DCShadow-Angriffe erkennen und sich dagegen verteidigen

Erkennung von DCShadow-Angriffen

Die Erkennung von DCShadow-Angriffen erfordert eine Kombination aus präzisem Monitoring und einer gründlichen Analyse der AD-Umgebung:

Überwachung von Event-Logs

Eine effektive Methode zur Erkennung von DCShadow-Angriffen ist die Überwachung spezifischer Ereignisprotokolle auf den DCs. Hier sind die wichtigsten Ereignis-IDs:

1. Event ID 4672: Privileged Account Logon – Dieses Ereignis zeigt an, dass ein Konto mit hohen Rechten sich angemeldet hat.
2. Event ID 5136: Directory Service Changes – Dieses Ereignis protokolliert Änderungen an AD-Objekten.
3. Event ID 4929: Active Directory Replication – Dieses Ereignis zeigt an, dass eine Replikation stattgefunden hat.

Durch die Konfiguration eines SIEM (Security Information and Event Management) Systems können diese Events korreliert und Alarme ausgelöst werden.

Beispielsweise kann folgendes PowerShell-Skript kann zur Überwachung verdächtiger Ereignisse genutzt werden:

# PowerShell-Skript zur Überwachung von Event IDs 4672, 5136 und 4929

$eventIDs = @(4672, 5136, 4929)
Get-WinEvent -FilterHashtable @{LogName='Security'; ID=$eventIDs} | ForEach-Object {

    # Logik zur Verarbeitung und Alarmierung
    if ($_.ID -eq 4672) {
        Write-Output "Privileged Account Logon detected: $($_.Message)"
    } elseif ($_.ID -eq 5136) {
        Write-Output "Directory Service Change detected: $($_.Message)"
    } elseif ($_.ID -eq 4929) {
        Write-Output "AD Replication Event detected: $($_.Message)"

Netzwerkbasierte Erkennung

Ein weiterer fortgeschrittener Ansatz zur Erkennung von DCShadow-Angriffen ist die Überwachung des Netzwerkverkehrs. DCShadow kann auf Netzwerkebene durch Überwachung von API-Aufrufen wie DrsAddEntry oder DrsReplicaAdd erkannt werden, da diese normalerweise nur von einem legitimen DC ausgeführt werden. Tools wie Zeek und Wireshark können verwendet werden, um solche Aufrufe zu identifizieren und zu analysieren.

Forensische Analyse und Metadatenänderung

Ein wesentlicher Aspekt bei DCShadow-Angriffen ist die Manipulation der Replikationsmetadaten, was die forensische Analyse erheblich erschwert. DCShadow ändert die Metadaten so, dass die Quelle der Änderungen nicht mehr korrekt nachvollziehbar ist. Dadurch werden herkömmliche forensische Methoden, die sich auf diese Metadaten stützen, unzuverlässig.

Die Herausforderungen bei der forensischen Analyse umfassen:

• Manipulierte Änderungsprotokolle: Angreifer können Änderungen vornehmen, ohne dass diese eindeutig zugeordnet werden können.
• Verfälschte Replikationsereignisse: Die Quelle und der Zeitpunkt der Replikation werden verschleiert, was die Nachverfolgung des Angriffs erschwert.

Beispiel: Forensische Analyse von Replikationsmetadaten

$replicationMetadata = Get-ADReplicationAttributeMetadata -Object "CN=User,DC=domain,DC=com" -Server "DC1"
foreach ($attribute in $replicationMetadata) {
    Write-Output "Attribute: $($attribute.AttributeName)"
    Write-Output "Version: $($attribute.Version)"
    Write-Output "Last Originating Change: $($attribute.LastOriginatingChange)"
    Write-Output "Originating DC: $($attribute.OriginatingDsaGuid)"

In diesem Beispiel wird das PowerShell-Cmdlet Get-ADReplicationAttributeMetadata verwendet, um die Replikationsmetadaten eines AD-Objekts zu überprüfen. Manipulierte Metadaten können hier identifiziert werden, indem Unstimmigkeiten bei der LastOriginatingChange und OriginatingDsaGuid analysiert werden.

Netzwerkverkehrsanalyse

Ein weiterer Ansatz zur Erkennung von DCShadow-Angriffen ist die Überwachung des Netzwerkverkehrs auf Anomalien. Tools wie Zeek (früher bekannt als Bro) und Wireshark können verwendet werden, um ungewöhnlichen Datenverkehr zu identifizieren, der auf eine illegitime Replikation hinweist.

Zeek-Skript zur Überwachung von Replikationsverkehr:

event smb1_request(c: connection, hdr: smb_hdr) {

    if (hdr.cmd == SMB_COM_TRANSACTION2_SECONDARY) {
        # Logik zur Erkennung verdächtigen Replikationsverkehrs
        if (c$orig$ip == <IP_des_kompromittierten_Servers>) {
            print(fmt("Suspicious replication traffic detected from %s", c$orig$ip));