So wird die Splunk-Erkennung durch die vollständige Zusammenfassung von Uncoder AI beschleunigt

1. Index- und Quellfilterung: Die Abfrage beginnt mit der Festlegung von index=*, was bedeutet, dass sie über alle verfügbaren Indizes in der Splunk-Umgebung sucht. Sie schränkt die Ergebnisse dann auf Protokolle von Quellen mit dem Namen „WinEventLog:*“ ein, was darauf hinweist, dass der Fokus auf Windows-Ereignisprotokollen liegt.
2. ScriptBlockText-Bedingungen: Der Hauptteil der Abfrage verwendet einen UND-Operator mit einer Reihe von ODER-Bedingungen, die alle mit ScriptBlockText zusammenhängen. Dies impliziert, dass die Suche nach PowerShell-Skriptblöcken (Codeausschnitten) innerhalb dieser Ereignisprotokolle erfolgt, die bestimmten Kriterien entsprechen. Konkret wird nach Erwähnungen von Eigenschaften oder Filtern gesucht, die mit Kerberos-Delegation zusammenhängen.
• TrustedForDelegation: Diese Bedingung sucht nach Instanzen, in denen ein Benutzer- oder Computerkonto als vertrauenswürdig für die Delegation konfiguriert wurde. In einer Kerberos-Umgebung ermöglicht diese Einstellung dem Konto, Benutzer zu imitieren und Dienste in deren Namen zu nutzen.
• TrustedToAuthForDelegation: Ähnlich wie die vorherige Bedingung, jedoch speziell bezogen auf Szenarien mit eingeschränkter Delegation, bei denen ein Konto als vertrauenswürdig zur Authentifizierung für Delegationszwecke konfiguriert ist.
• msDS-AllowedToDelegateTo: Dieses Attribut gibt die Dienste an, zu denen ein Benutzer oder Computer delegierte Anmeldedaten präsentieren kann. Die Abfrage sucht nach Änderungen oder Erwähnungen dieses Attributs in Skriptblöcken, was auf mögliche Konfigurationsänderungen hinweist, die Delegationspfade betreffen könnten.
• PrincipalsAllowedToDelegateToAccount: Diese Bedingung zielt auf Konfigurationen ab, bei denen bestimmten Prinzipalen (Benutzer, Computer usw.) ausdrücklich erlaubt wird, ihre Anmeldedaten an ein bestimmtes Konto zu delegieren, was ein weiterer Aspekt der eingeschränkten Delegation ist.
• LDAPFilter mit userAccountControl: Die letzte Bedingung sucht nach LDAP-Filtern, die in Skriptblöcken verwendet werden und speziell auf Konten mit dem userAccountControl-Attribut gesetzt auf 524288 abzielen, was der „TRUSTED_FOR_DELEGATION“-Flag entspricht. Diese Flagge zeigt an, dass ein Konto für die Delegation vertrauenswürdig ist, und das Modifizieren oder Suchen danach könnte Teil der Verwaltung oder des Ausnutzens von Kerberos-Delegationseinstellungen sein.

Zusammengefasst zielt diese Splunk-Abfrage darauf ab, potenziell sicherheitsrelevante Aktivitäten oder Fehlkonfigurationen in Windows-Umgebungen im Zusammenhang mit Kerberos-Delegation zu erkennen. Sie sucht nach Indikatoren in PowerShell-Skriptblöcken, die in den Windows-Ereignisprotokollen erfasst wurden, und die Änderungen an vertrauenswürdigen Delegationseinstellungen nahelegen könnten, die von Angreifern zum lateralen Bewegen im Netzwerk oder von Administratoren zum Verwalten und Prüfen der Delegationskonfigurationen ihrer Umgebung verwendet werden könnten.