Hier zeige ich euch, wie ich ein Elastic SIEM auf einem Ubuntu Server 22.04 installiere. Dafür gibt es im Netz viele Anleitungen, aber bei meinen Versuchen hat keine funktioniert. Mit meiner war ich erfolgreich!
Weiterlesen
Kategorie: Defense
Hier findet ihr neue und interessante Schutzmaßnahmen gegen eine Vielzahl von Angriffsvektoren.
GPO-Rechtedelegation bereinigen
Verhindert eine Rechteerweiterung eines Angreifers durch GPO-Poisoning proaktiv, indem ihr eure GPO-Rechtedelegationen regelmäßig bereinigt. Was bietet sich da mehr an als ein Powershell-Script?
Weiterlesen
Privilege Escalation & Lateral Movement mit GPO Poisoning
Gruppenrichtlinien können auch von Angreifern für Rechteausweitungen und die Kompromittierung anderer Computer benutzt werden. Hier zeige ich einen unschönen Bug und wie dieser ausgenutzt werden kann. Und natürlich gibt es Tipps und Gegenmaßnahmen!
Weiterlesen
Windows Eventlog Forwarding einrichten
Mit dem kostenlosen Windows-Feature “Windows Eventlog Forwarding” kann man schnell und zentral wichtige Eventlogs sammeln und sich so für forensische Analysen vorbereiten. Hier seht ihr, wie ich das in meiner Demo-Umgebung implementiere.
Weiterlesen
Hardening, Isolation und Detection & Response
Angriffe häufen sich und werden immer professioneller. Mit einer klassischen Sicherheitsstrategie alleine kommen wir nicht mehr weit. Daher müssen wir umdenken und uns neu ausrichten. In diesem Beitrag möchte ich mein Modell vorstellen. Es ist einfacher als das Mitre Att&ck Framework, kann aber auch mit diesem kombiniert werden.
Weiterlesen
Exchange Split Permission
Exchange Server sind im Standard so hoch berechtigt, dass jeder, der sie kontrolliert, problemlos das Active Directory übernehmen kann. Diese Berechtigungen sollte man aufsplitten und damit die IT-Sicherheit ordentlich verbessern.
Weiterlesen
Installation und Tuning von sysmon
In diesem Beitrag zeige ich euch, wie ich sysmon in meiner kleinen Infrastruktur fälchendeckend ausrolle und konfiguriere. Und da ich bereits einen Event-Collector im Einsatz habe, zeige ich auch, wie ich die Events an diesen Server weiterleite.
Weiterlesen
Gegenmaßnahme zum Angriff “DNS-Wildcard”
In diesem Beitrag stelle ich eine proaktive Gegenmaßnahme zu dem Angriff mit der DNS-Wildcard vor – natürlich mit einem PowerShell-Script!
Weiterlesen
Serie „Anatomie eines Hacks“ – Step 3e Variante 3: „Lateral Movement vs. Protected User“
Dieses Video gehört zur Serie „Anatomie eines Hacks“. In meinem LAB übernehme ich die Kontrolle über einen Windows Server 2016. Ich kann nun von jedem Benutzer, der sich auf dem System anmeldet, die Anmeldeinformation stehlen. Mein Opfer ist ein Administrator, der sich durch die Mitgliedschaft in der Gruppe “Protected Users” in Sicherheit wiegt. Ob ich es schaffe, seine Identität zu übernehmen?
Weiterlesen
Privileged Access Management mit Just Enough Administration (Update V1.09)
Privilegierte Benutzer im 24/7-Modus sind ein Sicherheitsrisiko. Daher bin ich zu Gruppenmitgliedschaften auf Zeit übergegangen. Leider bietet Microsoft nichts Out-of-the-Box. Daher habe ich eine eigene Losung gebaut: Mit einer PowerShell-GUI, Just Enough Administration und Privileged Access Management. Hier stelle ich das Update v1.09 vor.
