Sicherheits-Ereignis-IDs in Active Directory: DC-Referenz

Das Security-Protokoll eines Domänencontrollers kann einige Hundert verschiedene Ereignis-IDs aufzeichnen. Vielleicht vierzig davon verraten etwas Nützliches über einen Angriff auf Active Directory, und eine deutlich kleinere Zahl sagt für sich allein genommen aus, was passiert ist. Diese Referenz listet die Ereignisse auf, die auf DCs und AD-CS-Servern zählen. Für jedes nennt sie die Überwachungsunterkategorie, die es erzeugt, was es aufzeichnet und nach welchen Feldern Sie bei der Jagd filtern sollten.

Der Grundlagenleitfaden zu Auditing und Erkennung behandelt das Aktivieren der erweiterten Überwachungsrichtlinie und der SACLs. Diese Seite setzt voraus, dass diese Arbeit erledigt ist, und konzentriert sich auf das Lesen der Ergebnisse. Alle Unterkategorien befinden sich unter Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration > Audit Policies.

So lesen Sie diese Referenz

Drei Regeln sparen Zeit:

• Wo das Ereignis protokolliert wird, ist entscheidend. Kerberos (4768, 4769, 4771) und die NTLM-Validierung (4776) für Domänenkonten werden auf dem DC protokolliert, der die Anforderung bearbeitet hat. Anmeldeereignisse (4624, 4625) werden auf dem Computer protokolliert, an dem sich der Benutzer angemeldet hat. Eine Anmeldung an einem Dateiserver erzeugt 4769 auf einem DC und 4624 auf dem Dateiserver.
• Ohne aktivierte Unterkategorie wird nichts protokolliert. Verzeichnisereignisse benötigen zusätzlich eine SACL auf dem Objekt.
• Filtern Sie nach Feldern, nicht nach Meldungstext. Ereignismeldungen sind lokalisiert und ändern sich mit der Zeit, die XML-Feldnamen (TargetUserName, TicketEncryptionType, Status) sind dagegen stabil.

Abfrage nach ID und Feld auf einem DC:

# Die letzten 50 fehlgeschlagenen Kerberos-Vorauthentifizierungen auf diesem DC
Get-WinEvent -FilterHashtable @{ LogName = 'Security'; Id = 4771 } -MaxEvents 50 |
  ForEach-Object {
    $x = [xml]$_.ToXml()
    [pscustomobject]@{
      Time    = $_.TimeCreated
      Account = ($x.Event.EventData.Data | Where-Object Name -eq 'TargetUserName').'#text'
      Client  = ($x.Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text'
      Code    = ($x.Event.EventData.Data | Where-Object Name -eq 'Status').'#text'
    }
  }

Anmelde- und Sitzungsereignisse

Unterkategorien: Logon/Logoff > Audit Logon, Audit Special Logon, Audit Logoff, Audit Other Logon/Logoff Events.

Anmeldetypen, nach denen Sie filtern werden: 2 interaktiv, 3 Netzwerk, 4 Batch, 5 Dienst, 7 Entsperren, 8 Netzwerk-Klartext, 9 NewCredentials (runas /netonly, wird auch von manchen Werkzeugen zur Injektion von Anmeldeinformationen erzeugt), 10 RemoteInteractive (RDP), 11 zwischengespeichert interaktiv.

Häufige 4625-Sub-Status-Codes:

Eine Häufung von 0xC000015B für Tier-0-Konten auf Arbeitsstationen bedeutet oft, dass Ihre Deny-Logon-Rechte aus dem Tiering wie vorgesehen greifen – es lohnt sich, das als Trend zu verfolgen.

Kerberos-Ereignisse

Unterkategorien: Account Logon > Audit Kerberos Authentication Service (4768, 4771, 4772) und Audit Kerberos Service Ticket Operations (4769, 4770, 4773).

Werte für den Verschlüsselungstyp: 0x11 AES128, 0x12 AES256, 0x17 RC4-HMAC, 0x18 RC4-HMAC-EXP, 0x1 / 0x3 DES (sollte nie auftreten). Das Verfolgen von 0x17 in 4768 und 4769 ist die Art, wie Sie den Fortschritt hin zur Deaktivierung von RC4 messen. Neuere Builds ergänzen Felder wie die verfügbaren Schlüssel des Kontos und den Verschlüsselungstyp des Sitzungsschlüssels. Sie erleichtern diese Messung erheblich; passen Sie Ihre Parser also an, um sie zu nutzen.

Ein fehlgeschlagenes 4769 mit Status 0x1F (Integritätsprüfung für ein entschlüsseltes Feld fehlgeschlagen) kann auf gefälschte oder manipulierte Tickets hindeuten. Rechnen Sie mit Fehlalarmen durch Zeit- und Vertrauensstellungsprobleme und behandeln Sie diese daher als Spuren, denen Sie nachgehen, nicht als Urteile.

