جمع عمليات تسجيل الدخول من Azure AD

يجمع المُجمع عمليات تسجيل الدخول الناجحة من الأجهزة المختلطة أو المنضمة إلى Azure AD فقط. تمثل عمليات تسجيل الدخول هذه تحركات ناجحة بين الأصول في بيئة Azure AD والبيئة المحلية أو العكس. يتطلب المُجمع المعلومات التالية لجمع البيانات:

1. Tenant ID
2. User without 2FA
3. Password
4. Client ID
5. Client Secret يمكنك استخدام تطبيق محدد مسبقًا أو إنشاء تطبيق جديد.

المحلل

يتلقى المحلل كمدخل جدول بيانات يحتوي على بيانات مصادقة منسقة كما هو محدد في هيكل خرج المُجمع. يبحث عن نشاط مشبوه باستخدام خوارزمية تحليل الحركة الجانبية ويكتشف أيضًا مؤشرات إضافية (IoCs) للحركة الجانبية. يجب أن يكون مصدر المصادقة ووجهتها بصيغة اسم netbios وليس عناوين IP.

مقدمات ومفاهيم أساسية لخوارزمية LATMA

تستلم LATMA مجموعة من طلبات المصادقة وترسل تنبيهًا عندما تجد هجمات حركة جانبية مشبوهة. نعرّف ما يلي:

• رسم بياني للمصادقة: رسم بياني موجه يحتوي على معلومات حول حركة المصادقة في البيئة. عُقد الرسم البياني هي أجهزة الكمبيوتر، والحواف هي عمليات المصادقة بين أجهزة الكمبيوتر. تحتوي حواف الرسم البياني على السمات: نوع البروتوكول، تاريخ المصادقة، والحساب الذي أرسل الطلب. تحتوي عُقد الرسم البياني على معلومات حول الكمبيوتر الذي تمثله، موضحة أدناه.

• رسم بياني للحركة الجانبية: رسم بياني فرعي من رسم المصادقة يمثل حركة المهاجم. ليس دائمًا مسارًا في الرسم البياني الفرعي، ففي بعض الهجمات يذهب المهاجم في اتجاهات مختلفة كثيرة.

• تنبيه: رسم بياني فرعي يشتبه الخوارزمية بأنه جزء من رسم الحركة الجانبية.

تقوم LATMA بعدة إجراءات أثناء تنفيذها:

• جمع المعلومات: تراقب LATMA السلوك الطبيعي للمستخدمين والأجهزة وتصنفهم. يُستخدم التعلم لاحقًا لتحديد طلبات المصادقة التي تنحرف عن السلوك الطبيعي والتي قد تكون جزءًا من هجوم حركة جانبية. خلال فترة تعلم مدتها ثلاثة أسابيع، لا تصدر LATMA أي تنبيهات وتتعلم البيئة فقط. يستمر التعلم بعد تلك الأسابيع الثلاثة.

• بناء رسم المصادقة: بعد فترة التعلم، تُضاف كل مصادقة ذات صلة إلى رسم المصادقة. من المهم تصفية المصادقات ذات الصلة فقط، وإلا قد يصبح عدد الحواف في الرسم كبيرًا جدًا. نصنف على أنواع البروتوكولات التالية: NTLM و Kerberos مع الخدمات "rpc" و "rpcss" و "termsrv".

معالجة التنبيهات:

قد تؤدي إضافة مصادقة إلى الرسم البياني إلى إطلاق عملية تنبيه. بشكل عام، يمكن لحافة جديدة أن تنشئ تنبيهًا جديدًا، أو تنضم إلى تنبيه موجود، أو تدمج تنبيهين.

جمع المعلومات

يُستخدم كل طلب مصادقة تراقبه LATMA للتعلم ويُخزن في بنية بيانات مخصصة. أولاً، نحدد الـ sinks والـ hubs. نعرف الـ sinks كأجهزة يُصل إليها العديد من الحسابات (50 حسابًا مختلفًا على الأقل)، مثل بوابة الشركة أو خادم Exchange. نعرف الـ hubs كأجهزة يصادق منها العديد من الحسابات المختلفة (20 حسابًا على الأقل)، مثل الوكلاء وVPNs. تعتبر المصادقات إلى sinks أو من hubs حميدة وبالتالي تُزال من رسم المصادقة.

بالإضافة إلى التصنيف الأساسي، تقوم LATMA بمطابقة الحسابات مع الأجهزة التي يصادقون منها بشكل متكرر. إذا صادق حساب من جهاز لمدة ثلاثة أيام مختلفة على الأقل في فترة ثلاثة أسابيع، فهذا يعني أن هذا الحساب يطابق الجهاز، وأي مصادقة لهذا الحساب من هذا الجهاز تعتبر حميدة وتُزال من رسم المصادقة.

