DCSync: особенности выполнения атаки и возможные варианты детектирования, Часть 2
Привет, Хабр!
В предущей статье мы разобрали основы и механизмы работы атаки DCSync, а также рассмотрели несколько наиболее популярных утилит для ее реализации: mimikatz, secretsdump, DSInternals и существующие между ними различия. В результате анализа стало понятно, что у всех утилит прослеживается один и тот же принцип проведения атаки и присутствует одинаковый фактор для ее выявления - DRSReplicaSync.
В этой части я сфокусируюсь на потенциальных способах детектирования DCSync.
Для построения возможной логики детектирования для начала нам необходимо изучить какие события в журналах Windows и на уровне мы можем зафиксировать в результате запуска утилит.
Источник: Хабрахабр
Похожие новости
- [Перевод] Анализ активности пользователей Windows
- ВПО DarkWatchman: SFX-архивы, XOR-шифрование и алгоритм генерации доменов
- Гранулярное погружение в атаки на кэш в ARMv8. Разбираем типы атак и митигации
- [Перевод] Метаданные под защитой: как обеспечить кибербезопасность
- Образ классической пиарщицы в российском агентстве. Транзакционный взгляд с щедрой порцией юмора
- Интеграция платформ через Keycloak: SSO и JWT в действии
- CROP media: Бренд-айдентика в SMM: как выделиться в соцсетях + чек-лист от CROP media
- Q2.team: Исповедь SEO-специалиста: 5 заблуждений клиентов, которые тормозят продвижение
- Тринадцатый: Как мы создали брендинг, вдохновленный литературой
- Андрей Громоватый: #Онижедети