Ta oś czasu opiera się na realnej, anonimowanej symulacji APT w średniej firmie: około 1500 obiektów w Active Directory, EDR na każdym urządzeniu końcowym, SOC pracujący 8x5. Cel misji był wąski: udowodniona eksfiltracja danych z serwera plików HR. Bez zero-day i egzotycznych narzędzi – 36 godzin od pierwszego phishingu do przejęcia domeny.
-
Godzina 0
Dostęp pierwotny (T1566, T1078)
Phishing przebrany za wewnętrzne powiadomienie prowadzi na sklonowaną stronę logowania. Użytkownik wpisuje poprawne poświadczenia; weryfikacja MFA zostaje pominięta, bo logowanie przychodzi z urządzenia rozpoznanego jako zarządzane. Dla SOC zwykły poranny login.
-
Godzina 2
Foothold (T1059, T1105)
Na laptopie mały implant uruchomiony z pamięci zakłada sesję; nic nie jest zapisywane na dysku. Agent EDR działa na tym urządzeniu w trybie pass-through – trafiło na listę wyjątków podczas wdrażania. Pierwsza szansa na zatrzymanie operacji minęła bez echa.
-
Godzina 6
Rozpoznanie (T1069, T1087)
Rekonesans niemal w całości narzędziami systemowymi: sesje, udziały, listy hostów. Plus jeden podpisany plik binarny do enumeracji. Żadnego alertu.
-
Godzina 12
Kerberoasting (T1558.003)
Bilety kont serwisowych są zciągane i łamane offline. Jedno pada w kilka minut: 22 znaki, ale ułożone z nazwy firmy i roku. Hasła kont serwisowych to najczęściej lekceważone sekrety w środowiskach AD.
-
Godzina 18
Ruch poziomy (T1021.001)
Konto serwisowe jest administratorem lokalnym na dwóch serwerach aplikacyjnych. Przejście odbywa się przez RDP. Stamtąd: bilety w pamięci, udział z plikami konfiguracyjnymi, zadanie kopii zapasowej z kandydatem na hasło serwisowe. Segmentacja między warstwą kliencką, aplikacyjną i zarządczą istnieje tylko na papierze.
-
Godzina 26
Eskalacja (T1098, T1003.006)
Zapomniana delegacja pozwala kontu zarządzać grupami w jednej OU. Konto komputera hostującego implant trafia do uprzywilejowanej grupy operacyjnej; po replikacji DCSync na nowym koncie. Administrator domeny.
-
Godzina 36
Misja (T1041)
Z pozycji administratora domeny droga do serwera HR jest prosta: 1,4 GB zostaje przygotowane i wyfiltrowane przez HTTPS w 90-minutowym, nocnym oknie, pod szyldem ruchu backupowego.
Przeglądnięta z zespołem niebieskim oś czasu daje jasny obraz: pięć z siedmiu kroków dało się wykryć dzięki już wdrożonym narzędziom – anomalie w Kerberosie, nowi członkowie w grupach uprzywilejowanych, uprawnienia DCSync pojawiające się w nocy, wyjątek EDR, zachowanie sesji w pamięci. Nie chodziło o zero-day ani egzotyczny exploit, lecz o ścieżki tożsamości i konfiguracji połączone z brakiem detekcji.
Raport zawierał pełną oś czasu ze wszystkimi wskaźnikami kompromitacji i spriorytetyzowane rekomendacje logowania, hardeningu i inżynierii detekcji. Nauka rymuje się z tym, co piszemy od dawna: kontrola nie kończy się na dostępie, kończy się na detekcji.
Europejska firma boutique w obszarze bezpieczeństwa — elitarny pentesting, red teaming i rozwijanie exploitów.