Windows AD Attacks — Froggy Network

MAIN

Dans le scénario Windows Active Directory Attacks (SWADA), vous observez plusieurs attaques visant des utilisateurs et des machines membres d’un domaine Active Directory. L’objectif principal des attaquants est d’obtenir des privilèges d’Administrateur du domaine. Votre mission est de détecter les activités suspectes et de prévenir ces attaques. Vous devez renforcer la configuration de sécurité d’Active Directory pour atténuer les vulnérabilités. La maîtrise de la gestion des stratégies de groupe (GPO) et de l’administration des comptes AD est requise.

Durée de l'apprentissage [h] : 1

Durée de l'exercice [h] : 4

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 5 vs Auto

Mode - Human Blue Team vs Human Red Team : 5 vs 2

Techniques MITRE ATT&CK :

Le scénario principal regroupe toutes les techniques MITRE listées dans les scénarios atomisés ci-dessous.

Abus d’identifiants admin extraits d’un fichier sur SYSVOL

Identifiez et supprimez le script contenant un mot de passe dans le répertoire SYSVOL, puis durcissez la configuration d’Active Directory pour empêcher ce type d’abus.

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 4 vs Auto

Mode - Human Blue Team vs Human Red Team : 4 vs 1

MITRE :

Valid Accounts (Initial Access)
Command and Scripting Interpreter
Unsecured Credentials
Automated Collection
Application Layer Protocol
Data Encoding
Encrypted Channel

Compte ordinateur en groupe Admin — exécution d’un stager RAT sur le DC

Révoquez les privilèges de débogage du compte Administrateur local. Détectez et corrigez les erreurs de configuration, notamment l’ajout de comptes ordinateurs à des groupes à privilèges élevés non destinés à l’administration.

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 4 vs Auto

Mode - Human Blue Team vs Human Red Team : 4 vs 1

MITRE :

Valid Accounts (Initial Access)
Command and Scripting Interpreter
Valid Accounts (Privilege Escalation)
Application Layer Protocol
Data Encoding
Encrypted Channel
Non-Standard Port

Mauvaise utilisation d’un compte utilisateur membre d’un groupe Admin

Détectez et supprimez les erreurs de configuration consistant à ajouter des comptes utilisateurs à des groupes à privilèges élevés alors qu’ils ne sont pas destinés à des activités d’administration (exécution de stager Empire observée).

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 3 vs Auto

Mode - Human Blue Team vs Human Red Team : 3 vs 1

MITRE :

Valid Accounts (Initial Access)
Command and Scripting Interpreter
Valid Accounts (Privilege Escalation)
Application Layer Protocol
Data Encoding
Encrypted Channel

Pivot via Admin local (abus des Group Policy Preferences)

Bloquez l’utilisation du compte Administrateur local via le réseau et supprimez tout mot de passe stocké dans les Group Policy Preferences (GPP).

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 4 vs Auto

Mode - Human Blue Team vs Human Red Team : 4 vs 1

MITRE :

Valid Accounts (Initial Access)
Valid Accounts (Privilege Escalation)
Create Account
Unsecured Credentials

Exécution d’un script malveillant sur le DC

Vérifiez l’accès aux contrôleurs de domaine et révoquez les droits des comptes destinés au travail bureautique (non administratifs). Durcissez la configuration d’AD pour réduire la surface d’attaque.

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 3 vs Auto

Mode - Human Blue Team vs Human Red Team : 3 vs 1

MITRE :

Valid Accounts (Initial Access)
Command and Scripting Interpreter
Valid Accounts (Privilege Escalation)
File and Directory Discovery
Automated Collection

Comptes Administrateur surdimensionnés

Localisez les comptes d’administrateurs du domaine, empêchez leur délégation et bloquez l’usage du compte Administrateur local via le réseau. Renforcez la configuration d’Active Directory (GPO, comptes, services) pour limiter les abus de privilèges.

