Cyber Security: Источник Active Directory

Описание источника

Источник объединяет журналы событий контроллеров домена Active Directory. Правила источника выявляют атаки на протоколы аутентификации Kerberos и NTLM, перебор и распыление паролей, изменения привилегированных групп и объектов каталога, атаки на репликацию (DCSync, DCShadow) и на службы сертификации Active Directory (AD CS).

Правила анализируют события аутентификации и изменения каталога на контроллерах домена и сопоставляют события разных контроллеров. Для обнаружения инструментов атак на каталог правила дополнительно используют события с хостов домена.

Требования к сбору

• журнал Security собирается со всех контроллеров домена. Если контроллер пропущен, правила пропускают атаки и дают ложные срабатывания при сопоставлении событий разных контроллеров
• политика аудита контроллеров домена, включая подкатегории Directory Service Access, Directory Service Changes, Kerberos Authentication Service, Kerberos Service Ticket Operations, Computer Account Management и Certification Services, см. Настройка источников на инфраструктуре
• списки управления доступом (SACL) на объектах каталога для событий 4662 и 5136

Покрытие MITRE ATT&CK

Правила источника охватывают следующие тактики.

• разведка
• первоначальный доступ
• выполнение
• закрепление
• повышение привилегий
• скрытность
• ослабление защиты
• получение учетных данных
• изучение
• перемещение внутри периметра
• сбор данных
• командование и управление
• эксфильтрация
• деструктивное воздействие

Справочники

Правила источника обогащают инциденты контекстом из справочников инфраструктуры и учетных записей, а по справочникам исключений отсекают штатную активность. Требования к наполнению описаны в разделе Справочники.

Документы в поставке модуля

Перечень правил источника с тактиками и техниками MITRE ATT&CK, идентификаторами и используемыми справочниками приведен в документе «Описание экспертизы Cyber Security», который поставляется вместе с модулем.