Verwenden Sie das Playbook T1003 – Verteidigungsflucht – Mimikatz DCShadow

Verwenden Sie dieses Playbook, um Security Incidents zu untersuchen, bei denen vermutet wird, dass sie durch Mimikatz DCShadow verursacht wurden. Die folgenden Schritte geben Ihnen einen Rundgang durch die Aktionen, Aufgaben und Subflows, die im Playbook T1003 – Verteidigungsflucht – Mimikatz DCShadow verfügbar sind.

Vorbereitungen

Erforderliche Rolle:

• sn_si.admin
• flow_designer

Prozedur

1. Wenn das Playbook ausgelöst wird und die Ausführung beginnt, finden Sie in Aktion 1 heraus, welcher Account für die Erstellung des neuen DC (Domänencontrollers) verantwortlich ist.
2. Wenden Sie sich in Aktion 2 an den Anwender, um die geschäftliche Begründung zu validieren.
   Sie können die bereitgestellte E-Mail-Vorlage verwenden, um den Anwender zu kontaktieren.
3. Überprüfen Sie in Aktion 3, ob der Anwender eine gültige geschäftliche Begründung angegeben hat.
4. Führen Sie in Aktion 4 die folgenden Schritte aus, wenn der Anwender eine gültige geschäftliche Begründung angegeben hat:

   Abbildung : 1. T1003 – Verteidigungsflucht – Mimikatz DCShadow-Playbook

   

   1. Dokumentieren Sie in Aktion 5 die bisherigen Ergebnisse.
   2. Initiieren Sie in Aktion 6 eine Überprüfung nach Incident.
      In Aktion 7 endet der Flow nach der Überprüfung nach dem Incident.
5. Wenn der Anwender in Aktion 8 keine gültige geschäftliche Begründung angegeben hat, führen Sie die folgenden Schritte aus:

   Abbildung : 2. Mit dem Playbook T1003 – Verteidigungsflucht – Mimikatz DCShadow

   

   1. Sperren oder Quarantäne Sie in Aktion 9 alle Accounts, Computer und anderen beteiligten Geräte.
   2. Führen Sie in Aktion 10 eine forensische Untersuchung der gesperrten Accounts durch, und identifizieren Sie, ob Daten exfiltriert wurden oder böswilliger Code injiziert wurde.
   3. Führen Sie in Aktion 11 ein neues Image für die betroffenen Ressourcen durch.
   4. Heben Sie in Aktion 12 die Eindämmung auf, und bringen Sie Systeme wieder auf Betriebsstandards zurück.
   5. Schließen Sie in Aktion 13 die Überprüfung nach dem Incident ab, bevor Sie die Aufgabe schließen.