HoneypotBuster

レッドチーム向けに設計されたMicrosoft PowerShellモジュール。ネットワークやホスト上のハニーポットやハニートークンを見つけるために使用できます。

コード実行

Import-Moduleを使用してターゲットマシン上でコードを実行します。

Invoke-HoneypotBuster

HoneypotBusterは、一般的な分散型デセプションベンダーが使用するハニートークン、ハニーブレッドクラム、ハニーポットを検出するために設計されたツールです。このツールは、以下のデセプション手法を特定するのに役立ちます：

1. Kerberoasting サービスアカウント ハニートークン

Sean MetcalfによるADSecurityの記事で説明されているものと同様に、これは攻撃者にSPN（サービスプリンシパル名）が割り当てられ、{adminCount = 1} LDAP属性フラグを持つドメインユーザーをスキャンさせるように誘導します。そのため、そのユーザーのTGSを要求しようとすると、Kerberoastingの試みとして露呈されます。TGSの定義：チケット発行サーバー（TGS）は、Kerberosプロトコルで信頼できる第三者として使用される論理的なキー配布センター（KDC）コンポーネントです。

2. 偽のコンピューターアカウント ハニーポット

実際のデバイスが関連付けられていない多数のドメインコンピューターオブジェクトを作成すると、ネットワークを調査しようとする攻撃者に混乱を引き起こします。これらの偽のオブジェクトへの横移動を試みると、攻撃者が露呈されます。

3. 偽の資格情報マネージャー資格情報 ブレッドクラム

多くのデセプションベンダーは、「資格情報マネージャー」に偽の資格情報を注入しています。これらの資格情報は、Mimikatzなどのツールを使用しても明らかになります。実際のものではありませんが、攻撃者はそれらを本物の資格情報と誤認して使用する可能性があります。