DCSync Saldırısı, Bilgisayar Korsanlarının Aktif Dizinden Sessizce Parola Karmalarını Çalmasına Nasıl Yardımcı Olur?

Active Directory, çoğu işletmede kimliğin atan kalbidir ve en değerli sırrı, her kullanıcı, hizmet ve makine hesabının şifre karmasıdır. Bir DCSync saldırısı, bir rakibin bir etki alanı denetleyicisine hiç giriş yapmadan, üzerine bir araç bırakmadan veya NTDS.dit veritabanını diskten okumadan bu karmalarla çıkmasına izin verir. Bunun yerine, saldırgan basitçe bir etki alanı denetleyicisinden, etki alanı denetleyicilerinin birbirleriyle senkronize etmek için kullandığı aynı çoğaltma protokolünü kullanarak sırları teslim etmesini ister. Teknik olarak, DCSync bir etki alanı denetleyicisini taklit eder ve Microsoft Directory Replication Service Remote Protocol (MS – DRSR) üzerinden bir dizin çoğaltma isteği yayınlar. İlk dayanak noktasından tam etki alanı hakimiyetine kadar bir DCSync saldırısının aşamaları

DRSUAPI RPC arayüzüne bağlanır ve IDL_DRSGetNCChanges'i arayarak bir hesabın, bir avuç dolusu hesabın veya etki alanındaki her hesabın kimlik bilgilerini ister. Etki alanı denetleyicisi, bir akran DC ile konuştuğuna inanarak, NTLM hash'leri, Kerberos anahtarları ve şifre geçmişi ile yanıt verir. İlk olarak Mimikatz'da Benjamin Delpy ve Vincent Le Toux tarafından silahlandırılan DCSync, artık neredeyse her fidye yazılımı ve ulus devlet oyun kitabında standart bir harekettir. MITRE ATT&CK bunu T1003.006 (OS Kimlik Bilgisi Dampingi: DCSync) olarak kataloglar. Bir izinsiz girişe nerede uyduğuna dair daha geniş bir görünüm için bkz. Active Directory Saldırı Öldürme Zinciri Kontrol Listesi. Şekil 1 — İlk dayanak noktasından tam etki alanı hakimiyetine kadar bir DCSync saldırısının altı aşaması. DCSync Neden Bu Kadar Sessiz ve Tehlikeli?

Kimlik bilgisi hırsızlığı tekniklerinin çoğu yüksek ayak izleri bırakır. LSASS'ın boşaltılması şüpheli süreç erişimini doğurur; NTDS.dit'i bir etki alanı denetleyicisinden çalmak genellikle bir Birim Gölge Kopyası oluşturmak, kilitli bir veritabanını kopyalamak ve SİSTEM kovanını kapmak anlamına gelir — bunların hepsi diske dokunur ve uç nokta alarmlarını açar. DCSync, bu anlatılanların her birini bir kenara bırakır.