防御Mimikatz攻击的方法介绍

简单介绍 Mimikatz 攻击

创新互联建站专注于通山企业网站建设,自适应网站建设,成都做商城网站。通山网站建设公司,为通山等地区提供建站服务。全流程定制网站，专业设计，全程项目跟踪，创新互联建站专业和态度为您提供的服务

Mimikatz 在内网渗透测试中发挥着至关重要的作用，主要是因为它能够以明文形式从内存中提取明文密码。众所周知，攻击者在他们的渗透中大量使用 Mimikatz，尽管微软推出了安全补丁，但是在较旧的操作系统(如 Windows 2008 Server)中 Mimikatz 仍然有效，所以在很多情况下它可能导致横向移动和域权限提升。值得注意的是，如果 Mimikatz 是从本地管理员等权限执行的，则它只能导出用户凭据和密码哈希值。

下面通过几种方法来防御 Mimikatz 攻击：

Debug 权限设置

根据 Microsoft 的调试权限确定哪些用户可以将调试器附加到任何进程或内核。默认情况下，此权限授予本地管理员。然而，除非他是系统进程，否则本地管理员极不可能需要此权限。

本地管理员-调试权限

在默认安装的 Windows Server 2016 系统中，未定义调试权限的组策略，这意味着只有本地管理员具有此权限。

调试权限 – 组策略

从攻击者的角度来看，可以通过使用 Mimikatz 以下命令执行此检查：

 
 
 
 

  
  
  
  
privilege::debug
 
 
 
 

检查调试权限

Mimikatz 需要此权限，因为它要与 LSASS 进程交互。因此，将此权限仅设置为需要这权限的特定用户或组，并将其从本地管理员中删除是非常重要。可以通过将策略定义为不包含任何用户或组来禁用 SeDebugPrivilege。

 
 
 
 

  
  
  
  
Group Policy Management Editor -> Windows Settings -> Security Settings -> Local Policies -> User Rights Assignment -> Debug programs -> Define these policy settings:
 
 
 
 

禁用 SeDebugPrivilege

Mimikatz-禁用调试权限

WDigest

WDigest 协议是在 WindowsXP 中被引入的，旨在与 HTTP 协议一起用于身份认证。默认情况下，Microsoft 在多个版本的 Windows(Windows XP-Windows 8.0 和 Windows Server 2003-Windows Server 2012)中启用了此协议，这意味着纯文本密码存储在 LSASS(本地安全授权子系统服务)进程中。Mimikatz 可以与 LSASS 交互，允许攻击者通过以下命令检索这些凭据：

 
 
 
 

  
  
  
  
sekurlsa::wdigest
 
 
 
 

Mimikatz — WDigest

Microsoft 在 Windows8.1，Windows 10，Windows Server 2012 R2 和 Windows Server 2016 系统中默认禁用此协议。但是，如果您的组织使用较旧的操作系统(如 Windows 7 和 Windows Server 2008 等)，Microsoft 已发布了一个补丁(KB2871997)，允许管理员启用或禁用 WDigest 协议。打完补丁后，建议验证是否已经从注册表中禁用 WDigest。

 
 
 
 

  
  
  
  
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\WDigest
 
 
 
 

WDigest-禁用

Negotiate 和 UseLogonCredential 注册表项值应设置为 0 可以完全禁用此协议。应该注意的是，在较新的操作系统(Windows Server 2016，Windows 10 等)中，UseLogonCredential 注册表项不存在。当然，具有本地管理员权限的攻击者可以修改注册表以启用 WDigest 并获取凭据，因为 Dave Kennedy 在他的博客中对此进行了大量解释。因此，如果在禁用此协议后将这些值设置为 1，则表明存在攻击。应该不断监视注册表修改，以便在早期阶段获得警报并捕获威胁。

如果我们禁用此协议，攻击者尝试从 WDigest 检索纯文本凭据将失败：

Mimikatz-WDigest 已禁用

LSA 保护

本地安全权限服务(LSASS)验证用户是否进行本地和远程登录，并实施本地安全策略。Windows 8.1 及更高版本的系统中，Microsoft 为 LSA 提供了额外的保护，以防止不受信任的进程读取内存或代码注入。Windows 8.1 之前的系统，攻击者可以执行 Mimikatz 命令来与 LSA 交互并检索存储在 LSA 内存中的明文密码。

 
 
 
 

  
  
  
  
sekurlsa::logonPasswords
 
 
 
 

Mimikatz-与 LSA 交互

建议 Windows Server 2012R2 和 Windows 8.1 之前的系统应启用 LSA 保护，以防止 Mimikatz 访问 LSASS 进程的特定内存位置获取明文密码。可以通过创建注册表项 RunAsPPL 并设置其值为 1 来启用此保护。

 
 
 
 

  
  
