Playbook für T1003 – Dumping von Anmeldeinformationen – Mimikatz DCSync

Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents, bei denen vermutet wird, dass sie durch Mimikatz DCSync verursacht wurden. Dieses Playbook wird ausgelöst, wenn einer der Mimikatz-Funktionen funktioniert (Lsadump::dcsync ) Wird verwendet. Die Funktion wird normalerweise auf angegriffenen Domänencontrollern (DC) verwendet.

Mimikatz ist ein beliebtes Hacking-Tool, mit dem Anwender Befehle ausgeben können, mit denen vertrauliche Daten aus dem angegriffenen System abgerufen werden können. Die vertraulichen Daten umfassen Passwörter, ihre Hashes und andere.

Hinweis:

Dies ist eine Warnung mit hoher Genauigkeit, von der angenommen wird, dass sie selten ausgelöst wird. Wenn er ausgelöst wird, sollten Sie ein Senior-Teammitglied oder einen Manager sofort benachrichtigen.

• Richten Sie das Playbook T1003 – Anmeldeinformationsdumping – Mimikatz DCsync ein
  Führen Sie die folgenden Schritte aus, um das Playbook T1003 – Anmeldeinformationsdumping – Mimikatz DCsync einzurichten.
• Verwenden Sie das Playbook T1003 – Anmeldeinformationsdumping – Mimikatz DCsync
  Verwenden Sie dieses Playbook, um Incidents zu untersuchen, bei denen vermutet wird, dass sie durch Mimikatz DCSync verursacht wurden. Die folgenden Schritte geben Ihnen einen Rundgang durch die Aktionen, Aufgaben und Subflows, die im Playbook T1003 – Anmeldeinformationsdumping – Mimikatz DCsync verfügbar sind.