Техника на mitre.org

T1078.002: Доменные учетные записи

Злоумышленники могут получать и использовать данные для входа в доменные учетные записи для первоначального доступа, закрепления, повышения привилегий или предотвращения обнаружения. Доменные учетные записи — это учетные записи под управлением доменных служб Active Directory; в которых настраиваются доступ и разрешения для систем и служб, входящих в соответствующий домен. Доменные учетные записи могут принадлежать пользователям, администраторам и службам.

Злоумышленники могут скомпрометировать доменные учетные записи, в том числе с высоким уровнем привилегий, используя различные техники, такие как получение дампа учетных данных или использование известных паролей, и таким образом получить доступ к привилегированным ресурсам домена.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

supply_chain: PT-CR-1758: SupplyChain_Merge_Request_Approve_By_Creator: Пользователь одобрил созданный им запрос на слияние в ветку supply_chain: PT-CR-1771: SupplyChain_Gitlab_Login_From_New_Address: Пользователь с ролью Maintainer, Owner или Developer вошел в приложение с нового адреса enterprise_1c_and_bitrix: PT-CR-669: Enterprise_1C_Logon_Of_Significant_User: Пользователь вошел под учетной записью из черного списка enterprise_1c_and_bitrix: PT-CR-671: Enterprise_1C_Logon_Same_User_From_Different_Terminals: Успешный вход в систему с разных терминалов enterprise_1c_and_bitrix: PT-CR-670: Enterprise_1C_Enable_Account_And_Login: Только что созданный пользователь вошел в систему enterprise_1c_and_bitrix: PT-CR-668: Enterprise_1C_Using_Various_Accounts_On_One_Terminal: Вход в систему с одного узла под разными учетными записями kaspersky: PT-CR-1846: Kaspersky_Enable_User: Пользователь включил учетную запись pt_nad: PT-CR-737: NAD_SAM_Account_Name_Spoofing: Пользователь запросил TGT-билет remote_work: PT-CR-1057: VPN_User_Abnormal_Access: Подозрительный вход на внутренние ресурсы. Пользователь вошел с адреса, принадлежащего другому пользователю, либо данные аутентификации отличаются от собранного профиля remote_work: PT-CR-1056: VPN_MultiUser_IP: Один IP-адрес используется в разных VPN-сеансах remote_work: PT-CR-1048: RDG_Abnormal_Access: Подозрительное подключение к Remote Desktop Gateway (RDG). Данные аутентификации отличаются от собранного профиля remote_work: PT-CR-1055: VPN_Abnormal_Access: Подозрительное подключение по VPN. Данные подключения отличаются от ранее собранного профиля remote_work: PT-CR-1058: Remote_Login_From_Not_Allowed_Country: Подключение через VPN или RDG с IP-адреса, который не принадлежит пулу адресов разрешенных стран remote_work: PT-CR-1036: Mail_Abnormal_Access: Подозрительный вход в почту с нового мобильного устройства. Данные аутентификации отличаются от собранного профиля microsoft_mecm: PT-CR-1877: MECM_Create_New_Roles: Создание новой роли в MECM microsoft_mecm: PT-CR-1875: MECM_Privileges_Escalation_Via_Role: Повышение привилегий для пользователя в MECM microsoft_mecm: PT-CR-1874: MECM_Not_Allowed_Operation_With_Roles: Попытка повысить привилегии с помощью ролей в MECM microsoft_mecm: PT-CR-1860: MECM_SharpSCCM: Использование утилиты SharpSCCM, предназначенной для поиска конфиденциальной информации о клиентах MECM microsoft_mecm: PT-CR-1873: MECM_Client: Подключение нового узла к инфраструктуре с помощью MECM mitre_attck_execution: PT-CR-1358: PowerViewPy_Init_Connection: Обнаружение запуска скрипта Powerview.py по характерным LDAP-запросам к контроллеру домена mitre_attck_initial_access: PT-CR-1380: Service_Account_Mail_Auth: Авторизация в корпоративной почте под сервисной учетной записью mitre_attck_initial_access: PT-CR-1379: Service_Account_VPN_Connect: Подлючение сервисной учетной записи по VPN mitre_attck_initial_access: PT-CR-2567: Logon_Via_Vuln_Scanner_Account: Вход под учетной записью сканера уязвимостей с узла, не являющегося сервером сканера уязвимостей. Это может быть признаком использования учетной записи злоумышленниками mitre_attck_initial_access: PT-CR-1381: Service_Logon_From_VPN_Network: