RootedCON https://www.rootedcon.com Marzo/March 5-7 2020 Madrid (Spain)

1. Van a mear sangre
Cómo hacer que los atacantes deseen no haber entrado en tu red

2. • Presentación
# Antonio Sanz  Gestor
de la Felicidad en
S2 Grupo
# Pateamos atacantes
de sistemas
# BlueTeam & DFIR
 lo mejor

3. Los malos están
que lo
petan

4. Los sospechosos habituales siguen ahí

5. APT
o
polonio

6. Te lo vas a comer
con patatas:
Ransomware
(y con Cruzcampo, que es todavía peor)

7. Muchos
sistemas
son así …

8. … cuando tendrían que ser ASÍ

10. Assume breach

11. Prevent React
Detect

12. Denegar, disrumpir y degradar

13. Objetivo: kill-chain f****ing

14. 0. Higiene básica

15. ¿Sabes cuántos juguetes tienes?

16. ¿Sabes dónde están tus juguetes?

17. ¿Y qué papa o mamá se hace cargo de ellos?

18. Ten tus mierdas actualizadas

19. Esto también va
por ti, colega
(* Si alguien lo encuentra, que me lo diga)

20. Controla lo que entra y sale de tu red

21. Si no las tienes, no sigas

22. 1. Cierra la gatera

23. Foto de trikini

25. SPF – Sender Privacy Framework

26. Pon SPF en modo
monitor. Hay
mucho gañán ahí
fuera

27. Bonus: Te vas a
fundir MUCHO
email marketing

28. Batallita: Cómo bloqueamos
un partido político con SPF

29. Foto de trikini

31. DKIM – DomainKeys Identified Mail

32. Mola … pero es frágil

33. Batallita: DKIM bloquea la
mitad del correo de un
Ministerio

34. 2. A tomar por culo las macros

35. El usuario ve esto …

36. … y esta es la
dura
realidad

37. No las podrás quitar de Excel
(ojalá)

38. ¿Sabías que PowerPoint tiene macros?

39. GPO
SCCM
Registro

40. Los usuarios no van a estar contentos…

41. Office 2016+  Hardened
signed macros

42. !Sin macros no puedo currar!

43. Solución: Localizaciones de confianza

44. LC = Vía libre para el documento

45. Mitigación: Monitorización + Políticas

46. Batallita: Cómo intentamos (y
fallamos) quitar las macros de
Excel

47. 3. LAPS es tu nuevo mejor amigo

48. Misma pass de admin = malos
felices

49. LAPS – Local Admin Password Solution

50.  Longitud
 Complejidad
 Rotación
 GUI/Powershell

51. Si trincan el DC estás jodido…

52. El CAU no va a ser feliz…

53. Despliégalo con fiereza enana

54. LAPSToolkit te ayuda a comprobar
que está fino

55. Batallita: Cómo negociamos
LAPS con el CAU

56. 4. Domain admin BDSM

57. Si te trincan un admin. de dominio

58. Es taaaan fácil administrar así…

59. Admin dominio NO pueden entrar en PC

60. Medida Pro: Credential tiering

61. A Sistemas tampoco le va a gustar esto …

62. No te fíes de ellos: monitoriza

63. Batallita: Sysadmins usando
dom. admin en lugar de LAPS
porque “es mu difisi”

64. 5. Tratar con usuarios especiales

65. Todos tenemos usuarios “especiales”

66. Developas
quieren
privilegios de
administrador

67. Solución: MakeMeAdmin

68. How it works
= Profit !

69. Objetivo: Reducir nuestra superficie de ataque

70. (Algunos) usuarios tampoco estarán contentos

71. Batallita: Listillos que cambian
el timeout a 8h

72. 6. Arquitecturas poco amigables

73. Los atacantes adoran las redes planas

74. VLAN the fuck out of it

75. Jump around !!  Jump boxes

76. Medida Pro: PAW Workstations

77. ¿A quién lo toca hacer todo esto?  Redes

78. ¿Quién va a tener que hacer RDP/SSH anidados
para currar?  Redes

79. A Redes esto no le va a entusiasmar…

80. Batallita: Gente de Perimetral
que accede sin salto

81. No hemos venido a hacer amigos

82. Jugamos TODOS en el mismo equipo

83. Aprende a negociar

84. Los bollos amansan a las fieras

85. 7. Qué bien arde lo viejo

86. LM, SMB1, Wdigest deberían ser
cenizas hace tiempo

87. NTLMv1 debería de estar
criando malvas

88. NTLMv2, todavía
no te toca …
todavía

89. Windows 10 / Server 2016 solucionan cosas

90. Cada vez que se rompa algo … !chupito!

91. Solución: haz inventario de tus mierdas IT

92. Solución: Deja 1 DC
con todo lo viejo
activado solo para las
antiguallas. Controla
su acceso.

93. Batallita: Me jubilaré antes
que un trasto crítico que
necesita SMB1

94. 8. Hazte un chequeo del corazón

95. Si tú no le das amor a tu DC,
alguien se lo dará

97. Tool 1: ACLight

98. Vas a ver cosas que
no te van a gustar.
Ten whisky a mano.

99. Tool 2: PingCastle

100. Vas a ver cosas que
no te van a gustar.
Ten whisky a mano.

101. Tool 3: Bloodhound

102. Vas a ver cosas que
no te van a gustar.
Ten whisky a mano.

103. Tip: Busca “Death star domain admin“

104. Aquí a lo mejor
necesitas otra cosa
distinta al whisky…

105. Batallita: ACLight nos dice que
el CAU era domain admin

106. 9. No necesitas tantas GPOs

107. A todo el mundo le gustan las GPO (a los
malos, también)

108. NO TE PUEDEN JODER CON GPO
SI LAS HAS DESHABILITADO

109. SCCM es tu nuevo SPOF (y
los DC, y la ePO…)

110. Batallita: Todavía estoy
esperando a que algo se
rompa

111. 10. Dale amor a tu backup

112. El día J llega…

113. … y tu backup está en dominio

114. Cintas… 100% offline, ¿verdad?

115. Protégete del peor escenario

116. Batallita: Comentario en una
reunión  4+ reuniones de
3h + cambio profundo del
plan de continuidad de
negocio

117. Conclusiones

118. Hay que elevar el coste al enemigo

119. Es un camino largo

122. Prevent React
Detect

123. Hay tres cosas
inevitables en esta
vida

128. @antoniosanzalc /
t.me/forense / www.securityartwork.es
Si entran, que entren…
pero que meen sangre
bit.ly/MearSangre

129. Extras

130. KRBTGT burning

131. Un malo solo necesita 5 min a solas con tu DC

132. Política de tierra quemada

133. Quemar un
dominio es una
putada … así que
por lo menos,
resetea el KRBTGT

134. OMG WTF KRBTGT !!
 KRBTGT: Cuenta de
servicio para el KDC
 El core de Kerberos
para un dominio
Windows
 Golden Ticket  se
hace con el KRBTGT

135. Lo tienes que resetear DOS veces

136. Sí, probablemente
romperás cosas. Pero
mejor hacerlo cuando
TÚ lo digas que cuando
lo digan ELLOS.

137. Batallita: El primer reset de
KTBTGT duró un fin de
semana

138. Bola Extra 1
 Restricted Admin Mode
 Credential Guard
 Remote Credential Guard
 ASR – Attack Surface Reduction

139. Bola Extra 2
 SeDebugPrivilege audit & removal
 LSA Protection
 Protected Users Group
 Active Directory Hardening