# Giám sát Active Directory - Wazuh
## 1.1 Setup Wazuh Manager trên Ubuntu
sudo apt install open-vm-tools-desktop -y
curl -sO https://packages.wazuh.com/4.13/wazuh-install.sh
sudo chmod +x wazuh-install.sh
sudo bash wazuh-install.sh --all-in-one --port 9000
User: admin
Password: 5YdA7W+J0A*B6m8lEFlWDBDY38Uz72No
Cấu trúc domain:
```
zerotrust.com
├── OU=AdminAccounts ← Quản trị hạ tầng
│ ├── User: admin.root (Domain Administrator – toàn quyền Domain)
│ ├── User: admin.it01 (IT Administrator – quản trị OU, server, GPO)
├── OU=DepartmentUsers ← Người dùng nội bộ
│ ├── OU=Finance
│ │ ├── User: fin.user01
│ │ ├── User: fin.user02
│ │ └── Group: Finance_Group
│ │ └── Quyền: Truy cập \\FS1\Finance
│ ├── OU=HR
│ │ ├── User: hr.user01
│ │ ├── User: hr.user02
│ │ └── Group: HR_Group
│ │ └── Quyền: Truy cập \\FS1\HR
│ ├── OU=IT
│ │ ├── User: it.helpdesk (Hỗ trợ kỹ thuật)
│ │ ├── User: it.support (Vận hành IT cơ bản)
│ │ └── Group: IT_Group
│ │ └── Quyền:
│ │ - Reset mật khẩu người dùng nội bộ
│ │ - Remote desktop đến client (qua GPO delegation)
│ │ - Không có quyền Domain hoặc quản trị GPO
│ └── OU=Dev
│ ├── User: dev.user01
│ ├── User: dev.user02
│ └── Group: Dev_Group
│ └── Quyền: Truy cập repo nội bộ, thư mục \\FS1\Dev
└── OU=Quarantine ← Tài khoản vi phạm
├── User: quarantine.user01
└── Ghi chú:
- Tài khoản bị vô hiệu hóa tạm thời
```
## 1.2 Cài Wazuh Agent
Cài chọn deploy new agent
Sau đó copy lệnh và cài wazuh agent trên máy Windows Server 2019
```
Invoke-WebRequest -Uri https://packages.wazuh.com/4.x/windows/wazuh-agent-4.13.1-1.msi -OutFile $env:tmp\wazuh-agent; msiexec.exe /i $env:tmp\wazuh-agent /q WAZUH_MANAGER='192.168.134.190' WAZUH_AGENT_NAME='WindowsServer2019'
NET START WazuhSvc
```
Test-NetConnection -ComputerName 192.168.134.190 -Port 1515
Cài đặt thành công agent trên máy Windows Server 2019
## 1.3 Test rule
Thêm rule: /var/ossec/etc/rules/local_rules.xml
Chọn Manage rules
#### 1.3.1 Kerbroasting
Bật audit log ghi lại yêu cầu vé dịch vụ Kerberos (TGS-REQ) khi vé truy cập dịch vụ sau khi đã có TGT. Event id 4769
Rule Wazuh
Cấu hình lỗi Kerbroasting trên máy Windows Server bằng Script
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110001
#### 1.3.2 AS-REP roasting
Bật audit log ghi lại ghi lại việc yêu cầu vé cấp phép TGT. Event id 4768
Rule Wazuh
Cấu hình lỗi AS-REP roasting trên máy Windows Server bằng Script
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110002
#### 1.3.3 Shadow Credentials
Bật audit log ghi lại khi một object trong AD bị thay đổi (attribute change) Event id 5136
Rule Wazuh
Cấu hình lỗi Shadow Credentials trên máy Windows Server bằng Script
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110004
#### 1.3.4 DCSync
Bật audit log ghi lại Ghi nhận truy cập hoặc thay đổi đối tượng trong AD (User, Group, Computer, OU, v.v.) Event id 4662
Rule Wazuh
Cấu hình lỗi DCSync trên máy Windows Server bằng Script
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110007
#### 1.3.5 Goden ticket
Cấu hình để gửi log dạng json lên wazuh
Fix: https://documentation.wazuh.com/current/user-manual/manager/event-logging.html#enabling-archiving
