Servicios de certificados: señales de uso anómalo

2 tareas · 40 min · Principiante

0 de 2 · 0%

Las vulnerabilidades y malas configuraciones en AD CS (documentadas por la investigación Certified Pre-Owned: ESC1 hasta ESC8) permiten a usuarios sin privilegios solicitar certificados de autenticación de cliente especificando un Subject Alternative Name (SAN) arbitrario (por ejemplo, el del Administrador del Dominio). La caza supervisa solicitudes de certificados con flags de inscripción indebidos (Event ID 4886 y 4887 en la entidad certificadora).

Responde para continuar

¿Qué anomalía en las solicitudes de certificados de AD CS apunta a una técnica de escalada por abuso de plantillas vulnerables (ESC1)?

La renovación rutinaria del certificado de servidor web SSL por parte del equipo de sistemas Una cuenta de usuario ordinario solicitando un certificado donde el Subject Alternative Name (SAN) contiene la identidad del Administrador del Dominio La revocación de un certificado digital caducado por parte del oficial de seguridad La consulta del catálogo público de certificados raíz de confianza del sistema operativo

Ver pista de ayuda

Un usuario común solicitando un certificado especificando el SAN de un administrador de alto rango.

Consulta en ad_group_modifications el usuario responsable (subject_user) que ejecutó la adición del miembro.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué subject_user figura en la tabla ad_group_modifications?

Ver pista de ayuda

Observa el valor en la columna subject_user de la primera fila.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Auditoría Defensiva de Active Directory · DC Security Logs

Domain Controller Security Events & Kerberos Telemetry Engine (AD Audit)

Tablas

ad_group_modifications

event_id
target_group
member_added
subject_user
subject_domain
timestamp_utc
change_flag

kerberos_ticket_anomalies

ticket_event_id
service_name
client_name
ticket_encryption
ticket_lifetime_hours
attack_pattern

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Abuso defensivo de Active Directory Certificate Services (AD CS)

2 Usuario que ejecutó la modificación del grupo privilegiado Lab

Whoami-Labs Pro utiliza cookies