RootedLab: Mi primera revisión de Directorio Activo desde el punto de vista ofensivo
Como ya hiciera mi compañero Pablo hace unos días, el próximo 6 de marzo comienza una nueva edición de RootedCON Madrid y, con ella, la opción de seguir formándonos en cualquiera de los ámbitos de la ciberseguridad. Al igual que el año pasado (gracias Luis y Helena por vuestra ayuda), tengo el placer de poder impartir un RootedLab sobre auditorías en entornos de Directorio Activo desde un punto de vista ofensivo, aunque, esta vez, emprendo el camino en solitario.
Pero… ¿Qué es un RootedLab?
Para aquellos que aún no lo sepáis, las formaciones con formato RootedLab son talleres de 8 horas realizados a lo largo de un único día en el que los alumnos obtienen el conocimiento teórico y práctico. Normalmente, suelen estar divididos en dos secciones, una primera parte teórica y una segunda parte más práctica. Cortita y al pie, como se suele decir. La teoría, para casa.
Vale, vale, deja de venderme la moto… ¿Qué incluye el labo?
En el caso que nos atañe, el taller de este año está orientado a todos aquellos perfiles que quieran tener un primer contacto sobre entornos de Directorio Activo desde una perspectiva de un atacante. A lo largo del taller, podréis conocer qué es y por qué elementos está formado un Directorio Activo, cómo enumerarlos, cómo identificar las vulnerabilidades y fallos de configuración más comunes y sencillos que se pueden encontrar y entenderán los riesgos que pueden implicar en sus respectivas organizaciones. Además, dispondrán del conocimiento necesario para corregir (o mitigar) estas vulnerabilidades en entornos reales.
¿Cómo está estructurado?
El labo está dividido en dos partes:
- Una primera parte teórica de 4 horas
- Módulo I – Breve introducción a Windows Active Directory
- Qué es un Directorio Activo
- Agrupación de un Directorio Activo
- Protocolos de un Directorio Activo
- Estructura y elementos de un Directorio Activo
- Objetos principales, GPOs y ACLs
- Módulo II – PowerShell: Uso y manejo desde un punto de vista ofensivo
- Qué es PowerShell
- Conceptos básicos
- Módulo III – Reconocimiento y enumeración en un Directorio Activo
- Estructura de un Controlador de Dominio
- Enumeración básica con comandos nativos de Windows
- Módulo IV – Abusos básicos y vulnerabilidades clásicas de un Directorio Activo
- Secretos en parámetros de objetos
- Enumeración de carpetas compartidas
- Password Spraying
- Replicación de cuentas
- Módulo V – Cómo desplazarse por un Directorio Activo: técnicas comunes de movimiento lateral
- Protocolos nativos de Windows de administración remota
- Repaso de las principales herramientas: usos y condiciones
- Una segunda parte práctica de 4 horas en formato CTF
- Laboratorio emulando una empresa con Directorio Activo con varias máquinas para realizar una serie de ejercicios prácticos con el objetivo de afianzar los conocimientos explicados durante el taller. Se trata de un entorno controlado donde poder ejecutar comandos y herramientas, así como, familiarizarse con este tipo de entornos. Está dividido a su vez en dos partes, una primera parte con una serie de preguntas para ir enumerando el directorio y una segunda parte más «libre» para comprometer el dominio.
- A lo largo del taller práctico, todos los alumnos tendrán acceso a una máquina del entorno para poder utilizar todas las herramientas tratadas durante la parte teórica como, por ejemplo, BloodHound y la suite de Sysinternals. Por último, se os facilitará un WriteUp con la solución del entorno y las respuestas a todos los ejercicios propuestos.
No tengo conocimientos previos, ¿podré aprovechar el taller?
Powered by WPeMatico
