DCSync y el evento de replicación de Directorio Activo (ID 4662)

3 tareas · 40 min · Principiante

Cuando una estación de trabajo no autorizada simula ser un controlador de dominio para pedir la replicación de credenciales, el subsistema de seguridad de Windows puede registrar el Event ID 4662 en Security.evtx si las políticas de auditoría de acceso a objetos están habilitadas.

0 de 3 · 0%

Objetivo de la sala

Abre dcsync_evento_4662.txt en el entorno rt-persistencia-ad-tickets-guia y anota la cadena de alerta del SIEM.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según dcsync_evento_4662.txt, ¿cuál es la Alerta SIEM Asociada documentada?

Ver pista de ayuda

Revisa la última línea del documento.

Consulta en dcsync_evento_4662.txt el valor asignado al campo AccessMask.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

Según dcsync_evento_4662.txt, ¿cuál es el valor exacto de AccessMask?

Ver pista de ayuda

Localiza la línea que define AccessMask.

Identifica qué interfaz RPC utiliza Active Directory para sincronizar objetos entre controladores de dominio.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué protocolo o interfaz RPC de Windows se utiliza en las solicitudes de replicación de secretos?

SNMP (Simple Network Management Protocol) FTP (File Transfer Protocol) DRSUAPI (Directory Replication Service Remote Protocol) Telnet sobre puerto 23

Ver pista de ayuda

DRSUAPI gestiona la replicación legítima entre controladores de dominio.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: dc-forensics.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Alerta SIEM documentada para DCSync Lab

2 Identificador de máscara de acceso para ControlAccess Lab

3 Protocolo de replicación de Active Directory Lab

Whoami-Labs Pro utiliza cookies