Seminar Dissect – Active Directory- und NTDS-Forensik

Der Kurs behandelt die Untersuchung von Active-Directory-Datenbeständen mit Dissect. Im Vordergrund stehen die strukturierte Auswertung von NTDS-Daten, Domänenobjekten, Gruppenrichtlinien und korrelierenden Windows-Artefakten sowie die belastbare Rekonstruktion von Identitätsmissbrauch und lateralen Bewegungen.

Inhaltsverzeichnis

1. Beweismittel und Untersuchungsmodell
2. Laden und Plausibilisieren von Domänenquellen
3. Benutzer-, Computer- und Gruppenrichtlinienanalyse
4. Anmeldeinformationen und Kontomissbrauch
5. Persistenz und Richtlinienmanipulation
6. Eventlogs und laterale Bewegung
7. Domänenweite Korrelation und Berichterstellung

Lernziele

• Benötigte Active-Directory-Beweismittel vollständig und sicher zusammenstellen
• Benutzer, Computer, Gruppenrichtlinien und domänenspezifische Metadaten strukturiert abfragen
• Verdächtige Konten, Berechtigungsänderungen und Persistenzindikatoren erkennen
• NTDS-Ergebnisse mit Registry-, Eventlog- und Dateisystemartefakten korrelieren
• Untersuchungsergebnisse nachvollziehbar dokumentieren und priorisieren

Seminarinhalte

1. Beweismittel und Untersuchungsmodell

1. Schritt 1: Domänenstruktur, Fragestellung und relevante Zeiträume aus dem Incident-Auftrag ableiten.
2. Schritt 2: NTDS-Datenbank, SYSTEM-bezogene Schlüsselinformationen, Eventlogs und ergänzende Hostartefakte identifizieren.
3. Schritt 3: Beweismittel nach Domain Controller, Zeitpunkt und Erhebungsmethode eindeutig kennzeichnen.
4. Schritt 4: Schutzbedarf von Identitäts- und Anmeldeinformationen in der Arbeitsumgebung festlegen.

2. Laden und Plausibilisieren von Domänenquellen

1. Schritt 1: Zielquellen mit geeigneten Loadern öffnen und Betriebssystem- sowie Domäneninformationen prüfen.
2. Schritt 2: Verfügbarkeit der AD-Funktionen und kompatiblen Plugins kontrollieren.
3. Schritt 3: Unvollständige Datenbanken, fehlende Registry-Bestandteile und Zeitabweichungen erkennen.
4. Schritt 4: Eine technische Ausgangsdokumentation mit Host, Domäne, Version und Datenstand erstellen.

3. Benutzer-, Computer- und Gruppenrichtlinienanalyse

1. Schritt 1: Benutzerobjekte nach Status, Zeitstempeln, Namensmustern und auffälligen Eigenschaften auswerten.
2. Schritt 2: Computerobjekte und Systemrollen mit der bekannten Infrastruktur abgleichen.
3. Schritt 3: Gruppenrichtlinien nach sicherheitsrelevanten Konfigurationen und unerwarteten Änderungen untersuchen.
4. Schritt 4: Ergebnisse in normalisierte Records überführen und für spätere Korrelation kennzeichnen.

4. Anmeldeinformationen und Kontomissbrauch

1. Schritt 1: Verfügbare credential-bezogene Funktionen ausschließlich innerhalb des autorisierten Untersuchungsauftrags einsetzen.
2. Schritt 2: Konten mit ungewöhnlichen Eigenschaften, veralteten Kennwortständen oder privilegierter Verwendung priorisieren.
3. Schritt 3: Hinweise auf neue, reaktivierte oder manipulierte Konten mit Zeitstempeln verknüpfen.
4. Schritt 4: Sensible Ausgaben minimieren, zugriffsgeschützt speichern und in Berichten nur erforderliche Details verwenden.

5. Persistenz und Richtlinienmanipulation

1. Schritt 1: Gruppenrichtlinien, Anmeldeskripte, Dienste und geplante Aufgaben auf domänenweite Persistenz prüfen.
2. Schritt 2: Abweichungen zwischen erwarteter Baseline und tatsächlicher Konfiguration herausarbeiten.
3. Schritt 3: Verdächtige Änderungen mit zuständigen Konten, Systemen und Ereignissen korrelieren.
4. Schritt 4: Technische Befunde nach Reichweite und betrieblicher Auswirkung bewerten.

6. Eventlogs und laterale Bewegung

1. Schritt 1: Relevante Anmelde-, Konto-, Prozess- und Dienstereignisse aus Domain Controllern und Mitgliedssystemen extrahieren.
2. Schritt 2: Quell- und Zielsysteme, Konten, Logon-Typen und Zeitfenster in einer Ereigniskette zusammenführen.
3. Schritt 3: Remotezugriffe, Dienstinstallation und Aufgabenplanung als mögliche Bewegungspfade untersuchen.
4. Schritt 4: Alternative Erklärungen prüfen und unbelegte Schlussfolgerungen aus der Timeline entfernen.

7. Domänenweite Korrelation und Berichterstellung

1. Schritt 1: AD-Records mit Hostinventar, Netzwerkdaten und Betriebssystemartefakten verbinden.
2. Schritt 2: Betroffene Identitäten und Systeme in bestätigte, wahrscheinliche und zu prüfende Gruppen einteilen.
3. Schritt 3: Befundketten mit Herkunft, Abfrage, Filter und Zeitbezug reproduzierbar dokumentieren.
4. Schritt 4: Priorisierte Maßnahmenlisten für Eindämmung, Kennwortwechsel und vertiefte Prüfung vorbereiten.

Praxisübungen

• Aufbau eines Active-Directory-Fallverzeichnisses aus NTDS- und ergänzenden Windows-Daten
• Abfrage und Bewertung auffälliger Benutzer-, Computer- und Gruppenrichtlinienobjekte
• Rekonstruktion eines privilegierten Kontomissbrauchs über mehrere Systeme und Ereignisquellen
• Erstellung einer domänenweiten Befundmatrix mit technischen Nachweisen und Prioritäten

Zielgruppe

DFIR-Analysten, Incident Responder, SOC-Analysten und Active-Directory-Spezialisten mit forensischem Untersuchungsauftrag

Voraussetzungen

Sichere Windows- und Active-Directory-Grundkenntnisse, Erfahrung mit target-query oder vergleichbare Dissect-Praxis und Grundlagen der Ereignisprotokollanalyse