Outros alertas de segurança

Normalmente, os ataques cibernéticos são iniciados contra qualquer entidade acessível, como um usuário com poucos privilégios e, em seguida, se movem lateralmente com rapidez até que o invasor obtenha acesso a ativos valiosos. Os ativos valiosos podem ser contas confidenciais, administradores de domínio ou dados altamente confidenciais. O Microsoft Defender para Identidade identifica essas ameaças avançadas na origem ao longo de toda a cadeia de ataque e classifica-as nas seguintes fases:

1. Alertas de reconhecimento e descoberta
2. Alertas de elevação de privilégio e persistência
3. Alertas de acesso a credenciais
4. Alertas de movimentação lateral
5. Outras

Para entender melhor a estrutura e os componentes comuns de todos os alertas de segurança do Defender para Identidade, confira Noções básicas sobre os alertas de segurança. Para obter informações sobre TP (verdadeiro positivo), B-TP (verdadeiro positivo benigno) e FP (falso positivo), confira Classificações de alertas de segurança.

Os alertas de segurança a seguir ajudam você a identificar e corrigir as atividades suspeitas da fase de Outros detectadas pelo Defender para Identidade na sua rede.

Suspeita de ataque DCShadow (promoção do controlador de domínio) (ID externo 2028)

Nome anterior: Promoção suspeita do controlador de domínio (possível ataque DCShadow)

Gravidade: Alta

Descrição:

Um ataque DCShadow (Sombra do Controlador de Domínio) é projetado para alterar objetos de diretório usando replicação mal-intencionada. Esse ataque pode ser executado de um computador criando um controlador de domínio fraudulento usando um processo de replicação.

Em um ataque DCShadow, RPC e LDAP são usados para:

1. Registrar a conta do computador como um controlador de domínio (usando direitos de administrador de domínio).
2. Execute a replicação (usando os direitos de replicação concedidos) por DRSUAPI e envie alterações aos objetos de diretório.

Nessa detecção do Defender para Identidade, um alerta de segurança é disparado quando um computador na rede tenta se registrar como um controlador de domínio de um invasor.

Período de aprendizado:

Nenhum

MITRE:

Sugestão de etapas para prevenção:

Valide as seguintes permissões:

1. Replicar alterações de diretório.
2. Replicar todas as alterações de diretório.
3. Para obter mais informações, confira Conceder permissões do Active Directory Domain Services para sincronização de perfil no SharePoint Server 2013. Você pode usar o Verificador de ACL do AD ou criar um script do Windows PowerShell para determinar quem tem essas permissões no domínio.

Suspeita de ataque DCShadow (solicitação de replicação do controlador de domínio) (ID externo 2029)

Nome anterior: Solicitação de replicação suspeita (possível ataque DCShadow)

Gravidade: Alta

Descrição:

A replicação do Active Directory é o processo pelo qual as alterações feitas em um controlador de domínio são sincronizadas com outros controladores de domínio. Dadas as permissões necessárias, os invasores podem conceder direitos para uma conta de computador, permitindo que eles se passem por um controlador de domínio. Os invasores se esforçam para iniciar uma solicitação de replicação mal-intencionada, permitindo que alterem objetos do Active Directory em um controlador de domínio genuíno, o que pode dar aos invasores persistência no domínio. Nessa detecção, um alerta é acionado quando uma solicitação de replicação suspeita é gerada em relação a um controlador de domínio original protegido pelo Defender para Identidade. O comportamento é indicativo de técnicas usadas em ataques de sombra de controlador de domínio.

Período de aprendizado:

Nenhum

MITRE:

Sugestão de remediação e medidas para prevenção:

Valide as seguintes permissões:

1. Replicar alterações de diretório.
2. Replicar todas as alterações de diretório.
3. Para obter mais informações, confira Conceder permissões do Active Directory Domain Services para sincronização de perfil no SharePoint Server 2013. Você pode usar o Verificador de ACL do AD ou criar um script do Windows PowerShell para determinar quem no domínio tem essas permissões.

Conexão VPN suspeita (ID externo 2025)

Nome anterior: Conexão VPN suspeita

Gravidade: Média

Descrição:

A Defender para Identidade aprende o comportamento da entidade dos usuários de conexões VPN em um período corrido de um mês.

O modelo de comportamento de VPN é baseado nos computadores em que os usuários fazem logon e nos locais de onde eles se conectam.

Um alerta é aberto quando existe um desvio no comportamento do usuário com base em um algoritmo de aprendizado de máquina.

Período de aprendizado:

30 dias a contar da primeira conexão VPN e pelo menos 5 conexões VPN nos últimos 30 dias, por usuário.

MITRE:

Tentativa de execução remota de código por DNS (ID externo 2019)

Nome anterior: Tentativa de execução remota de código

Gravidade: Média

Descrição:

Os invasores que comprometem credenciais administrativas ou usam uma exploração de dia zero podem executar comandos remotos no controlador de domínio ou no servidor de AD FS/AD CS. Essa opção pode ser usada para ganhar persistência, coletar informações, ataques de negação de serviço (DOS) ou para outros motivos. O Defender para Identidade detecta conexões PSexec, WMI remoto e PowerShell.

Período de aprendizado:

Nenhum

MITRE:

Sugestão de etapas para prevenção:

1. Restrinja o acesso remoto a controladores de domínio de computadores que não sejam de nível 0.
2. Implemente o acesso privilegiado, permitindo que apenas computadores protegidos se conectem a controladores de domínio para administradores.
3. Implemente o acesso menos privilegiado em computadores de domínio para permitir que apenas usuários específicos tenham o direito de criar serviços.