Пользователь вошел во внутренний сервис или на узел из сети VPN под сервисной учетной записью microsoft_sharepoint: PT-CR-2113: Sharepoint_Logon_Of_Significant_User: Пользователь вошел под учетной записью из черного списка microsoft_sharepoint: PT-CR-2115: Sharepoint_Grant_User_Access: Пользователь получил доступ на вход на сервер SharePoint clickhouse: PT-CR-1580: ClickHouse_Logon_Of_Significant_User: Обнаружен вход пользователя в СУБД под учетной записью из табличного списка Applications_Significant_Users clickhouse: PT-CR-1567: ClickHouse_Logon_Same_User_From_Different_Hosts: Обнаружены попытки входа в СУБД под одной учетной записью с разных узлов clickhouse: PT-CR-1579: ClickHouse_Logon_Same_Host_Different_Users: Обнаружены попытки входа в СУБД под учетными записями разных пользователей с одного узла microsoft_exchange: PT-CR-2361: Exchange_Blacklisted_Account_Login: Пользователь из черного списка вошел в Exchange. Это может быть действием злоумышленника с целью повысить привилегии microsoft_exchange: PT-CR-2434: Exchange_Distribution_Group_Member_Added: Попытка добавить пользователя в группу рассылки bruteforce: PT-CR-1706: Probing_Auth_On_Various_Hosts: Множественные попытки авторизоваться на разных узлах от имени одной и той же учетной записи. Это может означать, что злоумышленник проверяет полученные ранее учетные данные на различных узлах, чтобы получить доступ к этим узлам active_directory_attacks: PT-CR-654: SAM_Account_Name_Spoofing: Пользователь переименовал объект AD или запросил TGT-билет от имени учетной записи, совпадающей с именем контроллера домена. Это может свидетельствовать об атаке sAMAccountName spoofing. Она может позволить злоумышленнику получить TGT-билет, например на имя контроллера домена, закрепиться в системе и повысить свои привилегии active_directory_attacks: PT-CR-656: Failed_Network_Access_With_Unknown_User: Пользователь не смог войти на узел под управлением ОС Windows от имени отключенной или несуществующей учетной записи. Это может быть признаком перебора учетных записей или компрометации учетных данных mitre_attck_lateral_movement: PT-CR-2462: Multiple_RDP_From_One_User_Or_Host: Множество RDP-подключений от одного узла или учетной записи. Это может быть признаком скрытых перемещений злоумышленника от одной скомпрометированной системы к другой profiling: PT-CR-1063: Wifi_Abnormal_Access: Подозрительное подключение к оборудованию Wi-Fi. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1782: PT_IAM_Abnormal_Access: Подозрительный вход в приложение Positive Technologies через систему IAM. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-2519: Infowatch_TM_Abnormal_Access: Подозрительный вход в приложение, для которого нет отдельных правил профилирования. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-2337: PostgreSQL_Abnormal_Access: Подозрительный вход в СУБД PostgreSQL. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-2456: FreeIPA_Abnormal_Access: Подозрительная аутентификация в домене FreeIPA. Данные аутентификации отличаются от ранее собранного профиля profiling: PT-CR-228: Domain_Controller_Abnormal_Access: Подозрительный вход на контроллер домена. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1783: Owa_Abnormal_Access: Подозрительный вход в приложение Outlook Web App. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1051: KSC_Console_Abnormal_Access: Подозрительный вход в консоль Kaspersky Security Center. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1788: Keycloak_Abnormal_Access: Подозрительный вход с помощью Keycloak. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1040: Release_Build_Agent_Abnormal_Access: Подозрительный вход на сервер сборочных агентов. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1042: Update_Server_Abnormal_Access: Подозрительный вход на сервер обновлений (FLUS/GUS). Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1808: Passwork_Abnormal_Access: Подозрительный вход в приложение Passwork. