacks

hunting-for-dcsync-attacks

github.com/mukul975安全35.2k49 次安装8 周前更新
代码仓库

关于 hunting-for-dcsync-attacks

用于在 Active Directory 环境中检测 DCSync 凭据窃取的威胁狩猎技能。它指导分析人员审查 Event ID 4662、筛选复制权限、识别非域控制器来源并验证调查结果。

主要功能

  1. 01审查 Windows Event ID 4662
  2. 02筛选目录复制 GUID
  3. 03标记非域控制器来源
  4. 04关联事件与源 IP
  5. 05排除合法复制工具
  6. 06提供事件响应建议

适用场景

  1. 01狩猎 DCSync 凭据窃取
  2. 02调查疑似 Active Directory 遭入侵
  3. 03监控未授权复制请求
  4. 04在紫队演练中测试检测能力

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill hunting-for-dcsync-attacks

安装后在 Claude Code 中输入/hunting-for-dcsync-attacks确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

追踪 DCSync 攻击

何时使用

  • 在追踪 DCSync 凭据窃取时（MITRE ATT&CK T1003.006）
  • 在环境中检测到 Mimikatz 或类似工具后
  • 在涉及 Active Directory 入侵的事件响应期间
  • 在监控未授权的域复制请求时
  • 在测试 AD 攻击检测的紫队演练期间

前置条件

  • 已启用 Windows 安全事件日志转发（事件 ID 4662）
  • 已通过组策略启用审核目录服务访问
  • 已在域对象上配置 Domain Computers SACL 以进行机器账户检测
  • 已摄取 Windows 事件数据的 SIEM（Splunk、Elastic、Sentinel）
  • 了解合法的域控制器账户和复制伙伴

工作流

  1. 启用审核：确保在域控制器上启用审核目录服务访问。
  2. 收集事件：收集 AccessMask 为 0x100（Control Access）的 Windows 事件 ID 4662。
  3. 筛选复制 GUID：搜索 DS-Replication-Get-Changes 和 DS-Replication-Get-Changes-All。
  4. 识别非 DC 来源：标记 SubjectUserName 不是域控制器机器账户的事件。
  5. 与网络关联：将源 IP 与已知 DC 地址进行交叉比对。
  6. 验证发现：排除合法的复制工具（Azure AD Connect、SCCM）。
  7. 响应：禁用已泄露账户，重置 krbtgt，调查横向移动。

关键概念

概念描述
DCSync滥用 AD 复制协议提取密码哈希的技术
事件 ID 4662目录服务访问审核事件
DS-Replication-Get-ChangesGUID 1131f6aa-9c07-11d1-f79f-00c04fc2dcd2
DS-Replication-Get-Changes-AllGUID 1131f6ad-9c07-11d1-f79f-00c04fc2dcd2
AccessMask 0x100表示扩展权限验证的 Control Access 权限
T1003.006OS Credential Dumping: DCSync

工具与系统

工具用途
Windows Event Viewer直接进行事件日志分析
Splunk对事件 4662 进行 SIEM 关联分析
Elastic Security针对 DCSync 模式的检测规则
Mimikatz lsadump::dcsync用于执行 DCSync 的攻击工具
Impacket secretsdump.py基于 Python 的 DCSync 实现
BloodHound识别具有复制权限的账户

输出格式

Hunt ID: TH-DCSYNC-[DATE]-[SEQ]
Technique: T1003.006
Domain Controller: [DC hostname]
Subject Account: [Account performing replication]
Source IP: [Non-DC IP address]
GUID Accessed: [Replication GUID]
Risk Level: [Critical/High/Medium/Low]
Recommended Action: [Disable account, reset krbtgt, investigate]

评论

支持 Markdown