Criação de serviço suspeito (ID externo 2026)

Nome anterior: Criação de serviço suspeito

Gravidade: Média

Descrição:

Um serviço suspeito foi criado em um controlador de domínio ou servidor de AD FS/AD CS em sua organização. Esse alerta depende do evento 7045 para identificar essa atividade suspeita.

Período de aprendizado:

Nenhum

MITRE:

Sugestão de etapas para prevenção:

1. Restrinja o acesso remoto a controladores de domínio de computadores que não sejam de nível 0.
2. Implemente o acesso privilegiado para permitir que apenas computadores protegidos se conectem a controladores de domínio para administradores.
3. Implemente o acesso menos privilegiado em computadores de domínio para dar o direito de criar serviços apenas para usuários específicos.

Comunicação suspeita por DNS (ID externo 2031)

Nome anterior: Comunicação suspeita por DNS

Gravidade: Média

Descrição:

O protocolo DNS na maioria das organizações normalmente não é monitorado e raramente é bloqueado para atividades mal-intencionadas, permitindo que um invasor em um computador comprometida abuse do protocolo DNS. A comunicação mal-intencionada por DNS pode ser usada para exfiltração, comando e controle de dados e/ou evasão de restrições da rede corporativa.

Período de aprendizado:

Nenhum

MITRE:

Exfiltração de dados por SMB (ID externo 2030)

Gravidade: Alta

Descrição:

Os controladores de domínio têm os dados organizacionais mais confidenciais. Para a maioria dos invasores, uma das principais prioridades é obter acesso ao controlador de domínio para roubar os dados mais confidenciais. Por exemplo, a exfiltração do arquivo Ntds.dit, armazenado no DC, permite que um invasor forje TGTs (Tíquetes de Concessão de Tíquete) do Kerberos fornecendo autorização para qualquer recurso. Os TGTs do Kerberos forjados permitem que o invasor defina a expiração do tíquete de forma arbitrária. Um alerta de Exfiltração dos dados por SMB do Defender para Identidade é disparado quando são observadas transferências de dados suspeitas nos controladores de domínio monitorados.

Período de aprendizado:

Nenhum

MITRE:

Exclusão suspeita das entradas do banco de dados de certificados (ID externa 2433)

Gravidade: Média

Descrição:

A exclusão de entradas de banco de dados de certificados é um sinal de alerta, indicando possível atividade maliciosa. Esse ataque pode interromper o funcionamento dos sistemas de PKI (Infraestrutura de Chave Pública), afetando a autenticação e a integridade dos dados.

Período de aprendizado:

Nenhum

MITRE:

Desativação suspeita de filtros de auditoria do AD CS (ID externa 2434)

Gravidade: Média

Descrição:

Desabilitar filtros de auditoria no AD CS pode permitir que invasores operem sem serem detectados. Esse ataque visa evitar o monitoramento de segurança, desabilitando filtros que, de outra forma, sinalizariam atividades suspeitas.

Período de aprendizado:

Nenhum

MITRE:

Alteração de senha do modo de restauração dos Serviços de Diretório (ID externa 2438)

Gravidade: Média

Descrição:

O DSRM (Modo de Restauração dos Serviços de Diretório) é um modo de inicialização especial nos sistemas operacionais Microsoft Windows Server que permite que um administrador repare ou restaure o banco de dados do Active Directory. Normalmente, esse modo é usado quando há problemas com o Active Directory e a inicialização normal não é possível. A senha do DSRM é definida durante a promoção de um servidor para um controlador de domínio. Nessa detecção, um alerta é disparado quando o Defender para Identidade detecta que uma senha do DSRM foi alterada. Recomendamos investigar o computador de origem e o usuário que fez a solicitação para saber se a alteração da senha do DSRM foi iniciada por uma ação administrativa legítima ou se há preocupações sobre acesso não autorizado ou possíveis ameaças à segurança.

Período de aprendizado:

Nenhum

MITRE:

Roubo possível de sessão Okta

Gravidade: Alta

Descrição:

No roubo de sessão, os invasores roubam os cookies do usuário legítimo para usar em outros locais. Recomendamos investigar o IP de origem que executa as operações para saber se essas operações são legítimas ou não e se o endereço IP está sendo usado pelo usuário.

Período de aprendizado:

2 semanas

MITRE:

Violação de Política de Grupo (ID externa 2440) (Versão prévia)

Gravidade: Média

Descrição:

Uma alteração suspeita foi detectada na Política de Grupo, resultando na desativação do Microsoft Defender Antivírus. Essa atividade pode indicar uma violação de segurança por um invasor com privilégios elevados que pode preparar o cenário para a distribuição de ransomware. 

Etapas sugeridas para a investigação:

1. Entender se a alteração do GPO é legítima

2. Se não for o caso, reverta a alteração

3. Entenda como a política de grupo está vinculada para estimar seu escopo de impacto

Período de aprendizado:

Nenhum

MITRE:

Confira também

• Investigar ativos
• Noções básicas sobre alertas de segurança
• Gerenciar alertas de segurança
• Referência de log de SIEM do Defender para Identidade
• Trabalhar com caminhos de movimentação lateral
• Consulte o fórum do Defender para Identidade!