Activité utilisateur
NTDS.dit et contrôleurs de domaine
Fiche NTDS.dit : la base Active Directory, ce qu'elle prouve, les traces de vol sur un DC et les Event IDs Kerberos, NTLM et DCSync utiles à l'enquêteur.
- Emplacement
- C:\Windows\NTDS\ntds.dit
- Prouve
- Comptes de domaine, appartenances aux groupes, historique des mots de passe et (hors ligne) tous les hashs
- Horodatages
- Attributs AD (pwdLastSet, lastLogonTimestamp) en FILETIME UTC ; réserves de réplication ; dates ESENT dans le journal Application
- Rétention
- Présent sur chaque DC jusqu'à suppression des objets (puis tombstone) ; snapshots IFM et clichés persistent jusqu'à effacement
- Accès
- SYSTEM sur un DC pour lire le fichier verrouillé ; la boot key de la ruche SYSTEM est requise pour déchiffrer les hashs hors ligne
- Type
- Base de données
- Windows
- Vista / 78 / 8.11011
- Cible KAPE
- Pas de cible dédiée
- Velociraptor
- Pas de cible dédiée
Outils
Comparer tous les outils- SecretsDumpNavigateur
- EVTX ParserNavigateur
- Registry ParserNavigateur
- impacketCLI · open source
- DSInternalsBibliothèque · open source
- ntdsutilCLI · intégré à Windows
- libesedbBibliothèque · open source
- SecretsDump: Uniquement dans le cadre d'une réponse à incident autorisée.
Présentation
ntds.dit est la base de données Active Directory : une base ESE (Extensible Storage Engine) présente sur chaque contrôleur de domaine, qui contient tous les utilisateurs, ordinateurs et groupes du domaine, leurs attributs, ainsi que les hashs de mots de passe (chiffrés) et leur historique. C'est la cible la plus riche d'un domaine et le trophée ultime de la plupart des intrusions, car son vol livre les identifiants de tout l'annuaire. Pour l'enquêteur, elle est à la fois une source de preuves (qui existait, qui appartenait à quoi, quand les mots de passe ont changé) et, lorsqu'elle est copiée hors d'un DC, le signe possible d'un vol massif d'identifiants.
Emplacement
| Élément | Chemin |
|---|---|
| Base de données | C:\Windows\NTDS\ntds.dit |
| Journaux de transactions | C:\Windows\NTDS\edb.log, edbNNNNN.log, edb.chk |
| Source de la boot key | Ruche SYSTEM (C:\Windows\System32\config\SYSTEM) |
| Journal Service d'annuaire | Canal d'événements Directory Service |
Le fichier actif est verrouillé par le service NTDS. Le déchiffrement hors ligne des hashs exige la boot key de la ruche SYSTEM du registre capturée sur le même DC.
Ce que l'artefact prouve
- Comptes et appartenances : quels comptes et groupes de domaine existent, l'imbrication et l'appartenance aux groupes privilégiés (Admins du domaine, Admins de l'entreprise).
- Chronologie des mots de passe :
pwdLastSetindique le dernier changement ; l'historique des hashs révèle la réutilisation. - Hashs à cracker hors ligne ou pour pass-the-hash, uniquement avec la boot key.
- Cela ne prouve pas proprement la dernière connexion.
lastLogonTimestampn'est répliqué que dans une fenêtre de tolérance (14 jours par défaut), il est donc approximatif ; l'attribut précislastLogonn'est pas répliqué et diffère selon le DC. N'en faites pas une heure de connexion interactive exacte.
Champs clés
| Attribut | Signification |
|---|---|
sAMAccountName / objectSid | Nom de compte et SID |
pwdLastSet | Dernier changement de mot de passe (FILETIME) |
lastLogonTimestamp | Dernière connexion approximative, répliquée (réserve ci-dessus) |
userAccountControl | Indicateurs : désactivé, sans mot de passe, délégation |
memberOf / member | Appartenance aux groupes |
| unicodePwd / ntPwdHistory | Hash courant chiffré et historique |
Horodatages
Les dates d'attributs AD sont en FILETIME UTC. Au-delà des réserves de réplication, notez whenCreated / whenChanged sur les objets et, pour les enquêtes de vol, les événements ESENT écrits dans le journal Application lorsque la base est copiée ou snapshotée.
Rétention et effacement
La base vit sur chaque DC jusqu'à la suppression d'un objet, ensuite mis en tombstone (récupérable pendant la durée de vie du tombstone) puis retiré. Les snapshots IFM (Install From Media) de l'attaquant et les clichés instantanés de volume créés pour saisir le fichier persistent sur disque jusqu'au nettoyage et sont des cibles de récupération de premier choix.
Collecte
Ne copiez jamais directement le fichier verrouillé actif. Utilisez un cliché ou l'outillage du fournisseur, et capturez toujours la ruche SYSTEM à côté.
ntdsutil "activate instance ntds" "ifm" "create full C:\case\ntds" quit quit
reg save HKLM\SYSTEM C:\case\ntds\SYSTEM
secretsdump.py -ntds ntds.dit -system SYSTEM LOCAL
Les mêmes commandes ntdsutil ifm et vssadmin create shadow servent aussi à l'attaquant à préparer le vol : les voir dans l'historique est significatif.
