Active Directory

exploiting-kerberoasting-with-impacket unterstützt autorisierte Tester bei der Planung von Kerberoasting mit Impacket GetUserSPNs.py – von der SPN-Aufzählung über das Extrahieren von TGS-Tickets bis hin zu Offline-Cracking und erkennungsbewusster Berichterstattung. Nutzen Sie diesen exploiting-kerberoasting-with-impacket-Leitfaden für Penetrationstests mit klarem Installations- und Nutzungskontext.

Die Skill „configuring-active-directory-tiered-model“ unterstützt bei der Konzeption und Prüfung einer Microsoft-ESAE-ähnlichen Active-Directory-Tier-Trennung. Nutzen Sie diesen Leitfaden für configuring-active-directory-tiered-model, um den Zugriff auf Tier 0/1/2, PAWs, Administrationsgrenzen, Credential-Exposition und Befunde aus Sicherheitsprüfungen mit klarerem Umsetzungskontext zu bewerten.

Das Skill „exploiting-nopac-cve-2021-42278-42287“ ist ein praxisnaher Leitfaden zur Bewertung der noPac-Kette (CVE-2021-42278 und CVE-2021-42287) in Active Directory. Es unterstützt autorisierte Red-Team-Mitglieder und Nutzer von Security Audits dabei, Voraussetzungen zu prüfen, Workflow-Dateien zu sichten und die Ausnutzbarkeit mit weniger Rätselraten zu dokumentieren.

Die Skill „exploiting-constrained-delegation-abuse“ führt durch autorisierte Active-Directory-Tests zum Missbrauch von Kerberos-gebundener Delegation. Sie deckt Enumeration, S4U2self- und S4U2proxy-Ticket-Anfragen sowie praktische Wege zu lateral movement oder Privilege Escalation ab. Verwende sie, wenn du einen wiederholbaren Leitfaden für Penetrationstests brauchst und keinen allgemeinen Kerberos-Überblick.

detecting-pass-the-ticket-attacks hilft dabei, Kerberos-Pass-the-Ticket-Aktivitäten zu erkennen, indem Windows Security Event IDs 4768, 4769 und 4771 korreliert werden. Nutzen Sie es für Threat Hunting in Splunk oder Elastic, um Ticket-Reuse, RC4-Downgrades und ungewöhnliche TGS-Volumina mit praxisnahen Queries und Feldhinweisen zu identifizieren.

Die Skill-Lösung detecting-kerberoasting-attacks unterstützt bei der Jagd auf Kerberoasting, indem sie verdächtige Kerberos-TGS-Anfragen, schwache Ticket-Verschlüsselung und typische Muster von Service-Accounts erkennt. Sie eignet sich für SIEM-, EDR- und EVTX-Analysen sowie für Threat-Modeling-Workflows mit praxistauglichen Detection-Templates und Hinweisen zum Tuning.

detecting-golden-ticket-forgery erkennt die Fälschung von Kerberos Golden Tickets durch die Analyse von Windows Event ID 4769, der Nutzung von RC4-Downgrades (0x17), untypischen Ticket-Laufzeiten und krbtgt-Anomalien in Splunk und Elastic. Entwickelt für Security Audits, Incident Investigations und Threat Hunting mit praxisnahen Hinweisen zur Erkennung.

Der Skill detecting-credential-dumping-techniques hilft dir dabei, LSASS-Zugriffe, SAM-Exporte, den Diebstahl von NTDS.dit und den Missbrauch von comsvcs.dll MiniDump mithilfe von Sysmon Event ID 10, Windows-Sicherheitsprotokollen und SIEM-Korrelationsregeln zu erkennen. Er ist für Threat Hunting, Detection Engineering und Security-Audit-Workflows konzipiert.

deploying-active-directory-honeytokens hilft Verteidigern dabei, Active Directory Honeytokens für Security-Audit-Aufgaben zu planen und zu erzeugen – darunter gefälschte privilegierte Konten, gefälschte SPNs zur Erkennung von Kerberoasting, Lockvogel-GPO-Fallen und täuschende BloodHound-Pfade. Es verbindet installierungsorientierte Hinweise mit Skripten und Telemetrie-Signalen für eine praxisnahe Bereitstellung und Prüfung.

containing-active-breach ist ein Incident-Response-Skill für die Eindämmung aktiver Sicherheitsvorfälle. Er hilft dabei, Hosts zu isolieren, verdächtigen Traffic zu blockieren, kompromittierte Konten zu deaktivieren und laterale Bewegung mit einem strukturierten containing-active-breach-Leitfaden samt praktischen API- und Skriptverweisen zu verlangsamen.

configuring-ldap-security-hardening hilft Security Engineers und Auditoren dabei, LDAP-Risiken zu bewerten – darunter anonyme Bindings, schwache Signierung, fehlendes LDAPS und Lücken beim Channel Binding. Nutze diesen configuring-ldap-security-hardening-Guide, um die Referenzdokumente zu prüfen, den Python-Audit-Helper auszuführen und umsetzbare Maßnahmen für ein Security Audit abzuleiten.

Leitfaden zu conducting-domain-persistence-with-dcsync für autorisierte Sicherheitsprüfungen in Active Directory. Erfahren Sie, wie Installation, Nutzung und Ablauf funktionieren, um DCSync-Berechtigungen, KRBTGT-Exposition, Golden-Ticket-Risiken und geeignete Remediationsschritte mit den enthaltenen Skripten, Referenzen und der Berichtsvorlage zu bewerten.

building-identity-governance-lifecycle-process hilft bei der Konzeption von Identity Governance und Lifecycle Management für die Automatisierung von Joiner-Mover-Leaver-Prozessen, Access Reviews, rollenbasierter Provisionierung und der Bereinigung verwaister Konten. Es passt zu plattformübergreifenden Access-Control-Programmen, die praxisnahe Workflow-Hinweise brauchen statt eines generischen Policy-Entwurfs.

Die Skill "auditing-azure-active-directory-configuration" hilft dabei, die Sicherheit von Microsoft Entra ID-Tenants auf riskante Authentifizierungseinstellungen, zu viele Admin-Rollen, veraltete Konten, Lücken bei Conditional Access, Gastzugriffe und MFA-Abdeckung zu prüfen. Sie ist für Security-Audit-Workflows mit Graph-basierten Nachweisen und praxisnahen Handlungsempfehlungen ausgelegt.

Die Skill "analyzing-windows-event-logs-in-splunk" hilft SOC-Analysten dabei, Windows-Sicherheits-, System- und Sysmon-Logs in Splunk auf Authentifizierungsangriffe, Privilegieneskalation, Persistenz und laterale Bewegung zu untersuchen. Nutzen Sie sie für Incident-Triage, Detection Engineering und Zeitachsenanalysen mit zugeordneten SPL-Mustern und Hinweisen zu Event-IDs.

analyzing-active-directory-acl-abuse unterstützt Sicherheitsprüfer und Incident Responder dabei, Active Directory `nTSecurityDescriptor`-Daten mit `ldap3` zu untersuchen, um Missbrauchspfade wie `GenericAll`, `WriteDACL` und `WriteOwner` auf Benutzern, Gruppen, Computern und OUs zu erkennen.