ADWS y el camino oculto hacia la enumeración de Active Directory

Ejecución de Simulación

Prerequisito: La verificación previa del telemetría y línea base debe haberse completado exitosamente.

Motivo: Esta sección detalla la ejecución precisa de la técnica del adversario (TTP) destinada a activar la regla de detección. Los comandos y la narrativa DEBEN reflejar directamente los TTPs identificados y apuntar a generar la telemetría exacta esperada por la lógica de detección. Ejemplos abstractos o no relacionados llevarán a un diagnóstico erróneo.

• Narrativa del Ataque y Comandos: Un adversario ha obtenido acceso inicial a una estación de trabajo y está intentando enumerar usuarios del dominio para facilitar el movimiento lateral. Para evitar la detección por herramientas básicas basadas en firmas, el atacante decide usar el módulo oficial de Active Directory de Microsoft PowerShell. Ejecutan Get-ADUser para obtener una lista de todos los usuarios en el dominio. Esta acción fuerza al Active Directory Web Services (ADWS) a procesar la consulta LDAP, que, debido a tener habilitado el registro de diagnóstico, genera un Evento de Windows 1644 que contiene el texto «Get-ADUser», activando así nuestra regla de detección.

• Script de Pruebas de Regresión:

   # Asegúrese de que el módulo de Active Directory esté disponible
    if (!(Get-Module -ListAvailable ActiveDirectory)) {
        Write-Error "Este script requiere el módulo de Active Directory RSAT."
        return
    }
  
    Write-Host "[+] Iniciando Simulación: Enumeración LDAP vía Get-ADUser" -ForegroundColor Cyan
  
    # Active la detección consultando a un solo usuario utilizando el patrón Get-AD*
    # Se espera que esto genere un ID de Evento 1644 en el log del Servicio de Directorio
    try {
        Get-ADUser -Filter * -ResultSetSize 1 | Out-Null
        Write-Host "[+] Comando de simulación ejecutado correctamente." -ForegroundColor Green
        Write-Host "[+] Verifique los logs del Servicio de Directorio por un Evento ID 1644 que contenga 'Get-AD*'" -ForegroundColor Yellow
    }
    catch {
        Write-Host "[-] Error al ejecutar el comando: $($_.Exception.Message)" -ForegroundColor Red
    }

• Comandos de Limpieza:

   # No se hicieron cambios permanentes en la base de datos AD.
    # Si los niveles de diagnóstico del registro se aumentaron manualmente, reviértalos:
    # Set-ItemProperty -Path "HKLM:SystemCurrentControlSetServicesNTDSDiagnostics" -Name "16 LDAP Interface Contained" -Value 0
    Write-Host "[+] Limpieza completa. No hay cambios de estado para revertir." -ForegroundColor Cyan