Glossary of terms
General terms
Object
All assets of a domain.
Attributes
Schema
Container Objects
Forest
Collection of all domains. Can be thought of as the top level container of Active Directory.
Domain
Structure container of the AD network
Keeps objects like users and computers, organized in groups or organizational units.
Each domain hods own database with every object and applies own directives
Organizational Units (OUs)
Objects can be stored in OUs for easier administration
Often used to delegate administrative rights to specific users
With OUs they do not need administrative rights for the entire domain
Identifier
Global Unique Identifier (GUID)
Unique 128-Bit Wert
Wird jedem erstellten Objekt zugewiesen → Analog zu MAC-Adresse.
Wird im Attribut ObjectGUID gespeichert.
Mithilfe der GUID können die präzisesten Suchen nach bestimmten Objekten mithilfe der PowerShell gestartet werden.
Hilfreich, falls Informationen zu einem bestimmten Objekt benötigt werden.
ObjectGUID wir nie ausgetauscht und existiert, solange das Objekt existiert.
Security Principals
Alles was von einem OS authentifiziert werden kann.
Sind Domänenobjekte, die Zugriff zu anderen Ressourcen in einer Domain verwalten.
Security Identifier (SID)
Unique ID für Security Principals oder Security Groups
Jeder Account, Gruppe oder Prozess hat eigene SID
Wird von Domaincontroller abgefragt und in sicherer Datenbank gespeichert
SID kann nur einmal verwendet werden
Selbst wenn der dazugehörige Security Principal gelöscht wird, kann SID in der Umgebung nicht erneut verwendet werden.
Wenn Nutzer sich einloggt, erhält dieser vom System ein Zugriffstoken, welcher SID, gestattete Rechte und SIDs aller angehöriger Gruppen enthält.
Dieser Token wird genutzt, um Rechte zu prüfen, sobald Benutzer bestimmte Aktionen aus einem Computer ausführt.
Für bestimmte Gruppen gibt es auch bekannte und generische SIDs → zum Beispiel in der Everyone Group
Distinguished Name (DN)
Ganzer Pfad zu einem Objekt
Bsp:
cn=bjones, out=IT, ou=Employees, dc=inlanefreight, dc=localNutzer bjones arbeitet in IT-Department von der Firma inlanefreight und gehört der OU an, welche die Nutzer der Gruppe Employees hält.
Relative Distinguished Name (RDN)
Komponente des DN, welche für jedes Objekt auf der gleichen hierarchischen Ebene unique ist
Oben wäre das bjones.
AD erlaubt keine zwei Objekte mit dem selben Namen unter dem selben Parent-Container.
sAMAAccountName
Login-Name eines Nutzers
Bsp: bjones
userPrincipalName
Ist ein Attribut
Stellt anderen Weg dar, um einen Nutzer zu identifizieren in AD.
Besteht aus einem Präfix (Accountname) und eines Suffix (Domain-Name)
Bsp: bjones@inlanefreight.local
Attribut ist allerdings nicht obligatorisch
Service Principal Name (SPN)
Unique Service Instance Identifier
Wird durch Kerberos für Authentifikation genutzt.
So findet Verknüpfung zwischen Service und einem konkreten Serviceaccount statt.
Nutzer muss dann keinen konkreten Account des Services kennen, sondern lediglich den Namen des Services.
Domain Controller
FSMO Roles
Rollen um das Single Point-of-Failure Prinzip bei Domaincontrollern zu verhindern.
Verschiedenen Zuständigkeiten werden in Rollen aufgeteilt und können so an verschiedenen Domain-Controller verteilt werden.
Dadurch soll sichergestellt werden, dass Domain-Controller immer für Authentifizierung und Autorisierung zur Verfügung stehen.
Fünf FSMO Rollen:
Schema Master (einer per Forest)
Domain Naming Master (einer per Forest)
Relative ID (RID) Master (per Domain)
Primary Domain Controller (PDC) Emulator (per Domain)
Infrastructure Master (per Domain)
Sobald neue Domain in Forest erstellt wird, werden per Domain-Rollen an den Domain-Controller weitergegeben.
Sysadmin können diese Rollen auch manuell an anderen Controller vergeben.
Global Catalog
= Domain-Controller, welcher Kopien von allen Objekten in einem Forest speichert.
Standard-Controller halten bereits komplette Replika von Objekten, die zur eigenen Domain gehören → Global Katalog erweitert dies auf den ganzen Forest.
Nutzer und Anwendungen können über GC Informationen über jedes Objekt in jeder Domain abfragen.
Read-Only Domain Controller (RODC)
Controller mit read-only AD-Datenbank
Enthält keine Passwörter (außer von RODC-Computer Account und das RODC KRBTGT Passwort)
Keine Änderungen werden gepusht.
So soll der Traffic besser verteilt werden und eine bessere Separierung von Rollen ermöglicht werden.
Replication
Passiert, wenn AD-Objekt aktualisiert wird und an anderen DC transferiert wird.
Sobald neuer DC erstellt wird, werden Verbindungsobjekte zu anderen DCs erstellt.
Dafür sorgt der Knowledge Consistency Checker Service (KCC)
Synchronisation zwischen DC soll Verfügbarkeit der Daten erhöhen, sobald ein DC ausfällt.
