RB-CONTAIN-003: Containment in Active Directory

Documentbeheer

1. Vereisten

• Logs van de domain controllers
• Authenticatietelemetrie
• Activiteit van geprivilegieerde accounts
• EDR-alerts
• SIEM-detecties
• Toegang tot Active Directory
• Toegang tot het EDR-platform
• Toegang tot de SIEM
• Toegang tot de identity provider
• Toegang tot PowerShell
• Toegang tot AD-audittools

2. Stap-voor-stap-instructies

Veelgemaakte fouten

• Geprivilegieerde sessies actief laten
• Credentials van service accounts niet roteren
• Persistence via shadow admins negeren
• Systemen herstellen vóór validatie van AD

1. Review de activiteit van geprivilegieerde accounts

   • Stel vast:
     • Gebruik van Domain Admin
     • Activiteit van Enterprise Admin
     • Afwijkingen bij service accounts
     • Nieuw aangemaakte geprivilegieerde accounts

2. Schakel vermoedelijk gecompromitteerde accounts uit

   • Direct:
     • Schakel gecompromitteerde geprivilegieerde accounts uit
     • Roteer geprivilegieerde credentials
     • Reset KRBTGT indien nodig

3. Stel persistence-mechanismen vast

   • Controleer op:
     • Scheduled tasks
     • Opstartscripts
     • Wijzigingen in GPO's
     • Kwaadaardige services
     • Shadow admin-accounts

4. Bescherm de domain controllers

   • Beperk beheertoegang
   • Isoleer DC's indien nodig
   • Review afwijkingen in de replicatie
   • Monitor op pieken in authenticatie

5. Valideer de integriteit van de identity-infrastructuur

   • Bevestig:
     • Integriteit van de GPO's
     • Gezondheid van de replicatie
     • Stabiliteit van de authenticatie
     • Integriteit van de beheergroepen

3. Na afloop

• Documenteer alle containment-stappen in het incidentticket, met het tijdstip van elke actie

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.