AD_Miner

AD Miner est un outil d'audit Active Directory (sur site et Entra ID) qui :

• Utilise des requêtes Cypher pour analyser les données de la base de données graphe BloodHound (Neo4j).
• Fournit une vue d'ensemble complète des faiblesses existantes via un rapport web statique.

Fonctionnalités des rapports web :

• Listes détaillées des faiblesses identifiées
• Graphiques dynamiques pour une analyse visuelle
• Indicateurs clés historiques pour suivre les évolutions dans le temps
• Évaluations des risques pour prioriser les menaces et les actions

Aperçu rapide d'un rapport

Chemins d'atténuation complets pour les risques Active Directory

Une évaluation basée sur le risque des faiblesses Active Directory, accompagnée de chemins d'atténuation complets.

Une interface web dynamique

Barre de recherche et contrôles soigneusement adaptés pour identifier les configurations les plus risquées.

Suivi de progression via une interface évolutive

Vous pouvez également observer les indicateurs au fil du temps pour aider à mesurer l'efficacité des mesures d'atténuation.

AD Miner a été initialement créé par Forvis Mazars et est maintenu par l'équipe Cybersecurity Audit & Advisory de Grant Thornton.

Prérequis

Pour exécuter AD Miner, vous devez d'abord disposer d'une base de données Neo4j contenant les objets Active Directory :

1. Pour extraire les données du domaine, vous pouvez utiliser des outils comme SharpHound, RustHound-CE ou BloodHound.py et AzureHound pour les environnements EntraID.

[!CAUTION] Nous recommandons vivement l'utilisation de BloodHound Automation, car il installe le plugin Graph Data Science Neo4j, qui :

• améliore considérablement le temps de calcul et les performances globales.
• permet d'utiliser Smartest Path au lieu de la fonction intégrée shortestPath() de Neo4j (c'est-à-dire des chemins plus faciles à exploiter plutôt que le nombre minimal de nœuds).

2. Pour configurer votre environnement BloodHound (y compris l'interface graphique et la base de données Neo4j), BloodHound Automation est fortement recommandé pour son intégration transparente avec le plugin Graph Data Science. Bien qu'il soit tout à fait possible d'utiliser l'installation par défaut de BloodHound CE, sachez que vous passerez à côté des avantages de GDS (par exemple, une recherche de chemin plus intelligente, une amélioration de la vitesse d'exécution, etc.).

3. Par défaut, BloodHound crée une base Neo4j accessible sur le port 7687.

Installation et configuration

La méthode la plus simple consiste à exécuter la commande suivante avec pipx :

pipx install 'git+https://github.com/AD-Security/AD_Miner.git'

ADMiner est également disponible sur certaines distributions Linux :

• BlackArch : pacman -S ad-miner
• NixOS : nix-env -iA nixos.ad-miner

Une image Docker est disponible pour construction. Construisez l'image avec la commande suivante :

docker build -t ad-miner .

Pour exécuter sous Windows avec les données de BloodHound Community Edition, utilisez les commandes ci-dessous :

docker run -v ${PWD}:/tmp ad-miner AD-miner -b bolt://host.docker.internal:7687 -u neo4j -p mypassword -cf VOTRE_PREFIXE

Pour exécuter sous Linux avec les données de BloodHound Community Edition, utilisez les commandes ci-dessous :

docker run -v ${PWD}:/tmp --network host ad-miner AD-miner -b bolt://localhost:7687 -u neo4j -p mypassword -cf VOTRE_PREFIXE

Notez que le montage du volume avec -v est essentiel pour obtenir la sortie des données. Cela suppose que le serveur BHCE fonctionne sur l'hôte Docker avec les paramètres par défaut.

Utilisation

Exécutez l'outil :

AD-miner [-h] [-b BOLT] [-u USERNAME] [-p PASSWORD] [-e EXTRACT_DATE] [-r RENEWAL_PASSWORD] [-a] [-c] [-l LEVEL] -cf CACHE_PREFIX [-ch NB_CHUNKS] [-co NB_CORES] [--rdp] [--evolution EVOLUTION] [--cluster CLUSTER]

Exemple :

AD-miner -cf Mon_Rapport -u neo4j -p mypassword

Des fichiers de cache sont générés à la fin de chaque requête Neo4j. Cette fonctionnalité vous permet de mettre en pause ou d'arrêter AD Miner à tout moment sans perdre les résultats précédemment calculés. Pour utiliser le cache, utilisez le paramètre -c. Les fichiers de cache sont stockés dans le dossier cache_neo4j de votre répertoire courant. Pour que le cache soit utilisé, le nom du rapport doit correspondre au préfixe du fichier de cache :

AD-miner -c -cf Mon_Rapport -u neo4j -p mypassword

Pour mieux gérer les grands ensembles de données, il est possible d'activer le multi-threading et d'utiliser un cluster de bases de données Neo4j, comme dans l'exemple suivant (où le serveur1 gère 32 threads et le serveur2 en gère 16) :