NTDS.DIT
Herz von AD
Wird durch ein DC in C:/Windows/NTDS/ als Datenbank gespeichert
Enthält jegliche Informationen, wie auch Passwort-Hashes für alle Benutzer
Wenn Domain komprimitiert ist, wird diese Datei für pass-the-hash Angriffe genutzt.
Falls Einstellung “Store password with reversible encryption” aktiviert ist, liegen Passwörter sogar in Klartext vor.
Manche Organisagionen aktivieren dies, wenn Anwendungsprotokolle “reale” Passwörter benötigen.
Access Control
Group Policy Object (GPO)
Virtuelle Kollektion von Konfigurationen bezüglich Richtlinien.
Jedes GPO kann Einstellungen bezüglich des lokalen Dateisystems oder AD an sich halten.
Können für User und Computer-Objekte auf beliebigem Level angewendet werden.
Access Control List (ACL)
Sortierte Liste von Access Control Entries (ACEs) die auf ein Objekt angewendet werden.
Access Control Entries (ACEs)
Identifiziert zu vertrauende Identitäten (Benutzerkonten, Gruppenkonten, Session)
Listet Zugriffsrechte auf
Discretionary Access Control List (DACL)
Definiert, welchen Security Principles der Zugriff auf ein Objekt gestattet oder verboten werden soll.
Nutzt dafür eine Liste von ACEs
Vor jedem Zugriff prüft das System die DACL eines Objektes.
Falls keine DACL vorhanden, hat jeder Zugriff
Falls DACL vorhanden aber leer, hat keiner Zugriff
ACEs werden sequenziell überprüft bis ein Eintrag gefunden wird, welcher die angeforderten Rechte gestattet oder den Zugriff gänzlich verbietet
System Access Control Lists (SACL)
Erlaubt Adminds die Login-Versuche für ein gesichertes Objekt zu loggen.
ACEs definieren Regeln, wann und wie ein Versuch in den Security-Event-Logs gespeichert wird.
Fully Qualified Domain Name (FQDN)
Kompletter Name für ein Computer oder Host
[hostname].[domain name].[tld]
Wird genutzt, um Position im DNS-Baum festzulegen.
Dadurch können Hosts gefunden werden, ohne die IP zu kennen.
Misc
Tombstone
Hält gelöschte AD-Objekte
Wenn AD-Objekt gelöscht wird, verweilt es trotzdem eine weitere Zeit in der AD-Umgebung
Wird festgelegt über TombstoneLifetime, sowie isDeleted Attribut
Danach wird Objekt erst vollständig gelöscht.
Default liegt oft bei 180 Tagen.
AD Recycle Bin
Komponenten zu die Wiederherstellung von Objekten zu vereinfachen
Dort werden Objekte für eine gewisse Zeit gehalten und sysadmin können diese Vollständig wiederherstellen.
Größter Vorteil: auch jegliche Attribute lassen sich wiederherstellen.
SYSVOL
Ordner der Kopien von öffentliche Dateien in einer Domäne speichert und teilt.
System policies, Group policy settings, logon/logoff scripts und andere Scripts
Die Inhalte werden an alle anderen DCs in der Umgebung mittels des File Replication Services (FRS) repliziert.
AdminSDHolder
Objekt um ACLs für Build-in Gruppen zu managen.
Diese Gruppen sind in der Regel sehr privilegiert.
Objekt dient als Container für Security Descriptor, welchen alle Nutzer dieser Gruppen erhalten.
Dazu wird der SD Propagator genutzt, welcher aus dem PDC Emulator DC läuft.
Prüft stündlich, ob Mitglieder dieser Gruppen die korrekte ACL besitzen.
Bei Angriff auf Rechte sollen so bösartig modifizierte Rechte “zurückgesetzt” werden.
Gilt aber nur für Nutzer die keiner Built-in Gruppe angehören.
dsHeuristics
String-Value-Set auf dem Directory-Service Object um verschiedene Forest-weite Konfigurationen zu definieren.
Eine dieser Einstellungen ist es die built-in Gruppen aus der Liste der Protected Groups auszuschließen.
Gruppen in dieser Liste werden nicht von dem AdminSDHolder-Objekt zurückgesetzt.
adminCount
Attribut, welches bestimmt ob der SDProp (SD Propagator) ein User schützen soll.
0 = nicht geschützt.
1 = geschützt.
Hier setzt der Propagator keine Berechtigungen zurück, da es sich um einen “legitimen” Admin handelt.
Nutzer mit diesem Attribut sind im besonderen Fokus von Angreifern → Kompromittierung für zu Komprimittierung der ganzen Domain.
Active Directory Users and Computers (ADUC)
GUI-Konsole, um Nutzer, Computer und Kontakte in AD zu managen.
Über powershell
ADSI Edit
GUI-Tool, um Objekte in AD zu verwalten.
Kann auch genutzt werden, um Attribute zu modifizieren oder Objekte gänzlich hinzuzufügen/zu löschen.
Besondere Vorsicht sollte hier herrschen, da Änderungen über dieses Tool ggf. große Probleme in AD verursachen können.
sIDHistory
Attribut, welches jede ehemalige SID hält-
Wird im Rahmen von Migrationen genutzt.
Wenn Nutzer zu anderem DC migriert wird, soll dieser die selben Rechte halten.
Kann auch für viele Angriffe missbraucht werden
Last updated
Was this helpful?