Процесс прямого подключения к RDP с включенной функцией NLA
NLA, или аутентификация на сетевом уровне, — это метод аутентификации, при котором пользователь проходит проверку подлинности с помощью хешированных учетных данных, передаваемых по протоколу RDP. Вместо того чтобы передавать учетные данные в открытом виде, перед отправкой на сервер они подвергаются ряду вычислений. Затем сервер выполняет те же вычисления со своей (возможно, хешированной) копией учетных данных пользователя. Если данные совпадают, пользователь проходит аутентификацию.
Согласно статье Microsoft, процесс RDP-подключения с NLA состоит из 8 шагов:
1️⃣Клиент запрашивает Kerberos-тикет у AD 2️⃣TCP-подключение к RDSH на порт 3389 3️⃣NLA-аутентификация через CredSSP (пользователь аутентифицируется до создания сессии) 4️⃣Проверка RDS CAL (лицензия) у License Server 5️⃣License Server обращается к AD 6️⃣License Server отвечает RDSH 7️⃣RDSH запрашивает Kerberos-токен для сессии 8️⃣Пользователь получает рабочий стол
При включенной NLA у вас фиксируется сначала вход logon 3. https://port139.hatenablog.com/entry/2019/04/07/210045 Интересно, и что? Оказывается что такие инструменты как NLA для брута RDP чаще всего останавливаются именно на этом шаге. То есть у нас не появляется вход по интерактивно сессии. https://blog.plainbit.co.kr/nlbrute-with-event-logs/ От себя могу добавить, что если это был первых вход - то как правило появятся папки пользователя, будут созданы UsrClass.dat, ntuser.dat. А вот чего мы не увидим - так это активности в UserAssist. UserAssist — это ключ реестра внутри NTUSER.DAT, который ведёт подсчёт запусков программ через Windows Shell (Explorer.exe). Он обновляется только когда пользователь (или программа от его имени) запускает что-то через графическую оболочку - ярлыки, элементы меню Пуск, панель задач и т.д. То есть у нас будут временные метки shellbag, но не будет активности в UserAssist. Справедливо только для случаев когда пользователь впервые проходил аутентификацию на хосте.
В ситуации когда атакующий зачистил журналы windows такая аномалия может стать для нас аргументом что RDP-так сказать сбрутили как дешевку. 🇷🇺