AD-miner -c -cf Mon_Rapport -b bolt://serveur1:7687 -u neo4j -p mypassword  --cluster serveur1:7687:32,serveur2:7687:16

Si la politique de renouvellement des mots de passe est connue, vous pouvez la spécifier à l'aide du paramètre -r pour garantir que les contrôles de renouvellement de mot de passe correspondent aux paramètres de votre environnement (par défaut 90 jours). Par exemple, si la politique de mot de passe est fixée à 180 jours, utilisez la commande suivante :

AD-miner -c -cf Mon_Rapport -b bolt://serveur:7687 -u neo4j -p mypassword -r 180

[!TIP] Le mot de passe par défaut de la base de données Neo4j de Bloodhound CE est bloodhoundcommunityedition ou neo5j si vous utilisez BloodHound Automation

Options :

  -h, --help            affiche ce message d'aide et quitte
  -b BOLT, --bolt BOLT  Connexion bolt Neo4j (par défaut : bolt://127.0.0.1:7687)
  -u USERNAME, --username USERNAME
                        Nom d'utilisateur Neo4j (par défaut : neo4j)
  -p PASSWORD, --password PASSWORD
                        Mot de passe Neo4j (par défaut : bloodhoundcommunityedition)
  -e EXTRACT_DATE, --extract_date EXTRACT_DATE
                        Date d'extraction (ex. : 20220131). Par défaut : date de dernière connexion
  -r RENEWAL_PASSWORD, --renewal_password RENEWAL_PASSWORD
                        Politique de renouvellement des mots de passe en jours. Par défaut : 90
  -c, --cache           Utiliser un fichier local pour les données Neo4j
  -l LEVEL, --level LEVEL
                        Niveau récursif pour les requêtes de chemins
  -cf CACHE_PREFIX, --cache_prefix CACHE_PREFIX
                        Fichier de cache à utiliser (en cas de plusieurs fichiers de cache pour différentes sociétés)
  --gpo_low             Effectue une requête plus rapide mais incomplète pour les GPO (plus rapide que la requête standard)
  -ch NB_CHUNKS, --nb_chunks NB_CHUNKS
                        Nombre de morceaux pour les requêtes Neo4j parallèles. Par défaut : 20 * nombre de CPU
  -co NB_CORES, --nb_cores NB_CORES
                        Nombre de cœurs pour les requêtes Neo4j parallèles. Par défaut : nombre de CPU
  --rdp                 Inclure l'arête CanRDP dans les graphiques
  --evolution EVOLUTION
                        Évolution dans le temps : emplacement des fichiers de données json. ex : '../../tests/'
  --cluster CLUSTER     Nœuds du cluster pour exécuter des requêtes Neo4j parallèles. ex : hôte1:port1:nCœur1,hôte2:port2:nCœur2,...

Dans les pages de graphiques, vous pouvez faire un clic droit sur les nœuds du graphique pour les regrouper ou ouvrir le groupe.

Évolution

Si vous disposez de plusieurs rapports AD-Miner dans le temps, vous pouvez facilement suivre l'évolution avec l'argument --evolution : chaque rapport AD-Miner génère un fichier de données JSON en plus du fichier index.html. Il vous suffit de rassembler ces différents fichiers JSON dans un seul dossier et de spécifier le chemin de ce dossier après l'argument --evolution.

AD-miner -c -cf Mon_Rapport -b bolt://serveur:7687 -u neo4j -p mypassword -r 180 --evolution dossier_evolution/

Un onglet 'Évolution dans le temps' apparaît sur la page principale, fournissant des graphiques d'évolution pour chaque catégorie (Permissions, Mots de passe, Kerberos et Divers).

L'évolution détaillée pour chaque contrôle est également disponible et accessible via le bouton « Afficher l'évolution » pour chaque catégorie. Une échelle logarithmique est disponible pour mieux mettre en évidence les variations subtiles dans le temps.

Chemins les plus intelligents

AD Miner peut calculer des chemins en fonction de leur exploitabilité réelle. En effet, parfois le chemin le plus court est difficile à exploiter (ici à cause de ExecuteDCOM avant HasSession).

Alors qu'un chemin plus long mais plus simple existe (ici avec MemberOf et AdminTo au lieu de ExecuteDCOM).

AD Miner passe automatiquement en mode chemin le plus intelligent lorsque votre base de données Neo4j dispose du plugin Graph Data Science installé (https://neo4j.com/docs/graph-data-science/current/). La manière la plus simple d'installer ce plugin est de définir une variable d'environnement dans votre Docker Neo4j : NEO4J_PLUGINS=["graph-data-science"] (il est installé par défaut avec BloodHound Automation).

Actuellement, 10 contrôles utilisent une couverture complète du graphe et optimisent les chemins les plus intelligents pour l'analyse.

Contrôles implémentés

La liste suivante répertorie les contrôles déjà implémentés dans AD Miner :

Contrôles pour l'environnement sur site

Contrôles pour Entra ID

Contribuer

Consultez comment contribuer ici.