← Active Directory

Angriffspfade & Abwehr

Vier Funde, Kapazität für einen. Das knackbare Dienstkonto klingt dringlicher — der Anwendungsserver mit unbeschränkter Delegation, an dem sich Administratoren anmelden, ist es. Angriffspfade sind Graphen, keine Listen: Die Knoten sind Objekte, die Kanten sind Rechte und Anmeldungen, und keine einzelne Kante ist falsch vergeben — erst ihre Verkettung ergibt einen Weg. Dieses Modul behandelt die bekannten AD-Pfade aus Verteidigersicht: Roasting als Offline-Angriff auf Entropie, Replikationsrechte als Domänen-Geheimnisse, unbeschränkte Delegation als stille Tier-0-Erhebung eines gewöhnlichen Servers, gefälschte Tickets samt der Frage, warum krbtgt zweimal zurückgesetzt werden muss — und die Reihenfolge der Eindämmung, wenn ein Fund kein Konfigurationsfehler mehr ist.

Fortgeschritten · ~25 Min · 12 Abschnitte Einführung · 9 Übungen (davon 1 Mission)

Modul starten →

Fortschritt wird gespeichert — du kannst das Modul später jederzeit fortsetzen.

Nur den Lehrtext lesen →

Das kannst du danach

  • ✓Funde danach priorisieren, wie stark sie einen Pfad nach Tier 0 verkürzen — statt nach ihrer Bezeichnung.
  • ✓Zu jedem Pfad die Abwehr der richtigen Ebene zuordnen: Ursache, Härtung oder Erkennung.
  • ✓Bei einem bestätigten Fund entscheiden, ob Beweissicherung oder sofortige Eindämmung vorgeht.

Übungen

  • 1. EntscheidungWelcher Fund gehört zuerst bearbeitet?
  • 2. EntscheidungWas ist die richtige, sichere Korrektur?
  • 3. EntscheidungWelche Maßnahme reduziert den Angriffspfad am wirksamsten, ohne den Dienst blind abzuschalten?
  • 4. EntscheidungWie reagierst du sicher und fachlich richtig?
  • 5. EntscheidungWelche Zielarchitektur schließt den gefährlichen Pfad am besten?
  • 6. EntscheidungWie bewertest und behandelst du den Fund?
  • 7. EntscheidungWelche Reaktion ist angemessen?
  • 8. EntscheidungWas tust du zuerst?
  • 9. DiagnoseThreat Hunt: Replikation aus dem falschen Schatten
Quellen & Aktualität25 Primärquellen · zuletzt geprüft:
  1. 01MITRE ATT&CK T1558.003 — Steal or Forge Kerberos Tickets: Kerberoasting
  2. 02MITRE ATT&CK T1558.004 — Steal or Forge Kerberos Tickets: AS-REP Roasting
  3. 03MITRE ATT&CK T1003.006 — OS Credential Dumping: DCSync
  4. 04MITRE ATT&CK T1558.001 / T1558.002 — Golden Ticket / Silver Ticket; T1187 — Forced Authentication
  5. 05Microsoft Learn — Group Managed Service Accounts (gMSA) Overview
  6. 06Microsoft Learn — Kerberos Pre-Authentication (Do not require Kerberos preauthentication)
  7. 07Microsoft Learn — Protected Users Security Group und „Account is sensitive and cannot be delegated“
  8. 08Microsoft Learn — AdminSDHolder, Protected Accounts and Groups, SDProp
  9. 09Microsoft / CISA — KRBTGT account maintenance und Reset-Guidance (Passwort-Historie 2, zweimaliges Zurücksetzen mit Replikation)
  10. 10learn.microsoft.com/en-us/windows-server/ident…ing-active-directory
  11. 11learn.microsoft.com/en-us/windows-server/secur…hentication-overview
  12. 12Microsoft Learn — Kerberos preauthentication and the 'Do not require Kerberos preauthentication' account option
  13. 13Microsoft Learn — Group Managed Service Accounts overview
  14. 14Microsoft Learn — Replicating Directory Changes permission
  15. 15Microsoft Learn — Kerberos constrained delegation overview
  16. 16Microsoft Learn — Resource-based constrained delegation
  17. 17Microsoft Learn — Protected Users security group
  18. 18Microsoft Learn — Active Directory access control and ACLs
  19. 19MITRE ATT&CK T1098 — Account Manipulation
  20. 20MITRE ATT&CK T1558.001 — Golden Ticket
  21. 21Microsoft Learn — AD Forest Recovery: Reset the krbtgt password
  22. 22Microsoft Learn — AD Forest Recovery: Determine how to recover the forest
  23. 23attack.mitre.org/detectionstrategies/DET0594
  24. 24learn.microsoft.com/en-us/troubleshoot/windows…mission-adma-service
  25. 25learn.microsoft.com/en-us/entra/identity/hybri…ds-connector-account

Verfasst von Julian Zentgraf