Certiception

Certiception è un honeypot per Active Directory Certificate Services (ADCS), progettato per intrappolare gli attaccanti con un'esca realistica e attraente che attiva avvisi altamente rilevanti.

Sviluppato dal Red Team di SRLabs, Certiception crea un template di certificato dall'aspetto vulnerabile nel tuo ambiente ADCS, imposta restrizioni per prevenire lo sfruttamento e supporta la configurazione di un alerting efficace.

Originariamente presentato al Troopers24, Certiception include una guida strategica alla deception efficace: The Red Teamers' guide to deception

tl;dr: Dal punto di vista dell'attaccante: sembra vulnerabile, lo sfruttamento fallisce.

Contesto

Nei nostri impegni di Red Team e di gestione degli incidenti osserviamo regolarmente che il movimento laterale e l'escalation dei privilegi passano inosservati. Se le rilevazioni scattano, non vengono gestite tempestivamente, perché i falsi positivi sono all'ordine del giorno. Crediamo che gli honeypot interni (anche detti canary o deception tech) siano un modo efficace per i difensori di intercettare le minacce che superano le difese iniziali.

Gli honeypot interni sono trappole intenzionali per gli attaccanti, posizionate nella tua rete. Sembrano vulnerabili ma attivano un avviso al momento dello sfruttamento. Ecco perché pensiamo che la deception abbia un grande potenziale:

• Basso sforzo e costo: L'implementazione può basarsi su strumenti esistenti come un SIEM.
• Avvisi ad alta rilevanza: Un honeypot attivato indica una minaccia significativa, quindi vale la pena investigare sugli avvisi.
• Basso rumore: Progettati per attivarsi solo in caso di attività malevola, gli honeypot interni hanno un basso tasso di falsi positivi.

Nonostante il loro potenziale, incontriamo spesso configurazioni di deception fondamentalmente inefficaci. Per aiutare i difensori a creare honeypot più efficaci, Certiception include un'ampia guida alla strategia di deception.

Active Directory Certificate Services (ADCS) è una posizione ideale per un honeypot:

1. Facile accesso: Accessibile a tutti gli utenti di dominio, ADCS è facile da scoprire per gli attaccanti.
2. Posta in gioco alta: Le vulnerabilità possono portare al pieno compromesso del dominio, rendendo lo sfruttamento estremamente attraente.
3. Conoscenza comune: Vulnerabilità e strumenti di sfruttamento sono ampiamente noti.
4. Autenticità: I template ADCS vulnerabili sono all'ordine del giorno e suscitano pochi sospetti.
5. Scarsamente monitorato: Molte reti monitorano a malapena ADCS, incoraggiando anche gli attaccanti più cauti a tentare lo sfruttamento.

È per questo che abbiamo costruito Certiception.

Concetto

Certiception configura una nuova CA nel tuo ambiente e imposta un honeypot ESC1.

È implementato come playbook Ansible che richiama più ruoli. Nel complesso, vengono eseguiti i seguenti passaggi:

• Configurare una nuova CA, aggiungere un template ESC1 "vulnerabile" e abilitarlo solo sulla nuova CA
• Installare e configurare il modulo policy TameMyCerts per impedire il rilascio se le richieste di firma del certificato contengono un SAN
• Abilitare il log di audit esteso per includere i nomi dei template nei log eventi
• Stampare una regola SIGMA per configurare l'alerting nel tuo SIEM
• Impostare controlli continui con Certify per individuare qualsiasi altra CA che abiliti il template vulnerabile (non ancora pubblicato, sarà aggiunto al repo nei prossimi giorni)

Parametri come il nome della CA o del template possono essere personalizzati per mascherare l'honeypot.

Quindi è così che funziona Certiception:

Il supporto per altri tipi di vulnerabilità ESC e la capacità di aggiungere honey template a CA esistenti sono previsti per il futuro.

Alerting

Certiception utilizza gli eventi Windows integrati della CA e gli eventi generati dal modulo policy TameMyCerts. Per ottenere gli eventi CA integrati con le informazioni richieste, Certiception abilita il log di audit esteso sul server honey CA.

Suggeriamo di creare avvisi per gli eventi critici e medi:

Sorgente evento	Event ID	Avviso
TameMyCerts	6 – CSR negata per violazione della policy	CRITICO - tentativo di sfruttamento tramite SAN
Log di sicurezza Windows	4886 – Richiesta di certificazione inoltrata	MEDIO - È stato utilizzato l'honey template
Log di sicurezza Windows	4887 – Certificato rilasciato	Non utilizzato, 4886 ha una copertura maggiore
Log di sicurezza Windows	4888 – Richiesta di certificato negata	Non utilizzato, TameMyCerts 6 è più preciso quando il rilascio fallisce per motivi non malevoli

Certiception genera regole SIGMA pronte all'uso per i due diversi avvisi. Devi solo assicurarti che i rispettivi event ID siano integrati nel tuo SIEM e quindi configurare l'alerting con le regole SIGMA.

Le versioni future potrebbero introdurre regole SIGMA nuove o aggiuntive.

Utilizzo

Segui questi passaggi per configurare il tuo honeypot ADCS.

Prerequisiti

• Server Windows aggiunto al dominio per installare la CA
• Macchina con Ansible e connettività WinRM al server per clonare questo repository ed eseguire Certiception
• Privilegi di amministratore locale sul server per installare la CA e le protezioni contro lo sfruttamento
• Account Enterprise Admin per registrare la nuova CA
• Account di Dominio di base senza privilegi per eseguire i controlli continui con Certify

Installazione di Certiception

Nota: stiamo ancora migliorando la stabilità in diverse configurazioni di test lab per quanto riguarda gli account utilizzati per le attività di configurazione. Se vuoi provarlo, probabilmente è meglio aspettare un'altra settimana :)

1. Configura i parametri generali del Dominio e della connessione Ansible in inventory
2. Personalizza i parametri del tuo honeypot in host_vars/honeypotCA.yml
3. Crea un'eccezione EDR per la futura posizione di Certify (usata per il monitoraggio se CA non honey abilitano il template vulnerabile, non ancora richiesta poiché il monitoraggio basato su Certify non è ancora pubblicato)
4. Esegui il playbook Ansible di Certiception

ansible-playbook -i inventory playbooks/certiception.yml

4. Integra i log eventi del server nel tuo SIEM e configura gli avvisi con le regole SIGMA stampate
5. Verifica e testa manualmente la tua configurazione

Considerazioni su sicurezza e protezione

Questo strumento è fornito senza alcuna garanzia. Combina software esistente, automatizzandone installazione e configurazione. Sei responsabile di tutti i passaggi di installazione e configurazione eseguiti da Certiception.

Se utilizzi questo strumento, ti consigliamo vivamente di leggere il codice sorgente per capire cosa configuri e di verificare la tua configurazione dopo l'installazione.