Playbook für T1003 – Verteidigungsflucht – Mimikatz DCShadow

Dieses Playbook bietet systematische Korrekturschritte zur Untersuchung von Incidents, bei denen vermutet wird, dass sie durch Mimikatz DCShadow verursacht wurden. DCShadow ist eine Funktion in Mimikatz, die das Verhalten eines Domänencontrollers (eines Servers, der Active Directory steuert) simuliert, um seine eigenen Daten einzufügen, wobei die meisten Standardsicherheitskontrollen (einschließlich SIEMs) umgangen werden.

Mimikatz DCShadow hilft dem Angreifer, einen Rogue Domain Controller (DC) einzurichten, der Teil des Active Directory (AD) wird. Nach der Registrierung kann es als legitime DC fungieren und Schäden verursachen.

• Richten Sie das Playbook T1003 – Verteidigungsflucht – Mimikatz DCShadow ein
  Führen Sie die folgenden Schritte aus, um das Playbook T1003 – Defense Evasion – Mimikatz DCShadow einzurichten.
• Verwenden Sie das Playbook T1003 – Verteidigungsflucht – Mimikatz DCShadow
  Verwenden Sie dieses Playbook, um Security Incidents zu untersuchen, bei denen vermutet wird, dass sie durch Mimikatz DCShadow verursacht wurden. Die folgenden Schritte geben Ihnen einen Rundgang durch die Aktionen, Aufgaben und Subflows, die im Playbook T1003 – Verteidigungsflucht – Mimikatz DCShadow verfügbar sind.