subat0mik/misconfiguration-managerMisconfiguration Manager è una knowledge base centrale per tutte le tecniche note di Microsoft Configuration Manager e le relative indicazioni difensive e di hardening.
Questo repository funge da base di conoscenza centrale per tutte le tecniche note relative a Microsoft Configuration Manager (noto anche come MCM, ConfigMgr, System Center Configuration Manager o SCCM) e alle relative indicazioni difensive e di hardening. Il nostro obiettivo è contribuire a demistificare le tecniche di SCCM e semplificare la gestione dei percorsi di attacco SCCM per i difensori, educando al contempo i professionisti della sicurezza offensiva su questa superficie di attacco nebulosa. Progettato per andare oltre la natura statica dei whitepaper, questo repository dinamico documenta le misconfigurazioni SCCM note e i loro abusi e incoraggia contributi continui dalla comunità per migliorarne la rilevanza e l'utilità.
Abbiamo curato questo repository per aumentare la consapevolezza del panorama di minacce SCCM in rapida evoluzione, traendo ispirazione dal framework MITRE ATT&CK, con alcune deviazioni. Siamo stati inoltre fortemente influenzati dalla matrice delle tecniche di attacco SaaS di Push Security e dal whitepaper Certified Pre-Owned di Will Schroeder e Lee Chagolla-Christensen.
Il nostro approccio si estende oltre la catalogazione delle tattiche degli avversari noti per includere contributi dal mondo del penetration testing, delle operazioni red team e della ricerca sulla sicurezza. In SpecterOps, abbiamo sfruttato molte misconfigurazioni evidenziate in questo repository in ambienti reali, mentre altre rappresentano progetti di ricerca sperimentali ed esplorativi convalidati in un ambiente di laboratorio.
Questo progetto funge anche da punto di riferimento centrale per tutte le risorse di attacco e difesa SCCM di cui siamo a conoscenza.
Invitiamo apertamente a inviare a questo progetto sia tecniche di attacco che strategie e risorse difensive incentrate su SCCM, comprovate ed esplorative, e a fornire qualsiasi feedback e raccomandazione sui contenuti di questo repository.
Per ulteriori informazioni introduttive sul progetto, fai riferimento al nostro blog e ai nostri interventi alle conferenze:
Fai riferimento alla SCCM Attack Matrix e alla SCCM Attack and Defense Matrix riportate di seguito, che mappano le tecniche di attacco sulle relative tattiche del framework MITRE ATT&CK, nonché sulle relative strategie di rilevamento e prevenzione.
Anche i professionisti della sicurezza offensiva potrebbero trarre vantaggio dalla consultazione dell'elenco delle Tecniche di attacco note e documentate, che identifica il contesto di sicurezza e l'accesso alla rete richiesti per ciascuna tecnica.
I difensori e gli amministratori IT potrebbero trarre vantaggio dalla consultazione dell'elenco delle Tecniche di difesa note e documentate, che identifica i ruoli amministrativi che riteniamo più probabilmente coinvolti nell'implementazione di ciascun elemento.
Curioso di sapere come una gerarchia possa essere completamente compromessa in determinate condizioni, per lo più predefinite? Dai un'occhiata all'elenco delle tecniche TAKEOVER.
Se non hai familiarità con un termine utilizzato nella descrizione di una tecnica, fai riferimento alla pagina del glossario, che contiene le definizioni dei termini comunemente usati in SCCM.
Se desideri testare queste tecniche in un ambiente di laboratorio o saperne di più sull'attacco e la difesa di SCCM, fai riferimento alla pagina delle risorse, che contiene i link a tutte le risorse di laboratorio e di attacco/difesa SCCM di cui siamo a conoscenza, molte delle quali hanno ispirato e informato le informazioni contenute in questo repository.
Abbiamo incluso uno script che verificherà molte delle misconfigurazioni incluse in questo repository. Per ulteriori informazioni sullo script e su come utilizzarlo, fai riferimento al nostro blog post.