Weiterlesen
Serie „Anatomie eines Hacks“ – Step 3b Variante 2: „Persistence mit RegRun“
Dieses Video gehört zur Serie „Anatomie eines Hacks“ und zeigt einen Weg, wie sich der Angreifer nach dem ersten Verbindungsaufbau dauerhaft im System einnisten kann. Dabei wird die Registry und der bekannte Schlüssel HKCU:\Software\Microsoft\Windows\CurrentVersion\Run …
Weiterlesen
Serie „Anatomie eines Hacks“ – Step 2 Variante 4: „Ein Browser DriveBy“
Dieses Video gehört zur Serie „Anatomie eines Hacks“und zeigt eine mögliche Variante für den initialen Verbindungsaufbau. Dabei nutze ich eine recht moderne (aber bereits gepatchte) Schwachstelle für den Internet Explorer. Ein einfaches Aufrufen einer präparierten Website genügt, um eine versteckte ReversePowerShell zu starten …
Weiterlesen
Serie „Anatomie eines Hacks“ – Step 2 Variante 3: „E-Mail mit Word-Datei“
Dieses Video gehört zur Serie „Anatomie eines Hacks“und zeigt eine mögliche Variante für den initialen Verbindungsaufbau. Diese kennt ihr ganz sicher: Ein Benutzer bekommt eine Mail mit einer angehängten Word-Datei. Beim Öffnen wird dann (nach dem Wegklicken der ganzen Warnungen) der Schadcode aktiv – und der Rechner wird ferngesteuert…
Weiterlesen
Serie „Migration auf Windows Server 2019“ – Installation eines HTML5-RDS-Servers (WS-RDS1)
Dieser Eintrag gehört zu meiner Serie „Migration zu Windows Server 2019„. In dieser möchte ich euch die Aktualisierung meiner Server-Infrastruktur von 2012R2/2016 auf 2019 dokumentieren. Es ist eine lebendige Welt von Systemen, die mir wichtig sind. Mit realen Anforderungen und Bedingungen werde ich alle Arbeitsschritte erläutern.
Ich bin viel unterwegs. Daher benötige ich eine Lösung für einen Remotezugriff auf meine Infrastruktur. Früher verwendete ich ein VPN. Heute nutze ich meine RDS-RemoteApps. Und morgen darfs vielleicht ein RDS-Server auf Windows Server 2019 mie einem HTML5-Webclient sein…
Weiterlesen
Aktivierung von Kerberos im Exchange Server 2016/2019
Ich wollte den Zugriff auf meine Exchange Server 2016 besser absichern. Aktuell meldeten sich meine Clients mit NTLM an. Dieses Protokoll hat einige Schwachstellen (einige habe ich bereits in meinem Blog beschrieben). Daher wollte ich die Anmeldung auf Kerberos umstellen.
Weiterlesen
Die Mutation eines Schadcodes (mimikatz) vs. Windows 10 v1903
Moderne Betriebssysteme schützen ihre Anwender immer zuverlässiger vor Schadcodes. Ein Hacking-Tool, das gestern noch funktionierte kann heute erfolgreich an der Ausführung behindert werden. So erging es mir mit einem Tool, das ich gerne verwende: mimkatz. Der Windows Defender auf einem modernen Windows 10 v1903 wollte es einfach nicht zulassen.
Das kann ich doch so nicht stehen lassen, oder? Eben: CHALLENGE ACCEPTED! 🙂
Weiterlesen
Eine wahre Bruteforce-Geschichte
Meine Infrastruktur wurde im Laufe der Zeit immer komplexer. Anfangs standen alle Clients und Server direkt hinter dem Internetrouter. Später schaltete ich eine PFSense dazwischen, um die Datenströme zu filtern und somit die Sicherheit zu erhöhen. Und mit der Zeit kamen immer neue Sicherheitsfeatures dazu. Damit wurde meine Infrastruktur unhackbar! Klingt unglaublich? Genau, denn es kam alles ganz anders…
Weiterlesen
Privileged ADUser Analyse
In vielen ActiveDirectory-Domains gibt es etliche Benutzerkonten, die hochprivilegiert sind. Nicht wenige davon können durch verschiedene Faktoren ein Risiko darstellen. Der Klassiker sind dabei Benutzer, die mit nicht ablaufenden Kennwörtern als ServiceAccount eingesetzt werden. Und wie oft habe ich diese Konten schon als Mitglied der Domain-Admin-Gruppe gesehen… 🙁 Wenn die
Weiterlesen
Forensik einer Trojaner-Infektion
In den letzten Monaten steht der Trojaner Emotet immer wieder in den Schlagzeilen. Das er leistungsfähig ist kann kaum wiederlegt werden. Aber wie wird man eigentlich infiziert? Nur wenn man die Infektionswege und Varianten versteht, kann man sich richtig schützen.
Um dieses Thema zu klären habe ich eine scharfe Variante analysiert. Das Ergebnis möchte ich in diesem WSHowTo präsentieren.
Weiterlesen
Hacking – Kerberos GoldenTicket
Vielleicht habt ihr den Begriff “GoldenTicket” ja schon in meiner Videoserie “Anatomie eines Hacks” gesehen, eventuell kam er euch auch schon mal in einem anderen Kontext unter. Aber was ist das eigentlich? Und viel interessanter: Wie und warum funktioniert das? Diese Fragen möchte ich in diesem kleinen Beitrag mit unterhaltsamen Animationen klären.
Weiterlesen