Tato časová osa vychází z reálné, anonymizované simulace APT ve středně velké firmě: zhruba 1 500 objektů v Active Directory, EDR na každém koncovém zařízení, SOC v pracovní době. Cíl mise byl úzký: prokázaný odtok dat z personálního file serveru. Bez nuly a bez exotických nástrojů – 36 hodin od prvního phishingu k převzetí domény.
-
Hodina 0
Úvodní přístup (T1566, T1078)
Phishingový e-mail předělaný na interní upozornění vede na klonovanou přihlašovací stránku. Uživatel zadá platné údaje; ověření MFA se pouze přenese, protože přístup přichází ze zařízení uznaného jako spravovaného. Pro SOC běžné ranní přihlášení.
-
Hodina 2
Uchycení (T1059, T1105)
Na notebooku malý implant spuštěný z paměti zřídí relaci; na disk se nic nezapisuje. Agent EDR běží na tomto zařízení v pass-through režimu – při zavádění se ocitl na seznamu výjimek. První příležitost operaci zastavit zůstala nevyužita.
-
Hodina 6
Zjišťování (T1069, T1087)
Průzkum téměř výhradně prostředky operačního systému: relace, sdílení, výčty stanic. Plus jedna podepsaná enumerační binárka. Žádný alert.
-
Hodina 12
Kerberoasting (T1558.003)
Tickety servisních účtů se stáhnou a lámou offline. Jeden praskne do několika minut: 22 znaků, ale složených z názvu firmy a roku. Hesla servisních účtů bývají v AD nejméně rotovaná.
-
Hodina 18
Laterální pohyb (T1021.001)
Servisní účet je lokální administrátor na dvou aplikačních serverech. Přechod probíhá přes RDP. Odtud: tickety v paměti, sdílený adresář s konfiguračními soubory, zálohovací úloha s kandidátem na servisní heslo. Segmentace mezi klientskou, aplikační a řídicí vrstvou existuje jen na papíře.
-
Hodina 26
Eskalace (T1098, T1003.006)
Zapomenuté delegování umožňuje účtu spravovat skupiny v jedné OU. Počítačový účet implantu se přidá do privilegované provozní skupiny; po replikaci následuje DCSync přes nový účet. Doménový administrátor.
-
Hodina 36
Mise (T1041)
Z pozice doménového administrátora vede cesta k personálnímu serveru přímo: 1,4 GB se připraví a exfiltruje přes HTTPS v 90minutovém nočním okně, zamaskované jako zálohovací provoz.
Zpětný pohled s blue týmem je jasný: pět ze sedmi kroků šlo zaznamenat už nasazenými nástroji – anomální spotřeba Kerberu, noví členové v privilegovaných skupinách, práva DCSync objevivší se přes noc, výjimka v EDR, chování relace v paměti. Nešlo o nulu ani exotický exploit, ale o identity a konfiguraci spojené s chybějící detekcí.
Zpráva obsahovala kompletní časovou osu se všemi indikátory kompromitace a priorizovaná doporučení pro logování, zpevnění a detection engineering. Ponaučení se rýmuje s tím, co píšeme: kontrola nekončí přístupem, ale detekcí.
Profesionální evropská security boutique pro elite penetrační testování, red teaming a vývoj exploitů.