Microsoft Defender for Identity是一个基于云的安全解决方案,利用本地 Active Directory信号识别、检测并调查针对企业内部的高级威胁、身份盗用和恶意内部操作。Defender for Identity之前的名字Azure ATP为微软三大ATP之一,大家应该不陌生。ATP对应的本地部署版本为Advanced Threat Analytics(ATA 已于2021年1月12日结束主流支持。扩展支持将持续到2026年1月。)
Microsoft Defender for Identity体系架构
Defender for Identity需要在企业环境中安装传感器,在ATA体系中叫做ATA网关。传感器可以选择直接安装在域控服务器和ADFS服务器上,也可以独立安装(需要做域控的端口镜像)
传感器会在本地收集相关事件和日志信息,并传输到Defender for Identity门户中,同时Defender云服务会连接到Microsoft Intelligent Security Graph通过机器学习分析安全威胁信号,达到防护、侦测、回应甚至反击的效果,传感器的主要功能如下:
Defender for identity时间线
下面我们将通过一次内网的overpass-the-hash攻击的事件来介绍下Defender for identity如何来监视安全威胁事件的。
那么这样一系列的攻击过程,Defender for Identity是如何来侦查的呢?我们回到Defender Portal,查看时间线,发现刚才的攻击行为已经产生了警报。如下图中的SMB侦测和overpass-the-hase攻击。
从上图内容,我们发现了azure这个可疑用户,那么可以通过用户行为的时间线来分析黑客的动作,包括刚才执行的SMB枚举等动作。
我们再看看SCCM这台攻击发起的计算机时间线,这里可以看出sccmadmin这个用户的hash已经泄漏。
同时,Defender for identity也会标记出登录用户中的可疑用户。
在警报控制台中我们还可以看到sccmadmin在sccm这台计算机中遭到泄露,并利用可疑的kerberos协议在DC进行了身份验证。
大多数安全工具无法检测何时使用合法凭据来访问合法资源。尤其在后续还会进行的攻击链过程,看起来都是合法的访问请求。Defender for Identity可以检测攻击者使用盗用票证访问的确切资源,提供关键信息和证据,以确定开始调查的确切位置以及要采取的补救措施。Defender for Identity 检测和警报信息对信息安全团队都具有重要意义。 不仅可以发现凭据被盗,还可以了解攻击者使用盗用票证访问和入侵的资源。
原创声明:本文系作者授权腾讯云开发者社区发表,未经许可,不得转载。
如有侵权,请联系 cloudcommunity@tencent.com 删除。
原创声明:本文系作者授权腾讯云开发者社区发表,未经许可,不得转载。
如有侵权,请联系 cloudcommunity@tencent.com 删除。