QuietPhase

Rileva la ricognizione di Active Directory prima che diventi una violazione.

QuietPhase è uno strumento PowerShell che verifica se il tuo dominio è configurato per rilevare l'enumerazione dei gruppi, la silenziosa fase di ricognizione in cui un attaccante mappa chi detiene l'accesso privilegiato. Verifica la policy di audit dei domain controller, segnala quali gruppi privilegiati e personalizzati sono sottoposti ad audit per le letture delle appartenenze e propone (o, se lo scegli, applica) le correzioni.

La maggior parte delle organizzazioni genera avvisi quando qualcuno modifica un gruppo privilegiato. Pochissime se ne accorgono quando qualcuno ne legge uno. QuietPhase aiuta a colmare questa lacuna e rende semplice configurare gruppi honeypot che trasformano l'enumerazione in un avviso ad alta affidabilità.

Letture di approfondimento: The Quiet Phase: Why Active Directory Group Enumeration Deserves Your Attention

---

Funzionalità

• Verifica della policy di audit su uno o tutti i domain controller:
  • Audit Directory Service Access (obbligatoria; genera l'Evento 4662)
  • Audit Security Group Management (consigliata; genera l'Evento 4799 per i gruppi Builtin)
  • Force audit policy subcategory settings
• Verifica dei gruppi privilegiati che copre Domain Admins, Enterprise Admins, Schema Admins, Key Admins, Enterprise Key Admins, Group Policy Creator Owners, Administrators, i gruppi di operatori Builtin e DnsAdmins. I gruppi vengono individuati tramite SID, quindi funziona su domini non in inglese.
• Consapevolezza di AdminSDHolder. I gruppi protetti (adminCount=1) vengono reimpostati da SDProp, quindi anche AdminSDHolder viene verificato e corretto.
• Selezione di gruppi personalizzati tramite nome parziale, con un selettore interattivo (Out-ConsoleGridView). Usalo per gruppi honeypot o qualsiasi altra cosa tu voglia monitorare.
• Risultati con codice colore. Verde significa che il gruppo è configurato per sottoporre ad audit l'enumerazione; giallo significa che sono necessarie modifiche.
• Sicuro per impostazione predefinita. Riporta soltanto e non modifica nulla. Le modifiche vengono apportate solo con -Apply, e ciascuna viene confermata. -WhatIf è supportato.
• Remediation esportabile. -FixScriptPath scrive tutte le modifiche proposte in un file .ps1 verificabile, adatto al change control.
• Scritture minime. Viene modificata solo la porzione SACL del descrittore di sicurezza di un oggetto. I DACL non vengono mai toccati.

Come funziona

Un domain controller registra un evento di enumerazione dei gruppi solo quando entrambe queste condizioni sono soddisfatte:

1. La policy Audit Directory Service Access (Success) è abilitata sul DC.
2. Il gruppo ha una voce SACL che sottopone ad audit le letture Success dell'attributo member da parte di Everyone o Authenticated Users.

Quando entrambe sono vere, ogni lettura delle appartenenze produce un Evento 4662 sul DC che ha risposto alla query. Campi chiave:

Campo	Valore	Significato
ObjectName	%{<objectGUID of the group>}	Quale gruppo è stato letto
Properties	{bf9679c0-0de6-11d0-a285-00aa003049e2}	L'attributo member
Properties	{bc0ac240-79a9-11d0-9020-00c04fc2d4cf}	Set di proprietà dell'appartenenza (spesso in parallelo)
AccessMask	0x10	Read Property
SubjectUserName / SubjectUserSid	Account	Chi ha eseguito la lettura
SubjectLogonId	es. 0x3A7F21	Da correlare con l'Evento 4624 (TargetLogonId) per IP di origine e workstation

Nota: gli strumenti basati su SAMR come net group /domain non attivano questo segnale 4662. Copri quel percorso con la registrazione della creazione di processi (Evento 4688 / Sysmon / EDR) o con rilevamenti di rete come Microsoft Defender for Identity.

Requisiti

• PowerShell 7.2 o successivo (richiesto da Microsoft.PowerShell.ConsoleGuiTools.)
  • QuietPhase si basa su Out-ConsoleGridView, parte del modulo Microsoft.PowerShell.ConsoleHost, che è una dipendenza di Microsoft.PowerShell.ConsoleGuiTools. Installato nell'ambito CurrentUser.
• Modulo ActiveDirectory (RSAT)
• Sessione con privilegi elevati come membro di Domain Admins (Enterprise Admins per i gruppi della radice della foresta). La lettura e la scrittura dei SACL richiedono Manage auditing and security log (SeSecurityPrivilege) sui DC.
• Accesso WinRM ai DC remoti quando si verifica la policy di audit su più macchine oltre a quella locale

Utilizzo

# Report only (default): check the discovered DC, privileged groups, then pick custom groups
.\QuietPhase.ps1

# Check audit policy on every DC in the domain
.\QuietPhase.ps1 -AllDomainControllers

# Export proposed fixes for review or change approval
.\QuietPhase.ps1 -AllDomainControllers -FixScriptPath .\QuietPhase-Fix.ps1

# Preview changes, then apply them (each change is confirmed)
.\QuietPhase.ps1 -Apply -WhatIf
.\QuietPhase.ps1 -Apply

# Propose rules for Authenticated Users instead of Everyone
.\QuietPhase.ps1 -Apply -AuditPrincipal AuthenticatedUsers

Parametri

Parametro	Predefinito	Descrizione
-Server	DC rilevato	DC o dominio da targetizzare
-AllDomainControllers	Disattivato	Verifica i criteri di controllo su ogni DC, non solo sul target
-AuditPrincipal	Everyone	Principal usato per le regole proposte: Everyone o AuthenticatedUsers. Entrambi contano come configurati durante la verifica.
-Apply	Disattivato	Applica le modifiche proposte, con una richiesta di conferma per ciascuna
-SkipCustomGroups	Disattivato	Salta la Fase 3 (selezione dei gruppi personalizzati)
-FixScriptPath	Nessuno	Esporta tutta la remediation proposta in un file .ps1
-WhatIf / -Confirm	Standard	Anteprima delle modifiche o controllo delle richieste quando usati con -Apply

Le tre fasi

1. Criteri di controllo. Se Audit Directory Service Access non è abilitato su ogni DC verificato, QuietPhase stampa il percorso GPO e i comandi auditpol per correggerlo, poi si interrompe. Le SACL di gruppo sono inutili finché questo non è in atto.
2. Gruppi privilegiati noti. La SACL di ciascun gruppo viene verificata e mostrata in verde (configurata) o in giallo (necessita modifiche).
3. Gruppi personalizzati. Inserisci un nome parziale (sono consentiti i caratteri jolly), seleziona le corrispondenze nella vista a griglia e ripeti secondo necessità. Premi Invio su una riga vuota per terminare.

Quando qualcosa necessita di modifiche, l'esecuzione termina con un blocco NEXT STEPS di comandi pronti da incollare per -Apply, -WhatIf, -FixScriptPath o passaggi manuali in ADUC.

Output di esempio

==============================================================================
 PHASE 1 - Domain controller audit policy
==============================================================================
  Domain: contoso.com   Target DC: DC01.contoso.com   DCs checked: 1

  DC01.contoso.com
    Audit Directory Service Access:      Success
    Audit Security Group Management:     Success
    Force audit policy subcategory settings: enabled (or default)

  PHASE 1 PASSED: Directory Service Access auditing is enabled.

==============================================================================
 PHASE 2 - Well-known privileged groups
==============================================================================