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 3 vs Auto

Mode - Human Blue Team vs Human Red Team : 3 vs 2

MITRE :

Valid Accounts (Initial Access)
Valid Accounts (Privilege Escalation)
Create Account
Remote Services
Data from Local System
Application Layer Protocol

Compte de service surdimensionné — attaque DCSync

Recherchez les objets ayant le droit de répliquer les changements entre contrôleurs de domaine et retirez ces permissions des objets qui ne devraient pas les posséder (réduction du risque DCSync).

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 4 vs Auto

Mode - Human Blue Team vs Human Red Team : 4 vs 1

MITRE :

Valid Accounts (Initial Access)
Valid Accounts (Privilege Escalation)
Create Account
OS Credential Dumping
Use Alternative Authentication Material
Data from Information Repositories

Password spraying via protocole Kerberos

Mettez en place une stratégie de mots de passe appropriée et un verrouillage automatique après plusieurs échecs d’authentification afin de contrer le password spraying sur Kerberos.

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 3 vs Auto

Mode - Human Blue Team vs Human Red Team : 3 vs 1

MITRE :

Brute Force
Remote Services
Application Layer Protocol

Connexion d’un compte de service au DC et exécution d’un stager Empire

Supprimez ou désactivez le compte de service concerné, vérifiez les accès aux contrôleurs de domaine et révoquez les droits inadaptés accordés à des comptes non administratifs.

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 3 vs Auto

Mode - Human Blue Team vs Human Red Team : 3 vs 1

MITRE :

Valid Accounts (Initial Access)
Command and Scripting Interpreter
Valid Accounts (Privilege Escalation)
Application Layer Protocol
Data Encoding
Encrypted Channel

Identifiants admin depuis une sauvegarde NTDS.dit sur partage public

Localisez et supprimez une sauvegarde de l’état du système (NTDS.dit) laissée sur un partage réseau. Renforcez AD (GPO, comptes) pour éviter l’exfiltration et l’abus d’identifiants d’administration.

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Intermédiaire

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 2 vs Auto

Mode - Human Blue Team vs Human Red Team : 2 vs 1

MITRE :

Valid Accounts (Initial Access)
Command and Scripting Interpreter
Create Account
Valid Accounts (Privilege Escalation)
Brute Force
Use Alternative Authentication Material
Data from Network Shared Drive
Application Layer Protocol
Data Encoding
Encrypted Channel

Escalade de privilèges par un membre d’Account Operators

Détectez et corrigez les erreurs de configuration : retirez des groupes à privilèges les comptes qui n’ont pas vocation à réaliser des tâches d’administration.

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Avancé

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 3 vs Auto

Mode - Human Blue Team vs Human Red Team : 3 vs 1

MITRE :

Valid Accounts (Initial Access)
Valid Accounts (Privilege Escalation)
Create Account

Kerberoast (craquage de mots de passe TGS)

Identifiez les comptes de service et convertissez-les en Managed Service Accounts (MSA). Supprimez ou désactivez ensuite l’ancien compte de service pour réduire l’attaque Kerberoast.

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Avancé

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 3 vs Auto

Mode - Human Blue Team vs Human Red Team : 3 vs 2

MITRE :

Valid Accounts (Initial Access)
Command and Scripting Interpreter
Steal or Forge Kerberos Tickets
System Service Discovery
Application Layer Protocol
Data Encoding
Encrypted Channel
Non-Standard Port

Relais NTLM — cas d’usage SMB relay

Prévenez les attaques de relais NTLM par une configuration adéquate des politiques de sécurité (désactivation de LM/NTLM là où possible, SMB signing, etc.) et un durcissement global d’Active Directory.

Durée de l'apprentissage [h] : 2

Durée de l'exercice [h] : 1

Niveau de difficulté : Avancé

Mode - Single Player : Oui

Mode - Human Blue Team vs Environment : 3 vs Auto

Mode - Human Blue Team vs Human Red Team : 3 vs 1

MITRE :

Create Account
Adversary-in-the-Middle
Network Sniffing

Windows AD Attacks Scenario

Durée de l'examen de certification : 8 heures

Tous les cours et tous les modes sont disponibles avec formateur [Présentiel & Distanciel] et sans formateur [Autonomie].