Replicación y sincronización: lo normal frente a lo extraño

2 tareas · 40 min · Principiante

0 de 2 · 0%

El ataque DCSync simula el comportamiento de un Controlador de Dominio utilizando el protocolo MS-DRSR (GetNCChanges) para solicitar la replicación de las contraseñas de todos los usuarios del dominio (incluyendo el hash NTLM de krbtgt). En telemetría de red y eventos de seguridad (Event ID 4662 con GUIDs de replicación de secretos), cualquier petición de sincronización de directorio que no provenga de la dirección IP de un DC legítimo catalogado es una señal crítica de DCSync.

Responde para continuar

¿Qué condición hace que una petición de replicación de secretos de Active Directory (DCSync) sea una alerta crítica definitiva?

La solicitud proviene de una dirección IP de una estación de trabajo de usuario ordinario y no de un Controlador de Dominio registrado La sincronización se realiza durante el horario nocturno de mantenimiento de servidores La solicitud utiliza el protocolo estándar RPC a través de la red local de la empresa El número de cuentas sincronizadas supera las cien mil identidades de empleados

Ver pista de ayuda

Una estación de trabajo común solicitando replicación de credenciales que solo corresponde a DCs.

Verifica en ad_group_modifications el nombre del grupo objetivo (target_group) afectado.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el target_group modificado en el evento 4728?

Ver pista de ayuda

Observa el valor en la columna target_group en ad_group_modifications.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Auditoría Defensiva de Active Directory · DC Security Logs

Domain Controller Security Events & Kerberos Telemetry Engine (AD Audit)

Tablas

ad_group_modifications

event_id
target_group
member_added
subject_user
subject_domain
timestamp_utc
change_flag

kerberos_ticket_anomalies

ticket_event_id
service_name
client_name
ticket_encryption
ticket_lifetime_hours
attack_pattern

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Detección del ataque DCSync (Directory Replication Service Remote Protocol)

2 Grupo objetivo modificado en el laboratorio Lab

Whoami-Labs Pro utiliza cookies