Ich benötige weitere Informationen

Schauen Sie sich unseren RPC Firewall Blogbeitrag oder unseren BlackHat-Vortrag an, um ein besseres Verständnis von RPC, RPC-Angriffen und der Lösung – der RPC Firewall – zu erhalten.

Treten Sie unserem |Zero| Labs Slack Community Workspace bei, um Fragen zu stellen, Probleme zu melden oder einfach etwas loszuwerden.

Wir freuen uns auch über eine E-Mail (falls Sie zu den Menschen gehören, die dies bevorzugen). Kontaktieren Sie uns unter [email protected]

Erste Schritte

Das folgende Tutorial zeigt die grundlegende Installation und Einrichtung der RPC Firewall sowie eine Demonstration, wie sie vor verschiedenen RPC-basierten Angriffen schützt.

Warum sollte mich das interessieren?

RPC ist der zugrundeliegende Mechanismus, der für zahlreiche laterale Bewegungen, Aufklärungs- und Relay-Angriffe genutzt wird oder einfach dazu dient, verwundbare RPC-Dienste auszunutzen.

DCSync-Angriff? über RPC. Remote DCOM? über RPC. WMIC? über RPC. SharpHound? über RPC. PetitPotam? über RPC. PsExec? über RPC. ZeroLogon? über RPC... Nun, Sie verstehen, worauf ich hinaus will :)

Terminologie?

In diesem Dokument werden die folgenden Begriffe verwendet:

• RPC Firewall: Bezieht sich auf die eigentliche RpcFirewall.dll, die in verschiedene RPC-Server geladen wird, um diese zu schützen.
• RPC Filters: Bezieht sich auf den nativen Windows-RPC-Filtermechanismus.
• RPCFW Configuration: Bezieht sich auf die Datei RpcFw.conf, mit der gesteuert wird, wie sich RPC Firewall und RPC Filters verhalten.
• RPCFW Manager: Die Befehlszeilenschnittstelle, die Benutzern Zugriff auf sowohl RPC Firewall als auch RPC Filters bietet.

Wofür wird es verwendet?

Forschung

Kann verwendet werden, um alle entfernten RPC-Aufrufe zu auditieren. Sobald Sie ein entferntes Angriffswerkzeug ausführen, sehen Sie, welche RPC-UUIDs und Opnums remote aufgerufen wurden.

Eine Beispielkonfiguration finden Sie hier.

Erkennung von Remote-RPC-Angriffen

Wenn die RPCFW Configuration für das Auditieren konfiguriert ist, werden Ereignisse in das Windows-Ereignisprotokoll geschrieben. RPC Filter-Ereignisse werden mit der Ereignis-ID 5712 in das Sicherheitsprotokoll geschrieben. RPC Firewall-Protokolle werden unter Anwendung/RPCFW geschrieben.

Benutzer können diese Protokolle an ihr SIEM weiterleiten und damit Basislinien des entfernten RPC-Verkehrs für verschiedene Server erstellen. Sobald ein anormaler RPC-Aufruf auditiert wird, nutzen Sie dies, um eine Warnung für Ihr SOC-Team auszulösen.

Wir haben mehrere Sigma-Regeln integriert, mit denen ungewöhnliche RPC-Aktivitäten und Angriffe erkannt werden können.

Verhinderung von Remote-RPC-Angriffen

Die RPCFW Configuration kann so konfiguriert werden, dass nur potenziell bösartige RPC-Aufrufe blockiert und auditiert werden. Alle anderen RPC-Aufrufe werden nicht auditiert, um die Rauschunterdrückung zu verbessern und die Leistung zu steigern.

Sobald ein potenziell bösartiger RPC-Aufruf erkannt wird, wird er blockiert und auditiert. Dies kann verwendet werden, um Ihr SOC-Team zu alarmieren, während Ihre Server geschützt bleiben.

Als ergänzenden Schutz können Sie die RPC-Filterfunktionen nutzen, die ebenfalls über die RpcFwManager.exe unterstützt werden.