Bật audit log ghi lại yêu cầu vé dịch vụ Kerberos (TGS-REQ) khi vé truy cập dịch vụ sau khi đã có TGT. Event id 4769
Bật audit log ghi lại đăng nhập thành công (local, network, service...). Event id 4624
Rule Wazuh
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110010
#### 1.3.6 ESC1
Bật Auditing trong Certification Authority console
Bật audit log ghi khi CA đã nhận được một yêu cầu chứng chỉ. Event id 4886
Rule Wazuh
Cấu hình lỗi ESC1 trên máy Windows Server bằng Script
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110011
#### 1.3.7 Pass-the-Hash
Bật audit log ghi lại đăng nhập thành công (local, network, service...). Event id 4624
Rule Wazuh
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110012
#### 1.3.8 Resource Based Constrained Delegation
Bật audit log ghi lại khi một object trong AD bị thay đổi (attribute change). Event id 5136
Bật audit log ghi lại yêu cầu vé dịch vụ Kerberos (TGS-REQ) khi vé truy cập dịch vụ sau khi đã có TGT. Event id 4769
Rule Wazuh
Cấu hình lỗi RBCD trên máy Windows Server bằng Script
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110014
#### 1.3.9 AdminSDHolder
Bật audit log ghi lại khi một object trong AD bị thay đổi (attribute change). Event id 5136
Rule Wazuh
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110016
#### 1.3.10 Evil-winrm
Sửa file C:\Program Files (x86)\ossec-agent\ossec.conf để gửi log lên Wazuh.
Fix: https://wazuh.com/blog/detecting-powershell-exploitation-techniques-in-windows-using-wazuh/
Sử dụng PowerShell Module Logging. Trên máy DC, mở Group Policy Editor và thực hiện các bước sau: Computer Configuration > Administrative Templates > Windows Components > Windows PowerShell.
Chọn: Turn on Module Logging
Tích chọn Enable và chọn Show cạnh Module Names
Sau đó nhập 2 giá trị sau: Microsoft.PowerShell.* / Microsoft.WSMan.Management
Chạy gpupdate /force để cập nhật nhóm chính sách ngay lập tức.
Trong Event Viewer tại đường dẫn: Applications and Services Logs > Microsoft > Windows > PowerShell > Operational
Rule Wazuh
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110018
#### 1.3.11 Abusing AD-DACL: ForceChangePassword
Bật audit log ghi lại khi mật khẩu của một user trong domain thay đổi. Event id 4724 (auditpol /set /category:"Account Management" /success:enable /failure:enable)
Rule Wazuh
Cấu hình lỗi Abusing AD-DACL: ForceChangePassword trên máy Windows Server bằng Script
Tấn công từ máy Kali
Trên Wazuh Manager vào mục Agent, Threat Hunting, Event và lọc rule.id: 110019
## 1.4 Active Respone Wazuh
Mở PowerShell với quyền Administrator
Cài đặt công cụ PyInstaller:
• pip install pyinstaller
• pyinstaller --version
Chạy pyinstaller -F moveUser.py để chuyển thành file .exe
Copy file moveUser.exe đó vào thư mục Wazuh Agent
Khởi động lại Wazuh agent để áp dụng thay đổi: Restart-Service -Name wazuh
Mở file cấu hình của Wazuh Manager: /var/ossec/etc/ossec.conf và thêm cấu hình
Trên Wazuh Server, chạy lệnh: sudo systemctl restart wazuh-manager
Sau khi tấn công với kỹ thuật Kerbroasting thành công user sẽ bị move vào OU Quarantine và tài khoản bị disable
Với account bị disable sẽ không thể login được
Sign in with Wallet
Connect another wallet