Outils d'analyse
- impacket
secretsdump.py(open source) : analysentds.dit+ SYSTEM hors ligne et, contre un DC actif, réalise un DCSync via la réplication. Cité factuellement pour les défenseurs. - DSInternals (PowerShell, open source) :
Get-ADDBAccountlit comptes, hashs et historique depuis une base hors ligne, à des fins d'audit. - libesedb /
esedbexport(Joachim Metz, open source) : extrait les tables ESE brutes. - ntdsutil (natif) : crée le snapshot IFM pour une collecte légitime.
Conseils d'investigation
- Traces de vol sur le DC : snapshots
ntdsutil ... ifm,vssadmin create shadow, et Event IDs ESENT 325/326/327 (création/attache/détache de base) dans le journal Application autour de la fenêtre d'incident. Corrélez avec la création de processus et les journaux PowerShell. - Détection de DCSync : Sécurité 4662 sur un DC avec les GUID de réplication
1131f6aa-9c07-11d1-f79f-00c04fc2dcd2(DS-Replication-Get-Changes) ou1131f6ad-...(All), déclenché par un compte non-DC, est la signature classique du DCSync. - Événements d'authentification côté DC : Kerberos 4768 (TGT), 4769 (ticket de service), 4771 (échec de pré-authentification) ; NTLM 4776 ; 4624/4625 connexions. Ils n'existent que sur les DC pour l'authentification de domaine et sont essentiels à la reconstruction du mouvement latéral.
- Changements d'annuaire : 5136 (objet modifié) et 5137 (créé) dans le journal Sécurité, plus le canal Directory Service, captent l'élévation de privilèges comme l'ajout d'un compte aux Admins du domaine ; corrélez avec 4728/4732/4756 (ajouts de groupe) et 4720/4738 (création/modification de compte).
- Comparez les grappes de
pwdLastSet: de nombreux comptes changés dans une courte fenêtre peuvent indiquer une réinitialisation massive en remédiation ou un attaquant réinitialisant des comptes de service.
Artefacts liés
- Ruche SAM et comptes utilisateursFiche ruche SAM : comptes locaux, RID, dernière connexion et changement de mot de passe, compteurs, groupes, ProfileList et ID d'événements liés aux comptes.
- Journaux d'événements Windows (EVTX)Fiche des journaux d'événements Windows : emplacements EVTX, ID indispensables (connexions, processus, services, effacement), rétention, audit et outils.
- Clichés instantanés de volume (VSS)Fiche clichés instantanés VSS : fichiers de stockage dans System Volume Information, copie sur écriture, suppression par rançongiciel, montage et analyse.
- Ruches du registreFiche ruches du registre : SYSTEM, SOFTWARE, SAM, SECURITY, NTUSER.DAT, UsrClass.dat, journaux de transactions, RegBack, LastWrite et collecte.
- DPAPI et Gestionnaire d'identifiantsFiche DPAPI et Gestionnaire d'identifiants : clés maîtresses, coffre Windows, secrets stockés, prérequis de déchiffrement hors ligne et traces de vol.
- Artefacts de stratégie de groupeFiche stratégie de groupe : SYSVOL, Registry.pol, mots de passe GPP, historique côté client et journaux, et comment les attaquants détournent les GPO.
Termes du glossaire
- Identifiant de sécurité (SID)La valeur unique qui identifie utilisateurs, groupes et ordinateurs sous Windows, comme S-1-5-21-…-1001, présente dans le Registre et les journaux.
- Base ESE (Extensible Storage Engine)Le format de base de données transactionnelle de Microsoft derrière SRUM, WebCache, l'index Windows Search et la file BITS, souvent « dirty ».
- Mouvement latéralDéplacement d'un attaquant d'un hôte compromis vers d'autres machines du réseau, via RDP, SMB, PsExec, WMI, WinRM ou tâches et services distants.
- ID d'événement WindowsLe numéro qui identifie un type d'événement au sein d'un fournisseur donné ; il n'a de sens qu'associé à ce fournisseur et à son canal.
Guides
- Analyse forensique des journaux Windows : EVTX et event IDsGuide pratique des journaux d'événements Windows : format EVTX, canaux clés, event IDs Security et Sysmon, politique d'audit, logs effacés et outils.
- Mouvement latéral : traces RDP, PsExec, WMI et WinRMArtefacts côté source et côté destination pour RDP, PsExec, SMB, WMI, WinRM, tâches planifiées et DCOM, et construction du graphe de mouvement latéral.
- Vol d'identifiants Windows : LSASS, DCSync et KerberoastingEnquêter sur le vol d'identifiants Windows : dumps LSASS, SAM et NTDS.dit, DCSync, DPAPI, Kerberoasting et AS-REP roasting, avec événements et ATT&CK.
- Forensic Active Directory : logs des contrôleurs de domaineEnquêter sur les DC : événements Kerberos et NTLM, comptes et groupes, DCSync 4662, modifications d'annuaire, abus de GPO, vol de NTDS.dit, tickets forgés.