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1792: ADFS_Abnormal_Access: Подозрительный вход с помощью службы федерации Active Directory (AD FS). Данные аутентификации отличаются от собранного профиля profiling: PT-CR-2580: Citrix_NS_ADC_Abnormal_Access: Подозрительный вход в приложение, для которого нет отдельных правил профилирования. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1049: Subrule_Unix_Server_Abnormal_Access: Подозрительные подключения по протоколу SSH к Unix-серверам сети. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1791: Application_Abnormal_Access: Подозрительный вход в приложение, для которого нет отдельных правил профилирования. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1041: Teamcity_Abnormal_Access: Подозрительный вход в приложение TeamCity. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-2059: Zabbix_Abnormal_Access: Подозрительный вход в систему Zabbix. Данные аутентификации отличаются от ранее собранного профиля profiling: PT-CR-1920: PTAF_Abnormal_Access: Подозрительный вход в приложение PT AF. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1059: VCenter_Abnormal_Access: Подозрительный вход в приложение vCenter. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1871: MECM_Abnormal_Access: Подозрительный вход с помощью Microsoft Endpoint Configuration Manager. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1810: Critical_Server_Abnormal_Access: Подозрительный вход на критически важный сервер. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1054: Subrule_Teampass_Login_Successful: Вход в приложение TeamPass profiling: PT-CR-1052: Antivirus_Server_Abnormal_Access: Подозрительный вход на сервер антивирусной защиты. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1811: Teamcity_Abnormal_BuildConfig_Modify: Подозрительный вход и изменение конфигурации сборки в TeamCity. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1034: App_1C_Enterprise_Abnormal_Access: Подозрительный вход в приложение "1С:Предприятие". Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1045: VCS_Server_Abnormal_Access: Подозрительный вход в систему контроля версий. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1050: Subrule_Windows_Host_Abnormal_Access: Подозрительный вход на критически важный узел. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1809: Gitlab_Abnormal_Access: Подозрительный вход в приложение GitLab. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1035: App_1C_User_PC_Abnormal_Access: Подозрительный вход на узел, на котором выполняется работа с приложением 1С. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1037: UsWeb_Abnormal_Access: Подозрительный вход в веб-интерфейс сервера обновлений. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1785: Teampass_Abnormal_Access: Подозрительный вход в приложение TeamPass. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1784: MSSQL_Abnormal_Access: Подозрительный вход в приложение Microsoft SQL Server. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1793: Confluence_Abnormal_Access: Подозрительный вход в приложение Confluence. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1812: App_1C_Server_Abnormal_Access: Подозрительный вход на сервер 1С. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-2325: Grafana_Abnormal_Access: Подозрительный вход в Grafana. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1070: Top_Managers_Abnormal_Access: Подозрительный вход на рабочую станцию руководителя организации. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1044: Developer_PC_Abnormal_Access: Подозрительный вход на компьютер разработчика. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-1787: MFA_Abnormal_Access: Подозрительная аутентификация в приложении Multifactor. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-2137: Hashicorp_Vault_Abnormal_Access: Подозрительный вход в систему Vault. Данные аутентификации отличаются от собранного профиля profiling: PT-CR-218: SecurityAdmin_Abnormal_Access: Подозрительный вход администратора безопасности. Данные аутентификации отличаются от собранного профиля

