좋은 질문입니다.
가장 먼저해야 할 것-대부분의 "침투 테스터"는 스크립트 키즈라고 생각합니다. 내 편견은 공정하지 않거나 정확하지 않을 수 있지만이 고지 사항을 적용하여 내 음의 냉소를 감지하면 그 출처가 어디인지 알 수 있습니다. 나는 숙련 된 펜 테스터 가 없다고 말하지는 않지만 이것이 나의 전반적인 일반성입니다.
(삶을위한 블루 팀!)
내 질문 : 1) Active Directory가 실패한 사용자 이름 요청을 중앙 위치에 기록하여 급증하는 것을 알 수있는 방법이 있습니까?
이 질문에 철저하고 자신감있게 대답 할 수있는 충분한 정보를 제공하지 않았습니다. 당신은 말했다 응용 프로그램이 열거 사용자 계정에 공격자를 허용 결함을 포함하는 것으로 확인되었다. 난 당신에 대한 로깅을 수행하기 위해 해당 광고의 요구를 느끼는 것을 방법으로 이해하기 위해 노력하고있어 귀하의 응용 프로그램입니다.
분명히 응용 프로그램이 설치된 서버의 로컬 이벤트 로그에만 오류가 나타납니다.
분명히 실패는 서버의 이벤트 로그에 나타났다? 아니면 서버의 이벤트 로그에 실패 가 표시 되었습니까? 그렇다면 이벤트는 정확히 무엇을 말했습니까? 누가 기록 했습니까? 너의 어플리케이션? 아니면 Windows? 찾아서 답변에 추가 설명을 추가 할 수 있습니다.
이 이벤트가 어떻게 든 Active Directory에 의해 기록되었다는 가정하에 여기에서 사지에 나 가려고합니다. 만약 당신의 테스터가 실제로 응용 프로그램의 결함을 전혀 이용하지 않고 대신에 사용자 이름을 열거하는 Kerberos 자체의 잘 알려진 결함? Kerberos 자체에는 공격자가 수천 번의 "사전 인증"시도 (예 : 무차별 대입 공격)를 시도 할 수있는 설계 결함으로 간주되는 내용이 포함되어 있으며 KDC는 사용자 계정의 존재 여부에 따라 다르게 응답합니다. 이것은 Active Directory 관련 동작이 아니지만 MIT Kerberos, Heimdal 등에 적용됩니다. KDC는KDC_ERR_PREAUTH_REQUIRED실제 인증을 시도하지 않아도 유효한 사용자 이름에 사전 인증 데이터가없는 경우 이런 식으로 KDC에서 사용자 이름을 열거 할 수 있습니다. 그러나 공격자 (또는 KrbGuess와 같은 공격자가 사용하는 도구-다른 사람의 도구를 사용할 때 펜 테스터가 최고이기 때문에)는 전체 인증 시도를 계속할 필요가 없기 때문에 아무 것도 기록되지 않습니다. 실제 인증이 시도되었습니다!
다음 질문으로 넘어가겠습니다.
2) 그렇지 않은 경우 향후 이러한 유형의 공격을 모니터링하고 적극적으로 탐지하는 가장 좋은 방법은 무엇입니까 (새로운 장비를 너무 많이 사지 않아도 됨).
몇 가지.
첫째, 이러한 종류의 공격을 탐지하도록 설계된 유료 엔터프라이즈 급 제품이 많이 있습니다. 많은 공급 업체가 이러한 제품을 제공하며 제품 권장 사항은 Serverfault의 주제와 맞지 않습니다. 그곳에. 이러한 제품 중 다수는 도메인 컨트롤러에 들어가거나 나가는 모든 패킷을 문자 그대로보고 분석 할 수 있도록 도메인 컨트롤러와 이러한 "데이터 수집기"간에 포트 미러링을 구성해야합니다.
(죄송 합니다만, "새로운 물건을 너무 많이 사지 않으면 서"조항에 해당합니다.)
도움이 될 수있는 또 다른 것은 레지스트리 항목입니다.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters
LogLevel = 1
여기에 문서화되어 있습니다 .
이 레지스트리 항목을 사용하면 보안 이벤트 로그에 Kerberos 사전 인증이 필요하다는 Kerberos 오류에 대한 이벤트 가 쇄도 해야 합니다. 그러한 사건의 예 :
A Kerberos Error Message was received:
on logon session DOMAIN\serviceaccount
Client Time:
Server Time: 12:44:21.0000 10/9/2012 Z
Error Code: 0x19 KDC_ERR_PREAUTH_REQUIRED
Extended Error:
Client Realm:
Client Name:
Server Realm: DOMAIN
Server Name: krbtgt/DOMAIN
Target Name: krbtgt/DOMAIN@DOMAIN
Error Text:
File: e
Line: 9fe
Error Data is in record data.
그러나 Kerberos 요청의 쓰나미가 정확히 어디서 오는지를 지정하지 않으면 도움이 될 수도 있고 도움이되지 않을 수도 있습니다. 이를 통해 앞서 언급 한 엔터프라이즈 침입 탐지 제품으로 돌아갑니다.
또한 서버가 이벤트를 중앙 집중식 위치로 전달하여 원하는 도구를 사용하여 분석 할 수있는 Windows 이벤트 전달을 잊지 마십시오.
이 전체 답변은 지금까지 Kerberos 프로토콜을 전제로 했으므로 게시물에 세부 사항이 거의 없기 때문에 당연히 받아 들일 수 없습니다. 그럼에도 불구하고, 이것이 조금이라도 도움이되기를 바랍니다.