uso de FortiAnalyzer para detectar actividades relacionadas con vulnerabilidades de escalada de privilegios de Active Directory

Este artículo describe cómo usar un controlador de eventos personalizado en FortiAnalyzer para generar alertas para la presencia relacionada con la respuesta a incidentes de vulnerabilidades de elevación de privilegios de Active Directory.

Este ataque de escalada permite a los atacantes elevar su privilegio a un administrador de dominio una vez que comprometen a un usuario normal en el dominio.

Esta vulnerabilidad está asignada CVE-2021-42278 y CVE-2021-42287.

Para obtener más información sobre este ataque, consulte la siguiente Alerta de brote de FortiGuard Alerta de brote de FortiGuard: escalada de privilegios de AD.

¿Qué se incluye en Fortinet_SOC-Active-Directory-Detection-v2.zip?
1. Escalación de privilegios de AD_event-handler.json

Este controlador de eventos ayuda a identificar los intentos de explotación de escalada de privilegios de Active Directory detectados en los registros de FortiClient y FortiGate IPS.

2. ad_privilege_escalation_report.dat

Este informe muestra los hallazgos en el brote de escalada de privilegios de Active Directory de los registros de FortiClient y FortiGate IPS.

3. fgt_AD Privilege Escalation_event-handler.json

El controlador de eventos para FortiGate ADOM que está configurado solo para registros de FortiGate.

4. fgt_Escalación de privilegios de Active Directory_report.dat

El informe de ADOM de FortiGate que solo incluye gráficos de FortiGate.