T1207: 流氓域控制器

摘要

攻击者可能注册流氓域控制器以操纵 Active Directory 数据。DCShadow 可用于创建流氓域控制器 (DC)。DCShadow 是一种通过注册（或重用非活动注册）并模拟 DC 行为来操纵 Active Directory (AD) 数据（包括对象和架构）的方法。(Citation: DCShadow Blog) 一旦注册，流氓 DC 可能能够向 AD 基础设施注入并复制对任何域对象的更改，包括凭据和密钥。 注册流氓 DC 涉及在 AD 架构的 Configuration 分区中创建新的 server 和 nTDSDSA 对象，这需要管理员权限（域或 DC 本地），或 KRBTGT 哈希。(Citation: Adsecurity Mimikatz Guide) 此技术可能绕过系统日志记录和安全监控器（如安全信息和事件管理 (SIEM) 产品）（因为在流氓 DC 上执行的操作可能不会报告给这些传感器）。(Citation: DCShadow Blog) 该技术还可用于更改和删除复制及其他相关元数据，以阻碍取证分析。攻击者还可能利用此技术执行 [SID-History 注入](https://attack.mitre.org/techniques/T1134/005)和/或操纵 AD 对象（如账户、访问控制列表、架构）以建立持久化后门。(Citation: DCShadow Blog)