QuietPhase

सक्रिय डायरेक्टरी पुनर्ज्ञान का पता लगाएं इससे पहले कि यह एक उल्लंघन बन जाए।

QuietPhase एक PowerShell टूल है जो जांचता है कि क्या आपका डोमेन समूह गणना का पता लगाने के लिए कॉन्फ़िगर किया गया है, वह शांत पुनर्ज्ञान चरण जहां एक हमलावर यह मैप करता है कि किसके पास विशेषाधिकार प्राप्त पहुंच है। यह डोमेन कंट्रोलर ऑडिट नीति की जांच करता है, रिपोर्ट करता है कि कौन से विशेषाधिकार प्राप्त और कस्टम समूह सदस्यता पढ़ने के लिए ऑडिट किए जाते हैं, और सुधार प्रस्तावित करता है (या, यदि आप चुनते हैं, तो लागू करता है)।

अधिकांश संगठन तब अलर्ट करते हैं जब कोई विशेषाधिकार प्राप्त समूह को बदलता है। बहुत कम लोग ध्यान देते हैं जब कोई उसे पढ़ता है। QuietPhase उस अंतराल को पाटने में मदद करता है, और हनीपॉट समूहों को सेट करना आसान बनाता है जो गणना को उच्च-विश्वास अलर्ट में बदल देते हैं।

पृष्ठभूमि पठन: The Quiet Phase: Why Active Directory Group Enumeration Deserves Your Attention

---

विशेषताएँ

• ऑडिट नीति जाँच एक या सभी डोमेन कंट्रोलरों पर:
  • Audit Directory Service Access (आवश्यक; Event 4662 उत्पन्न करता है)
  • Audit Security Group Management (अनुशंसित; Builtin समूहों के लिए Event 4799 उत्पन्न करता है)
  • Force audit policy subcategory settings
• विशेषाधिकार प्राप्त समूह जाँच जिसमें Domain Admins, Enterprise Admins, Schema Admins, Key Admins, Enterprise Key Admins, Group Policy Creator Owners, Administrators, Builtin ऑपरेटर समूह, और DnsAdmins शामिल हैं। समूह SID द्वारा स्थित किए जाते हैं, इसलिए यह गैर-अंग्रेज़ी डोमेन पर भी काम करता है।
• AdminSDHolder जागरूकता। संरक्षित समूह (adminCount=1) SDProp द्वारा रीसेट किए जाते हैं, इसलिए AdminSDHolder की भी जाँच और सुधार किया जाता है।
• आंशिक नाम द्वारा कस्टम समूह चयन, एक इंटरैक्टिव पिकर (Out-ConsoleGridView) के साथ। इसका उपयोग हनीपॉट समूहों या किसी अन्य चीज़ के लिए करें जिसे आप देखना चाहते हैं।
• रंग-कोडित परिणाम। हरा का अर्थ है कि समूह गणना का ऑडिट करने के लिए कॉन्फ़िगर किया गया है; पीला का अर्थ है कि परिवर्तन आवश्यक हैं।
• डिफ़ॉल्ट रूप से सुरक्षित। यह केवल रिपोर्ट करता है और कुछ नहीं बदलता। परिवर्तन केवल -Apply के साथ किए जाते हैं, और प्रत्येक की पुष्टि की जाती है। -WhatIf समर्थित है।
• निर्यात करने योग्य सुधार। -FixScriptPath सभी प्रस्तावित परिवर्तनों को एक समीक्षा योग्य .ps1 फ़ाइल में लिखता है, जो परिवर्तन नियंत्रण के लिए उपयुक्त है।
• न्यूनतम लेखन। किसी ऑब्जेक्ट के सुरक्षा विवरणक का केवल SACL भाग संशोधित किया जाता है। DACL को कभी नहीं छुआ जाता।

यह कैसे काम करता है

एक डोमेन कंट्रोलर समूह गणना ईवेंट केवल तब लॉग करता है जब दोनों में से ये मौजूद हों:

1. Audit Directory Service Access (Success) नीति DC पर सक्षम है।
2. समूह में एक SACL प्रविष्टि है जो Everyone या Authenticated Users द्वारा member विशेषता के Success पठन का ऑडिट करती है।

जब दोनों सत्य हों, तो प्रत्येक सदस्यता पठन उस DC पर Event 4662 उत्पन्न करता है जिसने क्वेरी का उत्तर दिया। मुख्य फ़ील्ड:

फ़ील्ड	मान	अर्थ
ObjectName	%{<objectGUID of the group>}	कौन सा समूह पढ़ा गया
Properties	{bf9679c0-0de6-11d0-a285-00aa003049e2}	member विशेषता
Properties	{bc0ac240-79a9-11d0-9020-00c04fc2d4cf}	सदस्यता प्रॉपर्टी सेट (अक्सर साथ में)
AccessMask	0x10	Read Property
SubjectUserName / SubjectUserSid	खाता	किसने पठन किया
SubjectLogonId	उदा. 0x3A7F21	स्रोत IP और वर्कस्टेशन के लिए Event 4624 (TargetLogonId) से जोड़ें

