¿Qué es el ataque DCSync?

DCSync es un ataque que permite a un adversario simular el comportamiento de un controlador de dominio (DC) y recuperar datos de contraseña mediante la replicación del dominio. El uso clásico de DCSync es como precursor de un ataque Golden Ticket , ya que se puede utilizar para recuperar el hash KRBTGT.

Específicamente, DCSync es un comando de la herramienta Mimikatz de código abierto. Utiliza comandos en el protocolo remoto del servicio de replicación de directorios (MS-DRSR) para simular el comportamiento de un controlador de dominio y solicitar a otros controladores de dominio que repliquen información, aprovechando las funciones válidas y necesarias de Active Directory que no se pueden desactivar ni desactivar.

[Guía gratuita] Prácticas recomendadas de gestión de acceso privilegiado

El proceso de ataque

El ataque DCSYNC funciona de la siguiente manera:

El atacante descubre un controlador de dominio para solicitar la replicación.
El atacante solicita la replicación del usuario mediante GetNCChanges
El DC devuelve datos de replicación al solicitante, incluidos los hash de contraseña.

Derechos requeridos

Se requieren algunos derechos muy privilegiados para ejecutar un ataque DCSync. Dado que normalmente un atacante tarda algún tiempo en obtener estos permisos, este ataque se clasifica como un ataque de cadena de eliminación de última etapa.

Generalmente, los administradores, administradores de dominio y administradores empresariales tienen los derechos necesarios para ejecutar un ataque DCSync. En concreto, se requieren los siguientes derechos:

Replicar cambios de directorio
Replicar todos los cambios de directorio

Replicar cambios de directorio en un conjunto filtrado

Cómo las soluciones Netwrix pueden ayudarle a detectar y frustrar ataques DCSync

Detección

Netwrix StealthDEFEND monitorea todo el tráfico de replicación del dominio en busca de signos de DCSync. No depende de registros de eventos ni de captura de paquetes de red. Su principal método de detección es encontrar patrones de comportamiento que coincidan con DCSync, incluida la actividad de replicación entre un controlador de dominio y una máquina que no es un controlador de dominio.

La solución proporciona un resumen claro de la actividad sospechosa, así como una visualización que ilustra qué usuario perpetró el ataque, el dominio y el usuario objetivo, y evidencia de respaldo del ataque. Si el mismo usuario ejecuta múltiples ataques DCSync, también se incluirá esta información crítica.

Respuesta

Para ejecutar DCSync, un atacante necesita privilegios elevados, por lo que la clave para frustrar un ataque es bloquear inmediatamente la escalada de privilegios. La respuesta estándar de deshabilitar la cuenta de usuario puede no ser suficiente, ya que cuando se detecta el ataque en curso, es probable que el atacante tenga una gran cantidad de otros recursos y opciones disponibles.

Netwrix StealthINTERCEPT proporciona políticas de bloqueo que pueden impedir que una cuenta o estación de trabajo ejecute una replicación adicional, lo que puede ralentizar un ataque y dar a los respondedores más tiempo para eliminar por completo la amenaza.