Playbook für T1003 – Dumping von Anmeldeinformationen – Mimikatz-DCSync

Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents, bei denen vermutet wird, dass sie durch Mimikatz DCSync verursacht werden. Dieses Playbook wird ausgelöst, wenn einer der Mimikatz-Funktionen funktioniert (Lsadump::dcsync ) Wird verwendet. Die Funktion wird normalerweise auf angegriffenen Domänencontrollern (DC) verwendet.

Mimikatz ist ein beliebtes Hacking-Tool, mit dem Anwender Befehle ausgeben können, mit denen vertrauliche Daten aus dem angegriffenen System abgerufen werden können. Die vertraulichen Daten umfassen Passwörter, ihre Hashes und andere.

Hinweis:

Dies ist eine Warnung mit hoher Genauigkeit, die vermutlich selten ausgelöst wird. Wenn er ausgelöst wird, sollten Sie ein Senior-Teammitglied oder einen Manager sofort benachrichtigen.

• Richten Sie das DCsync-Playbook „T1003 – Anmeldeinformationsdumping – Mimikatz“ ein
  Führen Sie die folgenden Schritte aus, um das DCsync-Playbook „T1003 – Anmeldeinformationsdumping – Mimikatz“ einzurichten.
• Verwenden Sie das DCsync-Playbook T1003 – Anmeldeinformationsdumping – Mimikatz
  Verwenden Sie dieses Playbook, um Incidents zu untersuchen, bei denen vermutet wird, dass sie durch Mimikatz DCSync verursacht werden. Die folgenden Schritte geben Ihnen einen Rundgang durch die Aktionen, Aufgaben und Subflows, die im Playbook „T1003 – Dumping von Anmeldeinformationen – Mimikatz DCsync“ verfügbar sind.