AD · Incident Response · Incident Response
Active Directory DC compromise · Kerberoast + Pass-the-Ticket · 200 endpoint risk
200 endpoint'li üretim firmasında SOC analist anormal Kerberos TGS isteklerini fark etti. 12 dakikada 280 SPN için TGS-REQ. Saldırgan Domain Admin hash'i kırmaya çalışıyor. BloodHound göstergesi: 3 hafta önce de aynı PC'den deneme var. 11 kritik kararı sırayla vereceksin.
Senaryoya başlamadan önce
- Sen bu olayda karar veren kişisin · her seçim zaman/maliyet/itibar bırakır
- Yanlış cevap yok · gerçek hayatta da yok · ama bazı yollar daha pahalı
- Senaryoyu istediğin zaman tekrar başlatabilirsin · farklı yollar dene
- Sonunda 3-eksenli skor + alternatif rotalar gösterilir