Detection proposal: dMSA (BadSuccessor) abuse via predecessor link without superseded-account link

Đang mở
  • Có gì không ổn?
#4,384 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
22/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
yaml
Lĩnh vực
security

Hướng nghiên cứu

Start with the two proposed analytics: a TTP on Security 5136/5137 that correlates msDS-ManagedAccountPrecededByLink with msDS-SupersededManagedAccountLink by DN, and an Anomaly on 5137 with ObjectClass msDS-DelegatedManagedServiceAccount. Check with maintainers first whether these fit under Active Directory Privilege Escalation, since the proposal is still open. Done means both analytics build with contentctl-ng and pass against the attached lab dataset.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

enhancement

Detection proposal: dMSA (BadSuccessor) abuse via predecessor link without superseded-account link

Gap. security_content has no analytics for delegated Managed Service Accounts (dMSA, Windows Server 2025), so BadSuccessor (CVE-2025-53779) is not covered. Elastic alerts on any write to msDS-ManagedAccountPrecededByLink, which also fires on every legitimate migration.

Proposal. Two experimental analytics on Security 5136/5137:

  • Windows AD dMSA Predecessor Link Without Superseded Account Link (TTP): msDS-ManagedAccountPrecededByLink is written on a dMSA, but no matching msDS-SupersededManagedAccountLink is written on that predecessor. The two changes are correlated by DN, in either order.
  • Windows AD dMSA Object Creation (Anomaly): 5137 with ObjectClass msDS-DelegatedManagedServiceAccount.

Evidence. Windows Server 2025 (build 26100) lab DC. Microsoft's Start-/Complete-ADServiceAccountMigration writes both sides of the link: on the dMSA, and on the predecessor (msDS-SupersededManagedAccountLink, msDS-SupersededServiceAccountState). A direct predecessor-link write, the BadSuccessor primitive, changes only the dMSA. An attacker abusing BadSuccessor has no rights over the privileged predecessor, so they cannot add the second side. The lab data (49 events) gives 1/1 for the TTP: the direct write is detected and the legitimate migration is not. The Anomaly gives 2/2, with no hits on the gMSA or user creations. contentctl-ng build passes.

Would these fit under Active Directory Privilege Escalation? I can open the PR and publish the dataset to attack_data. Related: #4382, #4383.

Ngôn ngữ chính
Python
Star
1.7k
Fork
505
Merge trung bình
3 ngày 11 giờ
Pull request đã merge (30 ngày)
49

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của splunk/security_content

Tất cả issue của splunk/security_content

Issue tương tự

Thêm issue về Python

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.