مؤشرات الحركة الجانبية (IoCs) هي:

White  cane  - حسابات مستخدمين تصادق من جهاز واحد إلى عدة أجهزة في وقت قصير نسبيًا.

Bridge - حساب مستخدم X يصادق من جهاز A إلى جهاز B، وبعد ذلك، من جهاز B إلى جهاز C. يشير هذا المؤشر محتمل إلى مهاجم يتقدم فعليًا من موطئ القدم الأولي (A) إلى الجهاز الهدف الذي يخدم أهداف الهجوم بشكل أفضل.

Switched Bridge - حساب مستخدم X يصادق من جهاز A إلى جهاز B، يليه حساب مستخدم Y يصادق من جهاز B إلى جهاز C. يشير هذا المؤشر محتمل إلى مهاجم يكتشف حسابًا إضافيًا ويخترقه على طول مساره ويستخدم الحساب الجديد للتقدم إلى الأمام (مثال شائع هو حساب X كمستخدم دومين عادي وحساب Y كمستخدم مسؤول)

Weight Shift - العصا البيضاء (انظر أعلاه) من جهاز A إلى أجهزة {B1,…, Bn}، تليها عصا بيضاء أخرى من جهاز Bx إلى أجهزة {C1,…,Cn}. يشير هذا المؤشر محتمل إلى مهاجم قرر أن الجهاز B سيخدم أغراض الهجوم بشكل أفضل ومن الآن فصاعدًا يستخدم الجهاز B كمصدر لعمليات بحث إضافية.

Blast - حساب مستخدم X يصادق من جهاز A إلى عدة أجهزة في إطار زمني قصير جدًا. مثال شائع هو مهاجم يزرع أو ينفذ برامج فدية على عدد كبير من الأجهزة في وقت واحد

الخرج:

يخرج المحلل عدة ملفات مختلفة

1. جدول بيانات يحتوي على جميع المصادقات المشتبه بها (all_authentications.csv) وتصنيف دورها، وجدول بيانات آخر للمصادقات المشتبه بأنها جزء من الحركة الجانبية (propagation.csv)
2. ملف GIF يمثل التقدم، حيث يحدد كل إطار من إطارات GIF بالضبط ما هو الإجراء المشبوه
3. خط زمني تفاعلي مع جميع الأحداث المشبوهة. الأحداث المرتبطة ببعضها لها نفس اللون

التبعيات:

1. Python 3.8
2. libraries as follows in requirements.txt
3. Run pip install . for running setup automatically
4. تدقيق Kerberos و NTLM عبر البيئة
5. استعلامات LDAP لوحدات تحكم الدومين
6. بيانات اعتماد مسؤول الدومين أو أي بيانات اعتماد مع صلاحيات عارض الأحداث عن بعد MS-EVEN6.

الاستخدام

المُجمع

الوسائط المطلوبة:

1. credentials [domain.com/]username[:password] credentials format بدلاً من ذلك [domain.com/]username ثم سيُطلب كلمة المرور بشكل آمن. بالنسبة للدومين، يرجى إدخال FQDN (اسم النطاق المؤهل بالكامل). الوسائط الاختيارية:
2. -ntlm استرداد سجلات مصادقة ntlm من DC
3. -kerberos استرداد سجلات مصادقة kerberos من جميع أجهزة الكمبيوتر في الدومين
4. -debug تشغيل إخراج DEBUG
5. -help عرض رسالة المساعدة هذه والخروج
6. -filter الاستعلام عن وحدة تنظيمية (OU) أو حاوية معينة في الدومين، سينتج جميع محطات العمل في الوحدة الفرعية أيضًا. ستكون كل OU بتنسيق DN (الاسم المميز). يدعم عدة OUs مع فاصل منقوطة. مثال: OU=subunit,OU=unit;OU=anotherUnit,DC=domain,DC=com مثال: CN=container,OU=unit;OU=anotherUnit,DC=domain,DC=com
7. -date تاريخ البدء لجمع سجلات الأحداث منه. صيغة شهر-يوم-سنة، إذا لم يتم تحديده، يأخذ جميع البيانات المتاحة
8. -threads عدد سلاسل العمليات العاملة لاستخدامها
9. -ldap استخدام LDAP غير آمن بدلاً من LDAP/S
10. -ldap_domain دومين مخصص لبيانات اعتماد تسجيل الدخول ldap. إذا كان فارغًا، سيستخدم دومين جلسة المستخدم الحالي

استخدام الثنائي افتح موجه الأوامر وانتقل إلى مجلد الثنائي. قم بتشغيل الملفات التنفيذية باستخدام الوسائط المحددة أعلاه.

أمثلة

في ملفات الأمثلة، لديك عدة عينات من بيئات حقيقية (بعضها يحتوي على هجمات حركة جانبية والبعض الآخر لا) يمكنك إعطاؤها كمدخل للمحلل.

مثال استخدام

1. python eventlogcollector.py domain.com/username:password -ntlm -kerberos