detecting-dcsync-attack-in-active-directory

name	detecting-dcsync-attack-in-active-directory
description	通过监控非域控制器账户通过 DsGetNCChanges 请求目录复制的行为，检测攻击者滥用 Active Directory 复制权限提取密码哈希的 DCSync 攻击。
domain	cybersecurity
subdomain	threat-hunting
tags	["threat-hunting","active-directory","dcsync","credential-theft","mitre-t1003-006","mimikatz","kerberos"]
version	1.0
author	mahipal
license	Apache-2.0

检测 Active Directory 中的 DCSync 攻击

适用场景

• 在 Active Directory 环境中狩猎凭据盗取活动时
• 拥有复制目录更改权限的账户被入侵后
• 调查疑似使用 Mimikatz 或 Impacket secretsdump 的情况时
• 涉及域管理员凭据横向移动的事件响应期间
• 作为安全加固的一部分审计 AD 复制权限时

前置条件

• 启用事件 ID 4662（对象访问）的 Windows 安全事件日志
• 已启用高级审计策略：审计目录服务访问
• 域控制器事件转发至 SIEM
• 了解合法域控制器的主机名和 IP
• 在域对象上配置 SACL 的目录服务访问审计

工作流程

1. 识别合法复制源：按主机名、IP 和计算机账户记录环境中所有域控制器。只有这些系统才应执行目录复制。
2. 启用必要审计：配置高级审计策略，通过特定 GUID 监控在域控制器上捕获事件 ID 4662 的复制权限。
3. 监控复制权限访问：跟踪对三个关键 GUID 的访问——DS-Replication-Get-Changes（1131f6aa-9c07-11d1-f79f-00c04fc2dcd2）、DS-Replication-Get-Changes-All（1131f6ad-9c07-11d1-f79f-00c04fc2dcd2）和 DS-Replication-Get-Changes-In-Filtered-Set（89e95b76-444d-4c62-991a-0facbeda640c）。
4. 检测非域控制器复制请求：当任何与域控制器无关的账户请求复制权限时发出告警。
5. 与网络流量关联：DCSync 会从攻击者的机器向域控制器产生复制流量（MS-DRSR/RPC）。监控来自非域控制器 IP 地址的 DrsGetNCChanges RPC 调用。
6. 调查源头上下文：检查发起复制请求的进程、用户账户和机器。
7. 检查凭据滥用：DCSync 检测后，审计提取哈希的后续使用情况（哈希传递、黄金票据创建）。

核心概念

概念	描述
T1003.006	操作系统凭据转储：DCSync
DCSync	模仿域控制器复制以提取凭据
DsGetNCChanges	用于请求 AD 复制数据的 RPC 函数
DS-Replication-Get-Changes	所需的 AD 权限（GUID：1131f6aa-...）
DS-Replication-Get-Changes-All	包含机密属性的权限（GUID：1131f6ad-...）
MS-DRSR	微软目录复制服务远程协议
KRBTGT 哈希	DCSync 的关键目标，可用于黄金票据（Golden Ticket）攻击
事件 ID 4662	目录服务对象访问审计事件

工具与系统

工具	用途
Mimikatz (lsadump::dcsync)	主要 DCSync 攻击工具
Impacket secretsdump.py	基于 Python 的 DCSync 实现
DSInternals	用于 AD 复制的 PowerShell 模块
BloodHound	映射具有复制权限的账户
Splunk / Elastic	4662 事件的 SIEM 关联
Microsoft Defender for Identity	原生 DCSync 检测
CrowdStrike Falcon	基于 EDR 的 DCSync 检测

检测查询

Splunk——通过事件 4662 检测 DCSync

index=wineventlog EventCode=4662
| where Properties IN ("*1131f6aa-9c07-11d1-f79f-00c04fc2dcd2*",
    "*1131f6ad-9c07-11d1-f79f-00c04fc2dcd2*",
    "*89e95b76-444d-4c62-991a-0facbeda640c*")
| where NOT match(SubjectUserName, ".*\\$$")
| where NOT SubjectUserName IN ("known_svc_account1", "known_svc_account2")
| stats count values(Properties) as ReplicationRights by SubjectUserName SubjectDomainName Computer
| where count > 0
| table SubjectUserName SubjectDomainName Computer count ReplicationRights

KQL——Microsoft Sentinel DCSync 检测

SecurityEvent
| where EventID == 4662
| where Properties has "1131f6ad-9c07-11d1-f79f-00c04fc2dcd2"
    or Properties has "1131f6aa-9c07-11d1-f79f-00c04fc2dcd2"
| where SubjectUserName !endswith "$"
| where SubjectUserName !in ("AzureADConnect", "MSOL_*")
| project TimeGenerated, SubjectUserName, SubjectDomainName, Computer, Properties
| sort by TimeGenerated desc

Sigma 规则——DCSync 活动

title: DCSync Activity Detected - Non-DC Replication Request
status: stable
logsource:
    product: windows
    service: security
detection:
    selection:
        EventID: 4662
        Properties|contains:
            - '1131f6aa-9c07-11d1-f79f-00c04fc2dcd2'
            - '1131f6ad-9c07-11d1-f79f-00c04fc2dcd2'
    filter_dc:
        SubjectUserName|endswith: '$'
    condition: selection and not filter_dc
level: critical
tags:
    - attack.credential_access
    - attack.t1003.006

常见场景

1. Mimikatz DCSync：拥有域管理员权限的攻击者运行 lsadump::dcsync /user:krbtgt 提取 KRBTGT 哈希，用于创建黄金票据。
2. Impacket secretsdump：通过 secretsdump.py domain/user:password@dc-ip 进行远程 DCSync，提取所有域哈希。
3. 委托复制权限：攻击者在执行 DCSync 之前通过 ACL 修改为自己授予复制目录更改权限。
4. Azure AD Connect 滥用：入侵拥有合法复制权限的 Azure AD Connect 服务账户。
5. DSInternals PowerShell：使用 Get-ADReplAccount cmdlet 复制特定账户凭据。

输出格式

Hunt ID: TH-DCSYNC-[DATE]-[SEQ]
Alert Severity: Critical
Source Account: [请求复制的账户]
Source Machine: [请求者的主机名/IP]
Target DC: [接收请求的域控制器]
Replication Rights: [访问的 GUID]
Timestamp: [事件时间]
Legitimate DC: [是/否]
Known Service Account: [是/否]
Risk Assessment: [严重 - 检测到非域控制器复制]