Windowsドメインアカウントが侵害された後、次に何をしますか？

ドメイン内のアカウントの1つが危険にさらされた場合のシナリオを準備しています。

アカウントを無効にすることは私の最初の回答になりますが、数週間前にここにペンテスターがいて、数か月前に去った管理者ユーザーのハッシュ化されたログインを使用できました。

これまでの2つの答えは次のとおりです。

1. アカウントを削除して再作成します（新しいSIDを作成しますが、ユーザーのドラマも作成します）
2. パスワードを少なくとも3回変更し、アカウントを無効にします

あなたの方法は何ですか、または何をお勧めしますか？

標準のユーザーアカウントのみが危険にさらされている場合は、パスワードを1回変更し、アカウントを有効にしておくことで問題ありません。パスワードが変更されると、ハッシュは機能しません。アカウントが無効になっている場合も機能しません。私自身、ペンテスターとして、ペンテスターがKerberosチケットを使用していたのだろうかと思います。特定の状況では、パスワードが変更された場合、またはアカウントが無効になっている場合や削除されている場合でも、これらは機能し続けます（軽減策のリンクを参照）。

ドメイン管理者アカウントが侵害された場合、文字通りゲームオーバーです。ドメインをオフラインにし、すべてのパスワードを変更する必要があります。また、krbtgtアカウントのパスワードを2回変更する必要があります。そうしないと、攻撃者は盗んだ情報で有効なKerberosチケットを発行できます。それがすべて完了したら、ドメインをオンラインに戻すことができます。

変更されたパスワードが推測されないように、アカウントロックアウトポリシーを実装します。アカウントの名前を変更しないでください。攻撃者はログイン名を簡単に見つけることができます。

もう1つの重要なポイントは、ユーザーをトレーニングすることです。彼らはおそらく、アカウントが危険にさらされることを意味する賢明でない何かをした。攻撃者はパスワードを知らないこともあり、そのアカウントとしてプロセスを実行しているだけかもしれません。たとえば、攻撃者にマシンへのアクセスを許可するマルウェアの添付ファイルを開くと、それらはアカウントとして実行されます。彼らはあなたのパスワードを知りません。あなたが管理者でない限り、彼らはあなたのパスワードハッシュを取得できません。ユーザーがワークステーションでローカル管理者として実行できないようにします。ドメイン管理者にドメイン管理者権限でワークステーションにログインさせないでください。

詳細情報/緩和策へのリンク：

https://blogs.microsoft.com/microsoftsecure/2015/02/11/krbtgt-account-password-reset-scripts-now-available-for-customers/

http://www.infosecisland.com/blogview/23758-A-Windows-Authentication-Flaw-Allows-DeletedDisabled-Accounts-to-Access-Corporate-Data.html

https://mva.microsoft.com/en-us/training-courses/how-to-avoid-golden-ticket-attacks-12134

数か月前に去った管理者ユーザーのハッシュ化されたログインを使用することができました。

盗まれた資格情報のハッシュは、ネットワークに接続されていないコンピューター上にない限り、無効になっているアカウントでは機能しません。プロセスは引き続きチケットを要求するか、ドメインコントローラーで認証する必要があります。アカウントが無効になっている場合、それはできません。

元従業員が退職するときは、管理アカウントを無効にする必要があります。

標準ユーザーアカウントを想定して、次のことを検討してください。

1. パスワードを変更します。
2. アカウントを無効にします。
3. アカウント（username-suspect）の名前を変更し、影響を受けるユーザーの新しいアカウントを作成します。
4. 疑わしいアカウントを「無効/侵害されたユーザー」セキュリティグループに追加します。

＃4については、次のことを実行するグ​​ループポリシーを既に用意しています。

• ネットワークからこのコンピューターへのアクセスを拒否する：「無効または侵害されたユーザー」
• リモートデスクトップサービスを介したログオンの拒否：「無効/侵害されたユーザー」
• ローカルでのログオンを拒否する：「無効/侵害されたユーザー」

ドメイン管理者アカウントの場合、ネットワーク全体が乾杯です。