NTLM-Ereignisse

Unterkategorie: Account Logon > Audit Credential Validation.

Für die NTLM-Nutzung nach Protokollversion und Zielserver aktivieren Sie Network security: Restrict NTLM: Audit NTLM authentication in this domain und lesen das Protokoll Microsoft-Windows-NTLM/Operational (8001 bis 8004). Dieses Vorgehen wird in NTLM auditieren und einschränken behandelt.

Ereignisse der Kontoverwaltung

Unterkategorien: Account Management > Audit User Account Management, Audit Computer Account Management, Audit Security Group Management.

Benutzer

Gruppen

Alarmieren Sie in Echtzeit bei 4728, 4732 und 4756, wenn das Ziel eine Tier-0-Gruppe ist. Filtern Sie nach TargetSid statt nach dem Namen, damit auch umbenannte oder lokalisierte Gruppen erfasst werden.

Computer

Verzeichnisdienstereignisse

Unterkategorien: DS Access > Audit Directory Service Access (4662) und Audit Directory Service Changes (5136 bis 5141). SACLs erforderlich.

5136 protokolliert ein Ereignis pro hinzugefügtem oder entferntem Attributwert, mit OperationType %%14674 (Wert hinzugefügt) oder %%14675 (Wert gelöscht). Eine einzige ACL-Änderung erzeugt ein Löschereignis für den alten Deskriptor und ein Hinzufügeereignis für den neuen. Korrelieren Sie das Paar über OpCorrelationID.

Nützliche Ereignisse außerhalb des Security-Protokolls:

• Directory-Service-Protokoll 2889: LDAP-Bindungen ohne Signierung. Siehe LDAP-Signierung und Channel Binding.
• Directory-Service-Protokoll 2089: Partition wurde nicht innerhalb des Backup-Latenzintervalls gesichert.
• System-Protokoll 7045: neuer Dienst auf einem DC installiert.

Ereignisse zu Richtlinien, Vertrauensstellungen und Systemintegrität

Behandeln Sie 1102, 4719 und jedes 4706 auf DCs als Ereignisse, bei denen jemand sofort alarmiert wird. Legitime Vorkommen sind selten und sollten immer zu einem Änderungsticket passen.

AD-CS-Ereignisse

Unterkategorie: Object Access > Audit Certification Services. Die Zertifizierungsstelle benötigt außerdem einen eigenen Überwachungsfilter, den Sie auf dem CA-Server festlegen:

certutil -setreg CA\AuditFilter 127
Restart-Service certsvc

Auf DCs melden die Ereignisse 39, 40 und 41 (Kerberos-Key-Distribution-Center) im System-Protokoll schwache Zertifikatzuordnungen. Sie werden unter starker Zertifikatzuordnung behandelt. Das Gesamtbild zu den Vorlagen finden Sie in Härtung der AD CS.

Fallstricke

• Überraschende Volumina. 4624 Typ 3, 4634, 4769 und 4662 dominieren das Protokollvolumen auf DCs. Leiten Sie sie trotzdem weiter, setzen Sie die Größe des Security-Protokolls aber so hoch (auf ausgelasteten DCs mehrere GB), dass die lokalen Protokolle mindestens einige Tage abdecken, falls die Weiterleitungs-Pipeline stockt.
• Verwechslung von 4771 und 4625. Kerberos-Fehler erzeugen auf dem DC kein 4625. Eine Password-Spraying-Erkennung, die nur auf 4625 basiert, übersieht die meisten domänenweiten Angriffe.
• Lokalisierte Namen. Gruppennamen in Ereignissen sind auf nicht englischsprachigen DCs lokalisiert. Gleichen Sie über SIDs ab: bekannte Domänen-RIDs (512 Domain Admins, 519 Enterprise Admins, 518 Schema Admins) und die integrierte SID S-1-5-32-544 (Administrators), die kein Domänenpräfix hat.
• Gemischte Überwachungsrichtlinie. Werden herkömmliche Kategorieeinstellungen neben der erweiterten Überwachungsrichtlinie angewendet, ohne dass Audit: Force audit policy subcategory settings aktiviert ist, bleiben Ereignisse stillschweigend aus.
• Ausufernde SACLs. Eine SACL für Jeder, die das Lesen aller Eigenschaften am Domänenstamm überwacht, flutet das Protokoll. Beschränken Sie die Leseüberwachung auf Köder und die Schreibüberwachung auf Tier-0-Objekte.
• Uhrzeitabweichung. Die Korrelation von 4768 auf einem DC mit 4624 auf einem Server funktioniert nur, wenn die Zeitsynchronisierung in der gesamten Domäne intakt ist.

Weiterführende Lektüre: Bringen Sie diese Ereignisse mit Windows Event Forwarding von den DCs weg, machen Sie aus einigen von ihnen mit Honeytokens Alarme nahezu ohne Fehlalarme, und stöbern Sie im übrigen Bereich Auditing, Protokollierung & Erkennung.