QuietPhase

Détectez la reconnaissance Active Directory avant qu'elle ne devienne une violation.

QuietPhase est un outil PowerShell qui vérifie si votre domaine est configuré pour détecter l'énumération de groupes, la phase de reconnaissance discrète où un attaquant cartographie qui détient un accès privilégié. Il vérifie la politique d'audit des contrôleurs de domaine, signale quels groupes privilégiés et personnalisés sont audités pour les lectures d'appartenance, et propose (ou, si vous le choisissez, applique) les correctifs.

La plupart des organisations alertent lorsqu'une personne modifie un groupe privilégié. Très peu remarquent lorsqu'une personne en lit un. QuietPhase aide à combler cet écart et facilite la mise en place de groupes honeypot qui transforment l'énumération en alerte à haute confiance.

Lecture de contexte : The Quiet Phase: Why Active Directory Group Enumeration Deserves Your Attention

---

Fonctionnalités

• Vérification de la politique d'audit sur un ou tous les contrôleurs de domaine :
  • Audit Directory Service Access (requis ; génère l'événement 4662)
  • Audit Security Group Management (recommandé ; génère l'événement 4799 pour les groupes Builtin)
  • Force audit policy subcategory settings
• Vérification des groupes privilégiés couvrant Domain Admins, Enterprise Admins, Schema Admins, Key Admins, Enterprise Key Admins, Group Policy Creator Owners, Administrators, les groupes d'opérateurs Builtin et DnsAdmins. Les groupes sont localisés par SID, ce qui fonctionne sur les domaines non anglophones.
• Prise en compte d'AdminSDHolder. Les groupes protégés (adminCount=1) sont réinitialisés par SDProp, donc AdminSDHolder est également vérifié et corrigé.
• Sélection de groupes personnalisés par nom partiel, avec un sélecteur interactif (Out-ConsoleGridView). Utilisez-le pour les groupes honeypot ou tout autre élément que vous souhaitez surveiller.
• Résultats colorés. Le vert signifie que le groupe est configuré pour auditer l'énumération ; le jaune signifie que des modifications sont nécessaires.
• Sûr par défaut. Il se contente de signaler et ne modifie rien. Les modifications ne sont effectuées qu'avec -Apply, et chacune est confirmée. -WhatIf est pris en charge.
• Remédiation exportable. -FixScriptPath écrit toutes les modifications proposées dans un fichier .ps1 vérifiable, adapté au contrôle des changements.
• Écritures minimales. Seule la partie SACL du descripteur de sécurité d'un objet est modifiée. Les DACL ne sont jamais touchées.

Fonctionnement

Un contrôleur de domaine journalise un événement d'énumération de groupe uniquement lorsque ces deux conditions sont réunies :

1. La politique Audit Directory Service Access (Succès) est activée sur le DC.
2. Le groupe possède une entrée SACL auditant les lectures Succès de l'attribut member par Everyone ou Authenticated Users.

Lorsque les deux sont vraies, chaque lecture d'appartenance génère l'événement 4662 sur le DC qui a répondu à la requête. Champs clés :

Champ	Valeur	Signification
ObjectName	%{<objectGUID of the group>}	Quel groupe a été lu
Properties	{bf9679c0-0de6-11d0-a285-00aa003049e2}	L'attribut member
Properties	{bc0ac240-79a9-11d0-9020-00c04fc2d4cf}	Ensemble de propriétés d'appartenance (souvent en parallèle)
AccessMask	0x10	Read Property
SubjectUserName / SubjectUserSid	Compte	Qui a effectué la lecture
SubjectLogonId	ex. 0x3A7F21	À joindre à l'événement 4624 (TargetLogonId) pour l'IP source et le poste de travail

Remarque : les outils basés sur SAMR tels que net group /domain ne déclenchent pas ce signal 4662. Couvrez ce chemin avec la journalisation de création de processus (événement 4688 / Sysmon / EDR) ou des détections réseau telles que Microsoft Defender for Identity.