Ein Beispiel für eine solche Konfiguration finden Sie hier.

Was sind die Komponenten der RPC Firewall?

Sie besteht aus 3 Komponenten:

1. RpcFwManager.exe – Fungiert als eigenständiges Befehlszeilenverwaltungstool für RPC Filters und die RPC Firewall-Bereitstellung. Fungiert auch als installierter Dienst zur Bereitstellung der RPC Firewall.
2. RpcFirewall.dll – Eine injizierte DLL, die das Auditieren und Filtern von RPC-Aufrufen durchführt.
3. RpcMessages.dll – Eine gemeinsame Bibliothek zum Teilen von Funktionen und Logik, die Daten in die Windows-Ereignisanzeige schreibt.

RPC Firewall oder RPC Filter verwenden?

Obwohl die Verwendung beider Methoden Vor- und Nachteile hat, gibt es einige wesentliche Vorteile der RPC Firewall, die besondere Beachtung verdienen. Diese sind:

1. Granularität: Die RPC Firewall wird für jeden RPC-Aufruf angewendet und kann zur Erstellung detaillierterer Steuerungen für bestimmte RPC-Funktionen verwendet werden.
2. Quelladresserkennung: RPC Firewall kann die Quelladresse des Aufrufers besser bestimmen. RPC Filters können die Quelladresse von Aufrufen über Named Pipes (SMB) nicht identifizieren, was bedeutet, dass RPC-Filterregeln für RPC-Aufrufe über Named Pipes fehlschlagen!!!
3. Fehler!: RPC Filters leidet unter verschiedenen Fehlern, deren Behebung von Microsoft nicht forciert wird. Einige Beispiele: IP-Bereiche funktionieren nicht, und es kann kein „Catch-All“-Filter angewendet werden, da dies mehrere Domain Controller-Dienste wie NetLogon beschädigen könnte.

Andererseits eignen sich RPC Filters hervorragend für das pauschale Zulassen oder Verweigern ganzer UUIDs, da dies problemlos funktioniert.

Wie verwenden?

Status prüfen

Vor der Ausführung eines Befehls wird empfohlen, den Status der Bereitstellung zu überprüfen. Dies geschieht mit dem Befehl '/status':

RpcFwManager.exe /status

Dies zeigt den Status sowohl der RPC Firewall als auch der RPC Filters an. Es werden detaillierte Informationen zum Installationsstatus sowie zum Betriebsstatus der Bereitstellung ausgegeben.

Die Suffixe 'fw' / 'flt'

Fast jeder Befehl kann mit fw oder flt am Ende versehen werden. Dies teilt dem RPCFW Manager mit, ob der Befehl auf RPC Firewall ('fw'), RPC Filters ('flt') oder beide (wenn kein Suffix verwendet wird) angewendet wird.

Installieren / Deinstallieren

Führen Sie die Installation der entsprechenden Funktion durch (RPC Filters / RPC Firewall / beide).

• Installation der RPC Firewall: Konfiguriert das Ereignisprotokoll, legt die relevanten DLLs im Ordner %SystemRoot%\System32 ab und konfiguriert das Anwendungsprotokoll RPCFW für die Ereignisanzeige. Installiert auch den Dienst „RPC Firewall“, der für die Persistenz verwendet wird.
• Installation der RPC Filters: Aktiviert die Sicherheitsüberwachung von RPC-Ereignissen. Diese finden Sie unter dem Sicherheitsprotokoll mit der Ereignis-ID 5712.

Stellen Sie sicher, dass die Ereignisanzeige während der Installation/Deinstallation geschlossen ist. Es ist außerdem empfehlenswert, vor der Installation zu stoppen und zu deinstallieren, um sicherzustellen, dass keine älteren Versionen installiert sind.

RpcFwManager.exe /stop
RpcFwManager.exe /uninstall
RpcFwManager.exe /install

Die Deinstallation führt das Gegenteil durch. Auch hier ist es empfehlenswert, den Dienst vor der Deinstallation zu stoppen.

RpcFwManager.exe /stop
RpcFwManager.exe /uninstall