QuietPhase

Detecte o reconhecimento do Active Directory antes que ele se torne uma violação.

QuietPhase é uma ferramenta PowerShell que verifica se o seu domínio está configurado para detectar enumeração de grupos, a fase de reconhecimento silenciosa em que um atacante mapeia quem detém acesso privilegiado. Ela verifica a política de auditoria do controlador de domínio, relata quais grupos privilegiados e personalizados são auditados para leituras de associação e propõe (ou, se você escolher, aplica) as correções.

A maioria das organizações alerta quando alguém altera um grupo privilegiado. Muito poucas percebem quando alguém lê um. O QuietPhase ajuda a fechar essa lacuna e facilita a configuração de grupos honeypot que transformam a enumeração em um alerta de alta confiança.

Leitura de contexto: The Quiet Phase: Why Active Directory Group Enumeration Deserves Your Attention

---

Recursos

• Verificação da política de auditoria em um ou em todos os controladores de domínio:
  • Audit Directory Service Access (obrigatório; gera o Evento 4662)
  • Audit Security Group Management (recomendado; gera o Evento 4799 para grupos Builtin)
  • Force audit policy subcategory settings
• Verificação de grupos privilegiados abrangendo Domain Admins, Enterprise Admins, Schema Admins, Key Admins, Enterprise Key Admins, Group Policy Creator Owners, Administrators, os grupos de operadores Builtin e DnsAdmins. Os grupos são localizados por SID, portanto funciona em domínios que não sejam em inglês.
• Reconhecimento do AdminSDHolder. Grupos protegidos (adminCount=1) são redefinidos pelo SDProp, portanto o AdminSDHolder também é verificado e corrigido.
• Seleção de grupos personalizados por nome parcial, com um seletor interativo (Out-ConsoleGridView). Use-o para grupos honeypot ou qualquer outra coisa que você queira monitorar.
• Resultados com código de cores. Verde significa que o grupo está configurado para auditar a enumeração; amarelo significa que são necessárias alterações.
• Seguro por padrão. Ele apenas relata e não altera nada. As alterações são feitas somente com -Apply, e cada uma é confirmada. -WhatIf é suportado.
• Remediação exportável. -FixScriptPath grava todas as alterações propostas em um arquivo .ps1 revisável, adequado para controle de mudanças.
• Gravações mínimas. Apenas a porção SACL do descritor de segurança de um objeto é modificada. As DACLs nunca são tocadas.

Como funciona

Um controlador de domínio registra um evento de enumeração de grupos somente quando ambos os itens a seguir estão presentes:

1. A política Audit Directory Service Access (Success) está habilitada no DC.
2. O grupo possui uma entrada SACL auditando leituras Success do atributo member por Everyone ou Authenticated Users.

Quando ambos são verdadeiros, cada leitura de associação produz o Evento 4662 no DC que respondeu à consulta. Campos principais:

Campo	Valor	Significado
ObjectName	%{<objectGUID of the group>}	Qual grupo foi lido
Properties	{bf9679c0-0de6-11d0-a285-00aa003049e2}	O atributo member
Properties	{bc0ac240-79a9-11d0-9020-00c04fc2d4cf}	Conjunto de propriedades de associação (frequentemente em conjunto)
AccessMask	0x10	Read Property
SubjectUserName / SubjectUserSid	Conta	Quem realizou a leitura
SubjectLogonId	ex.: 0x3A7F21	Junte com o Evento 4624 (TargetLogonId) para obter o IP de origem e a estação de trabalho

Nota: Ferramentas baseadas em SAMR, como net group /domain, não acionam este sinal 4662. Cubra esse caminho com registro de criação de processos (Evento 4688 / Sysmon / EDR) ou detecções de rede, como o Microsoft Defender for Identity.

Requisitos

• PowerShell 7.2 ou posterior (exigido pelo Microsoft.PowerShell.ConsoleGuiTools.)
  • O QuietPhase depende do Out-ConsoleGridView, parte do módulo Microsoft.PowerShell.ConsoleHost, que é uma dependência do Microsoft.PowerShell.ConsoleGuiTools. Instalado no escopo CurrentUser.
• Módulo ActiveDirectory (RSAT)
• Sessão elevada como membro de Domain Admins (Enterprise Admins para grupos da raiz da floresta). Ler e gravar SACLs requer Manage auditing and security log (SeSecurityPrivilege) nos DCs.
• Acesso WinRM a DCs remotos ao verificar a política de auditoria em mais do que a máquina local

Uso

# Report only (default): check the discovered DC, privileged groups, then pick custom groups
.\QuietPhase.ps1

# Check audit policy on every DC in the domain
.\QuietPhase.ps1 -AllDomainControllers

# Export proposed fixes for review or change approval
.\QuietPhase.ps1 -AllDomainControllers -FixScriptPath .\QuietPhase-Fix.ps1

# Preview changes, then apply them (each change is confirmed)
.\QuietPhase.ps1 -Apply -WhatIf
.\QuietPhase.ps1 -Apply

# Propose rules for Authenticated Users instead of Everyone
.\QuietPhase.ps1 -Apply -AuditPrincipal AuthenticatedUsers

Parâmetros

Parâmetro	Padrão	Descrição
-Server	DC descoberto	DC ou domínio de destino
-AllDomainControllers	Desativado	Verifica a política de auditoria em todos os DCs, não apenas no destino
-AuditPrincipal	Everyone	Principal usado para as regras propostas: Everyone ou AuthenticatedUsers. Qualquer um conta como configurado na verificação.
-Apply	Desativado	Aplica as alterações propostas, com um prompt de confirmação para cada uma
-SkipCustomGroups	Desativado	Ignora a Fase 3 (seleção de grupos personalizados)
-FixScriptPath	Nenhum	Exporta toda a remediação proposta para um arquivo .ps1
-WhatIf / -Confirm	Padrão	Pré-visualiza as alterações ou controla os prompts quando usado com -Apply

As três fases

1. Política de auditoria. Se Audit Directory Service Access não estiver habilitado em todos os DCs verificados, o QuietPhase imprime o caminho da GPO e os comandos auditpol para corrigir, e então para. As SACLs de grupo são inúteis até que isso esteja em vigor.
2. Grupos privilegiados conhecidos. A SACL de cada grupo é verificada e exibida em verde (configurada) ou amarelo (precisa de alterações).
3. Grupos personalizados. Digite um nome parcial (curingas permitidos), selecione as correspondências na visualização em grade e repita conforme necessário. Pressione Enter em uma linha vazia para finalizar.

Quando algo precisa de alterações, a execução termina com um bloco NEXT STEPS de comandos prontos para colar para -Apply, -WhatIf, -FixScriptPath ou etapas manuais no ADUC.

Exemplo de saída

==============================================================================
 PHASE 1 - Domain controller audit policy
==============================================================================
  Domain: contoso.com   Target DC: DC01.contoso.com   DCs checked: 1

  DC01.contoso.com
    Audit Directory Service Access:      Success
    Audit Security Group Management:     Success
    Force audit policy subcategory settings: enabled (or default)

  PHASE 1 PASSED: Directory Service Access auditing is enabled.

==============================================================================
 PHASE 2 - Well-known privileged groups
==============================================================================