Se abbiamo trascurato qualcosa o mancano i crediti per lavori precedenti, ti invitiamo a contattarci o a inviare una pull request e saremo lieti di apportare aggiornamenti.
| :----------------------------------------------------------------------: | :------------------------------------------------------------------------: | :---------------------------------------------------------------------------------: | :----------------------------------------------------------------------------------------------: | :------------------------------------------------------------------------: | :---------------------------------------------------------------------------------------: | :----------------------------------------------------------------------------------: | :----------------------------------------------------------------------------------------------: | :-----------------------------------------------------------------: | :-----------------: | :-----------------------------------------------------------------: | | PXE Credentials | App Deployment | App Deployment | Relay to Site System (SMB) | App Deployment | PXE Credentials | LDAP Enumeration | Relay to Site DB (MSSQL) | CMPivot | | CMPivot | | | Script Deployment | Script Deployment | Relay Client Push Installation | Script Deployment | Policy Request Credentials | SMB Enumeration | Relay to Site DB (SMB) | | | | | | | Relay to AD CS | Relay to Site DB (MSSQL) | | DPAPI Credentials | HTTP Enumeration | Relay Between HA | | | | | | | Relay to LDAP | Relay to LDAP | | Legacy Credentials | CMPivot | App Deployment | | | | | | | | Relay to Site DB (SMB) | | Site Database Credentials | SMS Provider Enumeration | Script Deployment | | | | | | | | Relay to ADCS | | Client Push Installation Account | Site Server Enumeration | Relay to Site System (SMB) | | | | | | | | Relay CAS to Child | | Distribution Point Looting | Local File Enumeration | Relay Client Push Installation | | | | | | | | Relay to AdminService | | AdminService API Credentials | | Relay CAS to Child | | | | | | | | Relay to SMS Provider (SMB) | | Policy Creds MP Relay | | Relay to SMS Provider (SMB) | | | | | | | | Relay Between HA | | | | SQL Linked as DBA | | | | | | | | SQL Linked as DBA | | | | | | | | | | | | Relay to Site DB (SMB) | | | | | | | | | | | | | | | | | | | |
La Matrice di Attacco e Difesa SCCM è mantenuta come file CSV per la visualizzazione a larghezza intera e come fonte autorevole di verità sulle mappature.Matrice aggiornata al: 2026-02-09
| CRED‑1 | CRED‑2 | CRED‑3 | CRED‑4 | CRED‑5 | CRED‑6 | CRED‑7 | CRED‑8 | ELEVATE‑1 | ELEVATE‑2 | ELEVATE‑3 | ELEVATE‑4 | ELEVATE‑5 | EXEC‑1 | EXEC‑2 | RECON‑1 | RECON‑2 | RECON‑3 | RECON‑4 | RECON‑5 | RECON‑6 | RECON‑7 | TAKEOVER‑1 | TAKEOVER‑2 | TAKEOVER‑3 | TAKEOVER‑4 | TAKEOVER‑5 | TAKEOVER‑6 | TAKEOVER‑7 | TAKEOVER‑8 | TAKEOVER‑9 | |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| CANARY‑1 | X | X | X | X | X | ||||||||||||||||||||||||||
| DETECT‑1 | X | X | X | X | X | X | X | X | X | X | X | X | |||||||||||||||||||
| DETECT‑2 | X | ||||||||||||||||||||||||||||||
| DETECT‑3 | X | X | X | ||||||||||||||||||||||||||||
| DETECT‑4 | X | ||||||||||||||||||||||||||||||
| DETECT‑5 | X | X | X | X | X | X | X | X | |||||||||||||||||||||||
| DETECT‑6 | X | X | X |
Al momento del rilascio, TAKEOVER-1 fino a TAKEOVER-9, a nostro parere, sono ordinati in ordine decrescente di probabilità in base alle impostazioni predefinite del sistema e alle nostre esperienze nel testare gerarchie SCCM. Ulteriori aggiunte seguiranno l'ordine sequenziale per data di rilascio.
