QuietPhase

Detecta el reconocimiento de Active Directory antes de que se convierta en una brecha.

QuietPhase es una herramienta de PowerShell que comprueba si tu dominio está configurado para detectar la enumeración de grupos, la fase de reconocimiento silenciosa en la que un atacante mapea quién posee acceso privilegiado. Verifica la política de auditoría de los controladores de dominio, informa qué grupos privilegiados y personalizados están auditados para lecturas de pertenencia y propone (o, si lo eliges, aplica) las correcciones.

La mayoría de las organizaciones alertan cuando alguien cambia un grupo privilegiado. Muy pocas se dan cuenta cuando alguien lee uno. QuietPhase ayuda a cerrar esa brecha y facilita la configuración de grupos honeypot que convierten la enumeración en una alerta de alta confianza.

Lectura de contexto: The Quiet Phase: Why Active Directory Group Enumeration Deserves Your Attention

---

Características

• Comprobación de la política de auditoría en uno o todos los controladores de dominio:
  • Audit Directory Service Access (obligatoria; genera el evento 4662)
  • Audit Security Group Management (recomendada; genera el evento 4799 para grupos Builtin)
  • Force audit policy subcategory settings
• Comprobación de grupos privilegiados que abarca Domain Admins, Enterprise Admins, Schema Admins, Key Admins, Enterprise Key Admins, Group Policy Creator Owners, Administrators, los grupos de operadores Builtin y DnsAdmins. Los grupos se localizan por SID, por lo que funciona en dominios que no están en inglés.
• Conocimiento de AdminSDHolder. Los grupos protegidos (adminCount=1) son restablecidos por SDProp, por lo que también se comprueba y corrige AdminSDHolder.
• Selección de grupos personalizados por nombre parcial, con un selector interactivo (Out-ConsoleGridView). Úsalo para grupos honeypot o cualquier otra cosa que quieras vigilar.
• Resultados con código de colores. Verde significa que el grupo está configurado para auditar la enumeración; amarillo significa que se necesitan cambios.
• Seguro por defecto. Solo informa y no cambia nada. Los cambios se realizan únicamente con -Apply, y cada uno se confirma. Se admite -WhatIf.
• Remediación exportable. -FixScriptPath escribe todos los cambios propuestos en un archivo .ps1 revisable, apto para el control de cambios.
• Escrituras mínimas. Solo se modifica la parte SACL del descriptor de seguridad de un objeto. Nunca se tocan las DACL.

Cómo funciona

Un controlador de dominio registra un evento de enumeración de grupos solo cuando ambas condiciones están presentes:

1. La política Audit Directory Service Access (Success) está habilitada en el DC.
2. El grupo tiene una entrada SACL que audita las lecturas Success del atributo member por parte de Everyone o Authenticated Users.

Cuando ambas son ciertas, cada lectura de pertenencia genera el evento 4662 en el DC que respondió a la consulta. Campos clave:

Campo	Valor	Significado
ObjectName	%{<objectGUID of the group>}	Qué grupo fue leído
Properties	{bf9679c0-0de6-11d0-a285-00aa003049e2}	El atributo member
Properties	{bc0ac240-79a9-11d0-9020-00c04fc2d4cf}	Conjunto de propiedades de pertenencia (a menudo junto al anterior)
AccessMask	0x10	Read Property
SubjectUserName / SubjectUserSid	Cuenta	Quién realizó la lectura
SubjectLogonId	p. ej. 0x3A7F21	Unir con el evento 4624 (TargetLogonId) para obtener la IP de origen y la estación de trabajo

Nota: Las herramientas basadas en SAMR, como net group /domain, no activan esta señal 4662. Cubre esa vía con el registro de creación de procesos (evento 4688 / Sysmon / EDR) o con detecciones de red como Microsoft Defender for Identity.

Requisitos

• PowerShell 7.2 o posterior (requerido por Microsoft.PowerShell.ConsoleGuiTools.)
  • QuietPhase depende de Out-ConsoleGridView, que forma parte del módulo Microsoft.PowerShell.ConsoleHost, el cual es una dependencia de Microsoft.PowerShell.ConsoleGuiTools. Instalado en el ámbito CurrentUser.
• Módulo ActiveDirectory (RSAT)
• Sesión elevada como miembro de Domain Admins (Enterprise Admins para los grupos del nivel raíz del bosque). Leer y escribir SACL requiere Manage auditing and security log (SeSecurityPrivilege) en los DC.
• Acceso WinRM a los DC remotos cuando se comprueba la política de auditoría en más de la máquina local

Uso

# Report only (default): check the discovered DC, privileged groups, then pick custom groups
.\QuietPhase.ps1

# Check audit policy on every DC in the domain
.\QuietPhase.ps1 -AllDomainControllers

# Export proposed fixes for review or change approval
.\QuietPhase.ps1 -AllDomainControllers -FixScriptPath .\QuietPhase-Fix.ps1

# Preview changes, then apply them (each change is confirmed)
.\QuietPhase.ps1 -Apply -WhatIf
.\QuietPhase.ps1 -Apply

# Propose rules for Authenticated Users instead of Everyone
.\QuietPhase.ps1 -Apply -AuditPrincipal AuthenticatedUsers

Parámetros

Parámetro	Predeterminado	Descripción
-Server	DC descubierto	DC o dominio de destino
-AllDomainControllers	Desactivado	Comprobar la política de auditoría en todos los DC, no solo en el de destino
-AuditPrincipal	Everyone	Principal usado para las reglas propuestas: Everyone o AuthenticatedUsers. Cualquiera de los dos cuenta como configurado al comprobar.
-Apply	Desactivado	Aplicar los cambios propuestos, con un aviso de confirmación para cada uno
-SkipCustomGroups	Desactivado	Omitir la fase 3 (selección de grupos personalizados)
-FixScriptPath	Ninguno	Exportar toda la remediación propuesta a un archivo .ps1
-WhatIf / -Confirm	Estándar	Previsualizar cambios o controlar los avisos cuando se usa con -Apply

Las tres fases

1. Política de auditoría. Si Audit Directory Service Access no está habilitada en todos los DC comprobados, QuietPhase imprime la ruta de la GPO y los comandos auditpol para corregirlo, y luego se detiene. Las SACL de grupo no sirven de nada hasta que esto esté en su lugar.
2. Grupos privilegiados conocidos. Se comprueba la SACL de cada grupo y se muestra en verde (configurada) o amarillo (necesita cambios).
3. Grupos personalizados. Introduzca un nombre parcial (se permiten comodines), seleccione las coincidencias en la vista de cuadrícula y repita según sea necesario. Pulse Enter en una línea vacía para finalizar.

Cuando algo necesita cambios, la ejecución termina con un bloque NEXT STEPS de comandos listos para pegar para -Apply, -WhatIf, -FixScriptPath o pasos manuales en ADUC.

Salida de ejemplo

==============================================================================
 PHASE 1 - Domain controller audit policy
==============================================================================
  Domain: contoso.com   Target DC: DC01.contoso.com   DCs checked: 1

  DC01.contoso.com
    Audit Directory Service Access:      Success
    Audit Security Group Management:     Success
    Force audit policy subcategory settings: enabled (or default)

  PHASE 1 PASSED: Directory Service Access auditing is enabled.

==============================================================================
 PHASE 2 - Well-known privileged groups
==============================================================================