नोट: SAMR-आधारित टूल जैसे net group /domain इस 4662 सिग्नल को ट्रिगर नहीं करते। उस पथ को प्रोसेस क्रिएशन लॉगिंग (Event 4688 / Sysmon / EDR) या नेटवर्क डिटेक्शन जैसे Microsoft Defender for Identity से कवर करें।

आवश्यकताएँ

• PowerShell 7.2 या बाद का संस्करण (Microsoft.PowerShell.ConsoleGuiTools द्वारा आवश्यक।)
  • QuietPhase Out-ConsoleGridView पर निर्भर करता है, जो Microsoft.PowerShell.ConsoleHost मॉड्यूल का एक भाग है, जो Microsoft.PowerShell.ConsoleGuiTools की एक निर्भरता है। CurrentUser स्कोप में स्थापित।
• ActiveDirectory मॉड्यूल (RSAT)
• Domain Admins के सदस्य के रूप में उन्नत सत्र (फ़ॉरेस्ट-रूट समूहों के लिए Enterprise Admins)। SACL पढ़ने और लिखने के लिए DCs पर Manage auditing and security log (SeSecurityPrivilege) आवश्यक है।
• जब स्थानीय मशीन के अलावा अन्य पर ऑडिट नीति की जाँच कर रहे हों तो दूरस्थ DCs तक WinRM पहुँच

उपयोग

# Report only (default): check the discovered DC, privileged groups, then pick custom groups
.\QuietPhase.ps1

# Check audit policy on every DC in the domain
.\QuietPhase.ps1 -AllDomainControllers

# Export proposed fixes for review or change approval
.\QuietPhase.ps1 -AllDomainControllers -FixScriptPath .\QuietPhase-Fix.ps1

# Preview changes, then apply them (each change is confirmed)
.\QuietPhase.ps1 -Apply -WhatIf
.\QuietPhase.ps1 -Apply

# Propose rules for Authenticated Users instead of Everyone
.\QuietPhase.ps1 -Apply -AuditPrincipal AuthenticatedUsers

पैरामीटर

पैरामीटर	डिफ़ॉल्ट	विवरण
-Server	खोजा गया DC	लक्ष्य बनाने के लिए DC या डोमेन
-AllDomainControllers	बंद	केवल लक्ष्य के बजाय हर DC पर ऑडिट नीति जाँचें
-AuditPrincipal	Everyone	प्रस्तावित नियमों के लिए उपयोग किया जाने वाला प्रिंसिपल: Everyone या AuthenticatedUsers। जाँच करते समय दोनों में से कोई भी कॉन्फ़िगर के रूप में गिना जाता है।
-Apply	बंद	प्रस्तावित परिवर्तन लागू करें, प्रत्येक के लिए पुष्टि संकेत के साथ
-SkipCustomGroups	बंद	चरण 3 (कस्टम समूह चयन) छोड़ें
-FixScriptPath	कोई नहीं	सभी प्रस्तावित उपचार को एक .ps1 फ़ाइल में निर्यात करें
-WhatIf / -Confirm	मानक	-Apply के साथ उपयोग किए जाने पर परिवर्तनों का पूर्वावलोकन करें या संकेतों को नियंत्रित करें

तीन चरण

1. ऑडिट नीति। यदि प्रत्येक जाँचे गए DC पर Audit Directory Service Access सक्षम नहीं है, तो QuietPhase इसे ठीक करने के लिए GPO पथ और auditpol कमांड प्रिंट करता है, फिर रुक जाता है। जब तक यह लागू न हो, समूह SACL बेकार हैं।
2. सुविख्यात विशेषाधिकार प्राप्त समूह। प्रत्येक समूह का SACL जाँचा जाता है और हरा (कॉन्फ़िगर) या पीला (परिवर्तन आवश्यक) दिखाया जाता है।
3. कस्टम समूह। आंशिक नाम दर्ज करें (वाइल्डकार्ड की अनुमति है), ग्रिड व्यू में मिलान चुनें, और आवश्यकतानुसार दोहराएँ। समाप्त करने के लिए खाली पंक्ति पर Enter दबाएँ।

जब किसी भी चीज़ में परिवर्तन की आवश्यकता होती है, तो रन -Apply, -WhatIf, -FixScriptPath, या मैन्युअल ADUC चरणों के लिए तैयार-से-पेस्ट कमांड के NEXT STEPS ब्लॉक के साथ समाप्त होता है।

नमूना आउटपुट

==============================================================================
 PHASE 1 - Domain controller audit policy
==============================================================================
  Domain: contoso.com   Target DC: DC01.contoso.com   DCs checked: 1

  DC01.contoso.com
    Audit Directory Service Access:      Success
    Audit Security Group Management:     Success
    Force audit policy subcategory settings: enabled (or default)

  PHASE 1 PASSED: Directory Service Access auditing is enabled.

==============================================================================
 PHASE 2 - Well-known privileged groups
==============================================================================