Способы обнаружения

ID	DS0028	Источник и компонент данных	Сеанс входа в систему: Создание сеанса входа в систему	Описание	Отслеживайте подозрительные действия с учетными записями, которые имеют доступ к нескольким системам, будь то учетные записи пользователей, администраторов или служб. Примеры: одна учетная запись, которая вошла в несколько систем одновременно; несколько учетных записей, вошедших в систему на одной машине одновременно; попытки входа в необычное или нерабочее время. Подозрительная активность может исходить от интерактивной рабочей сессии или включать использование прав владения процессами для запуска бинарных файлов на удаленной системе определенными учетными записями. Подключение по протоколу удаленного рабочего стола нередко проводится системными администраторами и службами поддержки, но только с определенных рабочих станций. Отслеживая попытки подключения к удаленным рабочим столам и сопоставляя их источники с известными и одобренными системами, можно выявить перемещение злоумышленников внутри сети. Случаи одновременного входа нескольких пользователей в систему на одной машине или в пределах часа крайне нетипичны для сетей, за которыми мы вели наблюдение. Вход в систему регистрируется событиями Windows с идентификаторами 4624 (Windows Vista и выше) и 518 (версии ниже Vista). События выхода — события Windows с идентификаторами 4634 (Windows Vista и выше) и 538 (версии ниже Vista). Особое внимание уделяйте типам входа 2, 3, 9 и 10. С подробностями можно ознакомиться в таблице типов входа на странице событий аудита входа Microsoft. Аналитика 1. Вход в систему с помощью удаленного рабочего стола `(source="*WinEventLog:Security" EventCode="4624") AuthenticationPackageName= "Negotiate" AND Severity= "Information" AND logon_type= "10"`

ID	DS0002	Источник и компонент данных	Учетная запись пользователя: Аутентификация с помощью учетной записи	Описание	Отслеживайте попытки доступа к сети или вычислительным ресурсам со стороны пользователей, зачастую с использованием доменных служб аутентификации, таких как System Security Services Daemon (sssd) в Linux. Примечания. В Windows для отслеживания поведения пользователей при входе в систему можно использовать события журналов безопасности, в частности события с идентификатором 4624. В Linux для оповещения об изменениях в файлах с информацией о входе в систему можно использовать механизмы аудита, поддерживающие мониторинг целостности файлов (FIM), например демон аудита (auditd). К указанным файлам относятся: `/etc/login.defs`, `/etc/securetty`, `/var/log/faillog`, `/var/log/lastlog`, `/var/log/tallylog`. В MacOS для аудита попыток входа и аутентификации учетных записей пользователей можно использовать механизмы аудита, поддерживающие сбор информации о попытках входа пользователей, например OSQuery.

ID	DS0028	Источник и компонент данных	Сеанс входа в систему: Метаданные сеанса входа в систему	Описание	Сопоставляйте сведения других систем безопасности с информацией о входе (например, данные о пользователе, который вошел в систему, но не находится в здании и не имеет доступа через VPN).

ID	Источник и компонент данных	Описание
DS0028	Сеанс входа в систему: Создание сеанса входа в систему	Отслеживайте подозрительные действия с учетными записями, которые имеют доступ к нескольким системам, будь то учетные записи пользователей, администраторов или служб. Примеры: одна учетная запись, которая вошла в несколько систем одновременно; несколько учетных записей, вошедших в систему на одной машине одновременно; попытки входа в необычное или нерабочее время. Подозрительная активность может исходить от интерактивной рабочей сессии или включать использование прав владения процессами для запуска бинарных файлов на удаленной системе определенными учетными записями. Подключение по протоколу удаленного рабочего стола нередко проводится системными администраторами и службами поддержки, но только с определенных рабочих станций. Отслеживая попытки подключения к удаленным рабочим столам и сопоставляя их источники с известными и одобренными системами, можно выявить перемещение злоумышленников внутри сети. Случаи одновременного входа нескольких пользователей в систему на одной машине или в пределах часа крайне нетипичны для сетей, за которыми мы вели наблюдение. Вход в систему регистрируется событиями Windows с идентификаторами 4624 (Windows Vista и выше) и 518 (версии ниже Vista). События выхода — события Windows с идентификаторами 4634 (Windows Vista и выше) и 538 (версии ниже Vista). Особое внимание уделяйте типам входа 2, 3, 9 и 10. С подробностями можно ознакомиться в таблице типов входа на странице событий аудита входа Microsoft. Аналитика 1. Вход в систему с помощью удаленного рабочего стола `(source="*WinEventLog:Security" EventCode="4624") AuthenticationPackageName= "Negotiate" AND Severity= "Information" AND logon_type= "10"`
DS0002	Учетная запись пользователя: Аутентификация с помощью учетной записи	Отслеживайте попытки доступа к сети или вычислительным ресурсам со стороны пользователей, зачастую с использованием доменных служб аутентификации, таких как System Security Services Daemon (sssd) в Linux. Примечания. В Windows для отслеживания поведения пользователей при входе в систему можно использовать события журналов безопасности, в частности события с идентификатором 4624. В Linux для оповещения об изменениях в файлах с информацией о входе в систему можно использовать механизмы аудита, поддерживающие мониторинг целостности файлов (FIM), например демон аудита (auditd). К указанным файлам относятся: `/etc/login.defs`, `/etc/securetty`, `/var/log/faillog`, `/var/log/lastlog`, `/var/log/tallylog`. В MacOS для аудита попыток входа и аутентификации учетных записей пользователей можно использовать механизмы аудита, поддерживающие сбор информации о попытках входа пользователей, например OSQuery.
DS0028	Сеанс входа в систему: Метаданные сеанса входа в систему	Сопоставляйте сведения других систем безопасности с информацией о входе (например, данные о пользователе, который вошел в систему, но не находится в здании и не имеет доступа через VPN).

