T1003용 플레이북 - 자격 증명 덤핑 - Mimikatz DCSync
이 플레이북은 Mimikatz DCSync에 의해 발생한 것으로 의심되는 인시던트를 조사하기 위한 체계적인 정정 단계를 제공합니다. 이 플레이북은 Mimikatz 함수 (lsadump::d csync) 중 하나가 사용될 때 트리거됩니다. 이 함수는 일반적으로 공격받는 DC(도메인 컨트롤러)에서 사용됩니다.
Mimikatz는 사용자가 공격받은 시스템에서 기밀 데이터를 검색하는 데 도움이 되는 명령을 내릴 수 있도록 하는 인기 있는 해킹 도구입니다. 기밀 데이터에는 암호, 해시 등이 포함됩니다.
주:
이 경보는 충실도가 높은 경보로, 거의 트리거되지 않는 것으로 간주됩니다. 트리거되면 즉시 선임 팀 구성원이나 관리자에게 알려야 합니다.