Parola kovanlarının kopyalanmasına karşı nasıl savunulur

Saldırgan ne yapar

Windows parola malzemesini dosyalarda tutar: SAM kovanı yerel hesap özetlerini, SECURITY LSA secret'larını ve önbelleğe alınmış domain kimlik bilgilerini, bir domain controller'da NTDS.dit ise her domain hesabını tutar. Windows çalışırken dosyalar kilitlidir; bu yüzden yönetici hakları olan bir saldırgan onları adı bilinen bir saldırı programı yerine yerleşik araçlarla kopyalar: reg save bir kovanı dosyaya yazar, vssadmin create shadow kilitli dosyaların okunabileceği bir volume shadow copy oluşturur, esentutl /vss bir kovanı shadow copy'den kopyalar ve ntdsutil ... ifm AD veritabanının tam bir kopyasını üretir. Özetler başka yerde kırılır ya da yeniden kullanılır.

Logda nasıl görünür

Bu araçlardan biri için, dokunduğu dosya komut satırında olan bir süreç oluşturma olayı. Kayıtlardaki komutlardan biri:

ntds_T1003, ntdsutil'e kopyayı yazması söylenen klasördür; vssadmin create shadow ve reg save HKLM\SYSTEM aynı kümedeki başka makinelerde görünür, çünkü NTDS.dit'i okumak SYSTEM kovanını da gerektirir.

Tespit

Challenge verisinde ölçüldü: kural 6 saldırı olayından 6 tanesini yakaladı, 2.253 normal olaydan 0 tanesiyle eşleşti.

title: Password hive or AD database copied with a built-in tool
id: d523bc75-0b21-4976-9028-6fc2b0940b50
status: test
description: >
  Detects a copy of the SAM, SECURITY or SYSTEM registry hive or of NTDS.dit made with a built-in
  tool: reg save of an HKLM hive, esentutl reading a config hive or ntds.dit, ntdsutil ifm, or
  vssadmin creating a shadow copy that the copy then reads. Normal administration rarely runs these.
references:
  - https://attack.mitre.org/techniques/T1003/
  - https://howdefend.com/defend/credential-hive-copy/
author: Bartu Kılıç
date: 2026-10-20
tags:
  - attack.credential-access
  - attack.t1003.002
  - attack.t1003.003
  - attack.t1003.004
logsource:
  product: windows
  category: process_creation
detection:
  reg_save:
    Image|endswith: '\reg.exe'
    CommandLine|contains:
      - ' save '
      - ' export '
  reg_hive:
    CommandLine|contains:
      - 'hklm\sam'
      - 'hklm\security'
      - 'hklm\system'
      - 'hkey_local_machine\sam'
      - 'hkey_local_machine\security'
      - 'hkey_local_machine\system'
  esentutl:
    Image|endswith: '\esentutl.exe'
    CommandLine|contains:
      - '\config\sam'
      - '/config/sam'
      - '\config\security'
      - '/config/security'
      - '\config\system'
      - '/config/system'
      - 'ntds.dit'
  ntdsutil:
    Image|endswith: '\ntdsutil.exe'
    CommandLine|contains: 'ifm'
  shadow:
    Image|endswith: '\vssadmin.exe'
    CommandLine|contains|all:
      - 'create'
      - 'shadow'
  condition: (reg_save and reg_hive) or esentutl or ntdsutil or shadow
falsepositives:
  - A backup product that creates volume shadow copies on a schedule (filter it by its parent process)
level: high

Kuralın kaçırdıkları

• Dosya yerine bellek okuma. Kimlik bilgileri bellekteki lsass.exe'den de alınabilir; bu, kendi sayfası olan farklı bir veri kaynağıdır.
• Adı değiştirilmiş ya da özel araç. Kural yerleşik program adlarına dayanır. Başka bir adla bir esentutl.exe kopyası ya da shadow copy'yi doğrudan okuyan amaca özel bir araç eşleşmez. Bir domain controller'da NTDS.dit yolunun kendisine erişimi izleyin.
• Shadow copy'nin doğrudan okunması. vssadmin shadow copy'yi oluşturduktan sonra herhangi bir program dosyaları \\?\GLOBALROOT\... yolundan okuyabilir; böyle yapılan bir kopya yalnızca shadow oluşturmayı gösterir, bir kovan aracını değil.

Önleme

• Credential Guard. NTLM özetlerini ve Kerberos biletlerini izole bir ortamda tutar; böylece bir SECURITY kovanı kopyası çok daha azını verir.
• Domain controller'ı koruyun. NTDS.dit ve yedekleri bütün domain demektir. Bir domain controller'a kimin oturum açabileceğini kısıtlayın ve oradaki her ntdsutil ya da shadow copy etkinliğini açıklanana dek bir olay olarak değerlendirin.
• Daha az yönetici. Buradaki her komut yönetici hakları gerektirir. Benzersiz yerel yönetici parolaları (LAPS), bir SAM kopyasının başka makineleri açmasını engeller.

Pratik

Kuralı aynı veri üzerinde, hedeflerin hepsi etiketliyken kendiniz yazın.

Kaynaklar

• MITRE ATT&CK: T1003 OS Credential Dumping
• Microsoft Learn: How Credential Guard works
• OTRF Security-Datasets (attack recordings used on this page)