Erkennungen

Konten mit einem gefährlichen SID History-Attribut

high

Sprache:

Beschreibung

In Migrationsszenarien verwenden Administratoren den SID History-Mechanismus, der jedoch von Angreifern ausgenutzt werden kann, um ihre Rechte auszuweiten.

Lösung

Sie sollten gefährliche Werte, die für Migrationszwecke gespeichert wurden, entfernen.

Siehe auch

How to remove SID History with PowerShell

Security Considerations for Trusts

Indikatordetails

Name: Konten mit einem gefährlichen SID History-Attribut

Codename: C-ACCOUNTS-DANG-SID-HISTORY

Schweregrad: High

MITRE ATT&CK-Informationen:

Taktiken: TA0001 – Erster Zugang, TA0003 – Persistenz, TA0008 – Lateral Movement, TA0004 – Rechteausweitung

Techniken: T1199 – Vertrauenswürdige Beziehung, T1550 – Alternatives Authentifizierungsmaterial verwenden, T1134.005 – Manipulation von Zugriffstoken – Eingeschleuster SID-Verlauf