  
  
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA
 
 
 
 

LSA 保护已启用

在启用了 LSA 保护的系统中，攻击者将收到以下错误：

Mimikatz-LSA 保护

受限制的管理模式

Microsoft 在 WindowsServer 2012 R2 中引入了一项额外的安全功能，可以有效的防止本地管理员的纯文本凭据在 RDP 会话期间存储在 LSASS 中。即使 LSA 保护可以阻止 Mimikatz 检索凭证，但建议在攻击者禁用 LSA 保护的情况下使用此安全功能作为额外的安全保护。

应在以下位置创建「DisableRestrictedAdmin」注册表项并且设置为 0，这样可以通过网络 RDP 会话请求管理员登陆系统。此外，创建「DisableRestrictedAdminOutboundCreds」注册表项值为 1，可以禁止管理员执行 RDP 的系统内部的网络身份验证。缺少此注册表项，管理员可以导出凭据。

 
 
 
 

  
  
  
  
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\Lsa
 
 
 
 

需要在域中强制执行「对远程服务器的凭据限制委派」策略，以确保所有出站 RDP 会话都使用「RestrictedAdmin」模式，因此才不会泄露凭据。

组策略限制凭证授权

需要使用「Require Restricted Admin」设置启用该策略。

启用受限制的管理员-限制凭证授权

强制执行此策略后，管理员可以远程 RDP 到所需注册表权限的工作站和服务器，以便控制 Windows 运行一些程序。

运行-受限制的管理模式切换

或者直接从命令提示符执行它。

命令提示符-受限制的管理模式切换

对于 Windows 2012 R2 和 Windows 8.1 之前的旧操作系统，此选项是 Microsoft 补丁的一部分 KB2871997。

凭证缓存

如果域控制器不可用，Windows 将检查已缓存的最后一个密码哈希值，以便使用系统对用户进行身份验证。这些密码哈希值缓存在以下注册表设置中：

 
 
 
 

  
  
  
  
HKEY_LOCAL_MACHINE\SECURITY\Cache
 
 
 
 

如果执行 Mimikatz 以下命令，可以检索这些哈希值：

 
 
 
 

  
  
  
  
lsadump::cache
 
 
 
 

默认情况下，Windows 会缓存最后 10 个密码哈希值。建议通过将以下安全设置来防止密码的本地缓存，将其值设置为 0。

 
 
 
 

  
  
  
  
Computer Configuration -> Windows Settings -> Local Policy -> Security Options -> Interactive Logon: Number of previous logons to cache -> 0
 
 
 
 

交互式登录-不缓存登录

攻击者尝试使用 Mimikatz 检索这些密码哈希将失败：

Credential Caching 禁用后 Mimikatz 出错

受保护的用户组

WindowsServer 2012 及更高版本中的 Microsoft 引入了一个名为「Protected Users」的新安全组。此组使域管理员能够保护本地管理员等有权限的用户，因为属于该组的任何帐户只能通过 Kerberos 对域进行身份验证。这将有助于防止 NTLS 密码哈希值或 LSAS 中的纯文本凭据泄露给敏感帐户，这些帐户通常是攻击者的目标。

可以在「Active Directory 用户和计算机」中找到「Protected Users」安全组。

ActiveDirectory-受保护的用户安全组

成为此安全组一部分的帐户将在身份验证方面自动归入 Kerberos 策略，默认情况下配置如下：

Kerberos 默认策略

或者，可以通过执行以下 PowerShell 命令将帐户添加到「受保护的用户」组中：

 
 
 
 

  
  
  
  
Add-ADGroupMember –Identity 'Protected Users' –Members Jane
 
 
 
 

通过 PowerShell 添加受保护的用户组帐户

通过安装 Microsoft 的补丁 KB2871997，WindowsServer 2008 等较旧的操作系统可以拥有此安全组。

结论

通过使用有效的端点解决方案与 AppLocker 等应用程序白名单相结合来防止恶意的可执行文件，执行一些 PowerShell 命令和 cmd 命令，还可以加固安全性。即使网络攻击者已经实现绕过这些控制，执行注册表修改，以便充分利用 Mimikatz 进行凭证获取，在此过程中将会生成许多事件，管理员应该监视某些注册表项，这有助于检测攻击行为。

当前题目：防御Mimikatz攻击的方法介绍
文章转载：http://www.shufengxianlan.com/qtweb/news30/259330.html

网站建设、网络推广公司-创新互联，是专注品牌与效果的网站制作，网络营销seo公司；服务项目有等

广告

声明：本网站发布的内容（图片、视频和文字）以用户投稿、用户转载内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。文章观点不代表本网站立场，如需处理请联系客服。电话：028-86922220；邮箱：631063699@qq.com。内容未经允许不得转载，或转载时需注明来源： 创新互联