Prérequis

• PowerShell 7.2 ou ultérieur (requis par Microsoft.PowerShell.ConsoleGuiTools.)
  • QuietPhase s'appuie sur Out-ConsoleGridView, qui fait partie du module Microsoft.PowerShell.ConsoleHost, lui-même une dépendance de Microsoft.PowerShell.ConsoleGuiTools. Installé dans la portée CurrentUser.
• Module ActiveDirectory (RSAT)
• Session élevée en tant que membre de Domain Admins (Enterprise Admins pour les groupes de la racine de forêt). La lecture et l'écriture des SACL nécessitent Manage auditing and security log (SeSecurityPrivilege) sur les DCs.
• Accès WinRM aux DCs distants lors de la vérification de la politique d'audit sur plus que la machine locale

Utilisation

# Report only (default): check the discovered DC, privileged groups, then pick custom groups
.\QuietPhase.ps1

# Check audit policy on every DC in the domain
.\QuietPhase.ps1 -AllDomainControllers

# Export proposed fixes for review or change approval
.\QuietPhase.ps1 -AllDomainControllers -FixScriptPath .\QuietPhase-Fix.ps1

# Preview changes, then apply them (each change is confirmed)
.\QuietPhase.ps1 -Apply -WhatIf
.\QuietPhase.ps1 -Apply

# Propose rules for Authenticated Users instead of Everyone
.\QuietPhase.ps1 -Apply -AuditPrincipal AuthenticatedUsers

Paramètres

Paramètre	Valeur par défaut	Description
-Server	DC découvert	DC ou domaine ciblé
-AllDomainControllers	Désactivé	Vérifier la stratégie d'audit sur chaque DC, pas seulement sur la cible
-AuditPrincipal	Everyone	Principal utilisé pour les règles proposées : Everyone ou AuthenticatedUsers. L'un ou l'autre est considéré comme configuré lors de la vérification.
-Apply	Désactivé	Appliquer les modifications proposées, avec une invite de confirmation pour chacune
-SkipCustomGroups	Désactivé	Ignorer la phase 3 (sélection de groupes personnalisés)
-FixScriptPath	Aucun	Exporter toute la remédiation proposée dans un fichier .ps1
-WhatIf / -Confirm	Standard	Prévisualiser les modifications ou contrôler les invites lorsqu'ils sont utilisés avec -Apply

Les trois phases

1. Stratégie d'audit. Si Audit Directory Service Access n'est pas activé sur chaque DC vérifié, QuietPhase affiche le chemin du GPO et les commandes auditpol pour le corriger, puis s'arrête. Les SACL de groupe sont inutiles tant que ce point n'est pas en place.
2. Groupes privilégiés bien connus. La SACL de chaque groupe est vérifiée et affichée en vert (configurée) ou en jaune (nécessite des modifications).
3. Groupes personnalisés. Saisissez un nom partiel (les caractères génériques sont autorisés), sélectionnez les correspondances dans la vue grille, et répétez autant que nécessaire. Appuyez sur Entrée sur une ligne vide pour terminer.

Lorsque quelque chose nécessite des modifications, l'exécution se termine par un bloc NEXT STEPS de commandes prêtes à coller pour -Apply, -WhatIf, -FixScriptPath, ou des étapes manuelles dans ADUC.

Exemple de sortie

==============================================================================
 PHASE 1 - Domain controller audit policy
==============================================================================
  Domain: contoso.com   Target DC: DC01.contoso.com   DCs checked: 1

  DC01.contoso.com
    Audit Directory Service Access:      Success
    Audit Security Group Management:     Success
    Force audit policy subcategory settings: enabled (or default)

  PHASE 1 PASSED: Directory Service Access auditing is enabled.

==============================================================================
 PHASE 2 - Well-known privileged groups
==============================================================================