Плейбук: подозрение на компрометацию контроллера домена
Изолируйте контроллер домена по сети и не перезагружайте его, если есть признаки, что домен уже не ваш: странные привилегированные входы, новые админы, массовые сбросы. Неактивные учётки ищут по расписанию: неактивные в AD. Сутки: первые 24 часа. Каталог: каталог плейбуков.
Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Инструменты извлечения хешей, «проверки» доверия доменов атакой и любые PoC не используем.
Признаки и что не делать
Неизвестная учётка в Domain Admins, вход krbtgt в странное время, массовое создание учёток, EDR на DC. Не логиньтесь на DC привычным админом с заражённой станции. Не «пересоздайте домен за ночь» без решения. Не выключайте питание.
Первые шаги
- Сеть: DC и другие контроллеры только из сегмента управления, пользовательский VLAN отрежьте: сегмент администрирования.
- Сохраните журналы Security и системные копии штатными средствами Windows, не сторонними «дампами памяти с форума».
- Зовите расследование с письменным договором. Самодеятельная «чистка AD» чаще прячет следы.
- Сервисные пароли и LAPS после решения следователя, не в первые пять минут с той же станции: LAPS.
- Резерв DC — отдельная тема очереди; restore только на чистые машины и после закрытия точки входа: 3-2-1.
Приоритет: критический всегда. Эскалация директору в первый час. Связь — независимый канал. Если ПДн в домене могли выгрузить — сроки РКН.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Починили «одним скриптом из чата» | Скрипт мог быть вторым этапом. Откат, специалисты |
| Отрезали DC, почта и VPN легли | Так и будет. Это цена изоляции, не повод вернуть DC в пользовательский VLAN |
Где это в модели зрелости
Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Одна учётка — обзор пяти. Весь каталог домена — этот плейбук и внешние следователи.
Как проверить
- В плейбуке нет названий инструментов атаки на AD.
- Контакт расследования записан до инцидента.
- Изоляция DC не требует логина с пользовательской станции.
Источники
- CIS Control 17: cisecurity.org/controls.