Ad eccezione di TAKEOVER, queste tecniche sono numerate senza un ordine particolare. Un numero più alto o più basso non rappresenta la nostra opinione sull'importanza, la probabilità o la priorità dell'elemento.
Le tecniche contrassegnate con il moniker CRED sfruttano principalmente l'accesso alle credenziali. Le tecniche CRED sono le più comuni che abbiamo osservato e spesso portano direttamente alla compromissione della gerarchia o del dominio.
Le tecniche contrassegnate con il moniker ELEVATE possono essere utilizzate per l'escalation di privilegi locale o di dominio. In alcuni casi, possono essere concatenate con altre tecniche per ottenere una primitiva di takeover della gerarchia.
Le tecniche contrassegnate con il moniker EXEC possono essere utilizzate per eseguire comandi, script, codice, ecc. su un target remoto tramite le funzionalità integrate di SCCM.
Le tecniche contrassegnate con il moniker RECON riguardano l'esecuzione di ricognizione contro l'infrastruttura SCCM o l'utilizzo di SCCM per condurre ulteriore ricognizione.
Le tecniche contrassegnate con il moniker TAKEOVER descrivono i vari passaggi necessari per compromettere una gerarchia SCCM.
Le tecniche contrassegnate con il moniker COERCE descrivono i vari modi per forzare l'autenticazione NTLM dagli account SCCM (sistemi o utenti).
Le strategie difensive contrassegnate con il moniker CANARY descrivono strategie di inganno che potrebbero essere utilizzate per ingannare gli avversari innescando un rilevamento ad alta fedeltà.
Le strategie difensive contrassegnate con il moniker DETECT descrivono strategie per rilevare tecniche offensive. In alcuni casi, potrebbero essere necessarie più strategie DETECT per un rilevamento più efficace.
Le strategie difensive contrassegnate con il moniker PREVENT descrivono modifiche alla configurazione per mitigare uno o più aspetti di una tecnica offensiva. In alcuni casi, potrebbero essere necessarie più strategie PREVENT per mitigare completamente una tecnica offensiva.
NOTA: Raccomandiamo vivamente di testare in modo adeguato e approfondito qualsiasi modifica prima di configurarla in un ambiente di produzione. Gli autori e i contributori di questo repository non sono responsabili per eventuali modifiche che causino interruzioni. Utilizzare come guida a proprio rischio.
Duane Michael, Chris Thompson e Garrett Foster sono gli autori principali di questo progetto, con contributi da:
Contattaci su Twitter o unisciti a noi nel canale #sccm su BloodHoundGang Slack se hai domande o sei interessato a contribuire!
| X |
| X |
| X |
| X |
| X |
| X |
| X |
| DETECT‑7 | X | X | X |
| DETECT‑8 | X | X |
| DETECT‑9 | X |
| PREVENT‑1 | X | X |
| PREVENT‑2 | X | X |
| PREVENT‑3 | X | X | X | X | X |
| PREVENT‑4 | X | X | X |
| PREVENT‑5 | X | X |
| PREVENT‑6 | X | X | X |
| PREVENT‑7 | X |
| PREVENT‑8 | X | X |
| PREVENT‑9 | X | X | X | X | X |
| PREVENT‑10 | X | X | X | X | X | X | X | X |
| PREVENT‑11 | X | X | X |
| PREVENT‑12 | X | X | X | X | X | X | X |
| PREVENT‑13 | X |
| PREVENT‑14 | X | X | X |
| PREVENT‑15 | X |
| PREVENT‑16 | X | X |
| PREVENT‑17 | X | X | X | X | X |
| PREVENT‑18 | X |
| PREVENT‑19 | X | X |
| PREVENT‑20 | X | X | X | X | X | X | X | X | X | X | X | X | X | X | X | X | X | X | X | X | X |
| PREVENT‑21 | X | X |
| PREVENT‑22 | X |
