Playbook für T1003 – Abwehrflucht – Mimikatz-DCShadow

Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents, bei denen vermutet wird, dass sie durch Mimikatz DCShadow verursacht werden. DCShadow ist eine Funktion in Mimikatz, die das Verhalten eines Domänencontrollers (eines Servers, der Active Directory steuert) simuliert, um seine eigenen Daten einzufügen, wobei die meisten Standardsicherheitskontrollen (einschließlich SIEMs) umgangen werden.

Mimikatz DCShadow hilft dem Angreifer, einen Rogue Domain Controller (DC) einzurichten, der Teil des Active Directory (AD) wird. Nach der Registrierung kann es als legitime DC fungieren und Schäden verursachen.

• Richten Sie das DCShadow-Playbook „T1003 – Abwehrflucht – Mimikatz“ ein
  Führen Sie die folgenden Schritte aus, um das DCShadow-Playbook „T1003 – Abwehrflucht – Mimikatz“ einzurichten.
• Verwenden Sie das DCShadow-Playbook „T1003 – Abwehrflucht – Mimikatz“
  Verwenden Sie dieses Playbook, um Security Incidents zu untersuchen, bei denen vermutet wird, dass sie durch Mimikatz DCShadow verursacht werden. Die folgenden Schritte geben Ihnen einen Rundgang durch die Aktionen, Aufgaben und Subflows, die im Playbook „T1003 – Abwehrflucht – Mimikatz“ verfügbar sind.