Riesgo de acceso a discos virtuales (.vmdk / .vhdx) desde el hipervisor

3 tareas · 35 min · Principiante

El acceso al almacenamiento de hipervisores permite copiar discos virtuales completos y extraer bases de datos como NTDS.dit sin interactuar con los sistemas operativos ni disparar EDR.

0 de 3 · 0%

Objetivo de la sala

El acceso al almacenamiento de hipervisores permite copiar discos virtuales completos y extraer bases de datos como NTDS.dit sin interactuar con los sistemas operativos ni disparar EDR.

Abre riesgo_acceso_discos_virtuales.txt en rt-virtualizacion-esxi-guia. Localiza el formato de disco.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Cuál es la constante del formato de archivo de disco virtual VMDK?

Ver pista de ayuda

Busca la línea Extensión de Disco Virtual de VMware.

Consulta la sección de extracción sin conexión en riesgo_acceso_discos_virtuales.txt para anotar el archivo de base de datos.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Qué identificador define el archivo de base de datos de dominio NTDS.dit?

Ver pista de ayuda

Observa la última línea del archivo.

Evalúa por qué extraer NTDS.dit directamente del archivo .vmdk en el datastore no genera alertas en el controlador de dominio.

Esta tarea se hace en el laboratorio

Un escritorio Linux con terminal, aquí en la página. No instalas nada y no puedes romper nada.

Preparando el escritorio…

Responde para continuar

¿Por qué la extracción de NTDS.dit desde el hipervisor es invisible para el EDR del controlador de dominio?

Porque el EDR solo monitorea peticiones que provienen de internet Porque la lectura ocurre a nivel de almacenamiento físico fuera de la máquina virtual, sin ejecutar procesos en su sistema operativo Porque los discos virtuales están cifrados con algoritmos que deshabilitan la memoria del EDR Porque los controladores de dominio apagan su telemetría cuando se realiza un snapshot

Ver pista de ayuda

El sistema operativo invitado no se entera de que su disco virtual fue copiado desde el datastore.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Preparando el escritorio…

Objetivo: hypervisor-triage.local

16:24

Terminal (user@whoami)

Tab Autocompletar ↑/↓ Historial

bash 5.2.21

Whoami-Labs OS v3.0.1 LTS · build 733482

1 Extensión de disco virtual de VMware Lab

2 Base de datos de Active Directory en disco Lab

3 Por qué el robo de discos virtuales elude los EDR Lab

Whoami-Labs Pro utiliza cookies