Меры противодействия

ID	M1026	Название	Управление привилегированными учетными записями	Описание	Регулярно проверяйте уровни разрешений доменных учетных записей, чтобы выявить ситуации, в которых злоумышленник может получить широкий доступ, завладев учетными данными привилегированной учетной записи. Не включайте учетные записи пользователей или администраторов домена в группы локальных администраторов на всех системах, если они не находятся под строгим контролем и использование учетных записей не сегментировано, поскольку это часто эквивалентно наличию учетной записи локального администратора с одинаковым паролем на всех системах. Следуйте передовым методам разработки и администрирования корпоративной сети, чтобы ограничить использование привилегированных учетных записей на всех административных уровнях. Ограничьте дублирование учетных данных в разных системах, чтобы предотвратить доступ в случае получения учетных данных.

ID	M1032	Название	Многофакторная аутентификация	Описание	Внедрение многофакторной аутентификации (MFA) в организационную политику может значительно снизить риск получения злоумышленником контроля над действительными учетными данными, которые могут быть использованы для дополнительных тактик, таких как первоначальный доступ, боковое перемещение и сбор информации. MFA также можно использовать для ограничения доступа к облачным ресурсам и API.

ID	M1017	Название	Обучение пользователей	Описание	Приложения могут отправлять уведомления для подтверждения входа в систему (многофакторная аутентификация). Научите пользователей подтверждать только действительные уведомления и сообщать о подозрительных уведомлениях.

ID	Название	Описание
M1026	Управление привилегированными учетными записями	Регулярно проверяйте уровни разрешений доменных учетных записей, чтобы выявить ситуации, в которых злоумышленник может получить широкий доступ, завладев учетными данными привилегированной учетной записи. Не включайте учетные записи пользователей или администраторов домена в группы локальных администраторов на всех системах, если они не находятся под строгим контролем и использование учетных записей не сегментировано, поскольку это часто эквивалентно наличию учетной записи локального администратора с одинаковым паролем на всех системах. Следуйте передовым методам разработки и администрирования корпоративной сети, чтобы ограничить использование привилегированных учетных записей на всех административных уровнях. Ограничьте дублирование учетных данных в разных системах, чтобы предотвратить доступ в случае получения учетных данных.
M1032	Многофакторная аутентификация	Внедрение многофакторной аутентификации (MFA) в организационную политику может значительно снизить риск получения злоумышленником контроля над действительными учетными данными, которые могут быть использованы для дополнительных тактик, таких как первоначальный доступ, боковое перемещение и сбор информации. MFA также можно использовать для ограничения доступа к облачным ресурсам и API.
M1017	Обучение пользователей	Приложения могут отправлять уведомления для подтверждения входа в систему (многофакторная аутентификация). Научите пользователей подтверждать только действительные уведомления и сообщать о подозрительных уведомлениях.