Reconhecimento

• Implante o Windows 10 e limite a enumeração de grupos locais.
• Limite a comunicação entre estações de trabalho.
• Aumente a segurança em GPOs sensíveis.
• Avalie a implantação de análise de comportamento (Microsoft ATA).

Prevenção do BloodHound:

• Use o NetCease para impedir a enumeração de sessões por usuários sem privilégios.
• Use o Samri10 para impedir a coleta de administradores locais por usuários sem privilégios (essa correção já existe no Windows 10 1607 e superior).

Movimento Lateral

• Configure GPO para impedir que contas locais realizem autenticação de rede (KB2871997). Além deste KB, o artigo da Countercept recomenda outras duas alterações no registro:

1. Defina HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\TokenLeakDetectDelaySecs = 30. Isso limpará as credenciais de usuários desconectados após 30 segundos (imitando o comportamento do Windows 8.1+)
2. Defina HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\WDigest\UseLogonCredential = 0. Isso impedirá que as credenciais Wdigest sejam armazenadas na memória, novamente como é o padrão para Windows 8.1+.

• Garanta que as senhas das contas de administrador local sejam alteradas automaticamente (Microsoft LAPS) e remova contas de administrador local extras.
• Limite a comunicação entre estações de trabalho (Windows Firewall).
  • Teste o psexec com credenciais válidas entre duas estações de trabalho. Se funcionar, você tem um problema de movimento lateral.

Escalação de Privilégios

• Remova arquivos com senhas no SYSVOL (incluindo GPP).
• Garanta que os administradores não façam login em sistemas não confiáveis (estações de trabalho comuns) configurando atribuições de direitos de usuário NEGAR com GPOs.
• Forneça Estações de Trabalho de Acesso Privilegiado ou PAWs para todo trabalho altamente privilegiado. Elas nunca devem ter acesso à Internet.
• Use Contas de Serviço Gerenciadas para contas de serviço quando possível (FGPP)
• Para sistemas que não suportam Contas de Serviço Gerenciadas, implante uma Política de Senha de Granularidade Fina para garantir que as senhas tenham mais de 32 caracteres.
• Garanta que todos os computadores estejam usando NTLMv2 e Kerberos, e negue LM/NTLMv1.

Proteja as Credenciais de Administração

• Garanta que todos os administradores façam login apenas em estações de trabalho e servidores administrativos aprovados. (Veja PAW na seção Escalação de Privilégios)
• Garanta que todos os grupos internos, exceto Administrator, tenham o login negado nos Controladores de Domínio por meio de Atribuições de Direitos de Usuário. Por padrão, Operadores de Backup e Operadores de Conta podem fazer login nos Controladores de Domínio, o que é perigoso.
• Adicione todas as contas de administrador ao grupo Usuários Protegidos (requer DCs com Windows 2012 R2).
• Estações de trabalho e servidores administrativos:
  • Controle e limite o acesso às estações de trabalho e servidores administrativos.
  • Remova o NetBIOS sobre TCP/IP
  • Desabilite o LLMNR.
  • Desabilite o WPAD.

Reforçar/Remover Legado

• Comece agora usando o PingCastle, que realiza uma auditoria de AD incrível
• Audite/Restrinja o NTLM.
• Imponha a assinatura LDAP.
• Habilite a assinatura SMB (e criptografia quando possível).
• Desabilite WPAD e LLMNR e trabalhe para desabilitar o NetBIOS.
• No Windows 10, remova:
  • SMB 1.0/CIFS
  • Windows PowerShell 2.0
• Use shims para permitir que aplicativos antigos que exigem privilégios de administrador funcionem acreditando que os possuem.

Ferramentas

• PingCastle - uma ferramenta de auditoria do Active Directory (e gratuita!) com métricas muito boas.
• Responder - Um envenenador de LLMNR, NBT-NS e MDNS
• BloodHound - Seis Graus de Administrador de Domínio
• AD Control Path - Ferramentas de auditoria e geração de grafos dos Caminhos de Controle do Active Directory
• PowerSploit - Um Framework de Pós-Exploração em PowerShell
• PowerView - Framework PowerShell de Consciência Situacional
• Empire - Agente de pós-exploração em PowerShell e Python
• Mimikatz - Utilitário para extrair senhas em texto puro, hashes, PINs e tickets Kerberos da memória, além de executar pass-the-hash, pass-the-ticket ou criar Golden tickets
• Cheatsheets de Ferramentas - (Beacon, PowerView, PowerUp, Empire, ...)
• UACME - Combatendo o Controle de Conta de Usuário do Windows
• Windows System Internals - (Incluindo Sysmon etc.)
• Hardentools - Coleção de utilitários simples projetados para desabilitar uma série de "recursos" expostos pelo Windows
• CrackMapExec - Um canivete suíço para pentest em ambientes Windows/Active Directory
• SharpSploit
• Rubeus - Rubeus é um conjunto de ferramentas C# para interação direta com Kerberos e abusos
• Koadic - Koadic, ou COM Command & Control, é um rootkit de pós-exploração para Windows
• SILENTTRINITY - Um agente de pós-exploração alimentado por Python, IronPython, C#/.NET

Vídeos

• Além do Mcse: Active Directory para o Profissional de Segurança
• BSides DC 2016 - Segurança do PowerShell: Defendendo a Empresa da Mais Recente Plataforma de Ataque
• Seis Graus de Administrador de Domínio... - Andy Robbins, Will Schroeder, Rohan Vazarkar
• 111 Atacando a EvilCorp: Anatomia de um Hack Corporativo
• Vermelho vs Azul: Ataques e Defesa Modernos no Active Directory
• Active Directory Ofensivo com PowerShell
• Detecção Avançada de Incidentes e Caça a Ameaças usando Sysmon e Splunk
• Soluções Reais de Incidentes Reais: Economize Dinheiro e Seu Emprego!
• Técnicas de Bypass do AppLocker

Slides

• Da Estação de Trabalho ao Administrador de Domínio - Por que a Administração Segura Não é Segura
• Explorando Inseguranças do Administrador de AD
• Como ir de Responder a Caçar com o Sysinternals Sysmon
• 111 Atacando a EvilCorp: Anatomia de um Hack Corporativo
• Soluções Reais de Incidentes Reais: Economize Dinheiro e Seu Emprego!

Recursos adicionais

• ADSecurity
• Blog do Harmj0y
• Arquivo de configuração do Sysmon da SecuriTay - modelo com rastreamento de eventos de alta qualidade por padrão
• Explicando e adaptando a configuração do Sysmon do Tay e aqui
• Uso do PSExec
• Prevenindo ataques do Mimikatz
• Lista útil de Eventos de Log de Segurança do Windows
• Apresentando o SharpSploit: Uma Biblioteca de Pós-Exploração em C#
• De Kekeo a Rubeus
• One-liners do Windows para baixar payload remoto e executar código arbitrário
• Orientações de configuração para implementar as configurações da linha de base de host seguro do DoD para o Windows 10 e o Windows Server 2016.