يواجه محترفو الأمان ومسؤولو الأنظمة تحدياً هائلاً عند تدقيق بيئات Active Directory. تعمل أداة ADRecon، وهي أداة PowerShell قوية، على تبسيط هذه العملية من خلال استخراج البيانات الحيوية وإنشاء تقارير شاملة باستخدام برنامج Microsoft Excel.
صُممت هذه الأداة خصيصاً للمدققين، وفرق الاستجابة للحوادث والطب الشرعي الرقمي (DFIR)، ومختبري الاختراق. من خلال تجميع البيانات الخام في طرق عرض ملخصة ومنسقة، تتيح الأداة للفرق تحليل المقاييس بسرعة وفهم حالة الأمان الحالية للبيئة المستهدفة.
في الماضي، كان جمع هذه البيانات يتطلب نصوصاً برمجية متعددة وتجميعاً يدوياً. يركز نظام ADRecon على استخراج البيانات باستخدام أدوات إدارة الخادم عن بُعد (RSAT) أو بروتوكول LDAP، مما يسمح بتشغيلها حتى من الأجهزة غير المنضمة للمجال باستخدام حسابات مستخدمين قياسية.
استخراج شامل لبيانات النظام
تجمع الأداة قائمة واسعة من تفاصيل البيئة لتوفير صورة شاملة للشبكة. تشمل الميزات، على سبيل المثال لا الحصر: الغابة (Forest)، والمجال (Domain)، وعلاقات الثقة (Trusts)، والمواقع (Sites)، والشبكات الفرعية (Subnets)، وسجل المخطط (SchemaHistory)، وسياسة كلمات المرور (PasswordPolicy)، وسياسة كلمات المرور الدقيقة (FineGrainedPasswordPolicy)، ووحدات تحكم المجال (DomainControllers)، والمستخدمين (Users)، وأسماء الخدمة الأساسية للمستخدمين (UserSPNs)، وسمات كلمات المرور (PasswordAttributes)، والمجموعات (Groups)، وتغييرات المجموعات (GroupChanges)، وأعضاء المجموعات (GroupMembers)، والوحدات التنظيمية (OUs)، وقوائم التحكم في الوصول (ACLs)، وكائنات نهج المجموعة (GPOs)، وارتباطات نهج المجموعة (gPLinks)، وتقرير نهج المجموعة (GPOReport)، ومناطق نظام أسماء النطاقات (DNSZones)، وسجلات نظام أسماء النطاقات (DNSRecords)، والطابعات (Printers)، وأجهزة الكمبيوتر (Computers)، وأسماء الخدمة الأساسية لأجهزة الكمبيوتر (ComputerSPNs)، وحل كلمات مرور المسؤول المحلي (LAPS)، وتشفير BitLocker، وهجمات Kerberoast، وحسابات المجال المستخدمة لتسجيل الدخول للخدمة (DomainAccountsusedforServiceLogon).
متطلبات النظام الأساسية
قبل نشر الأداة، يجب التأكد من استيفاء النظام المضيف للمتطلبات اللازمة. يتطلب البرنامج النصي إطار عمل.NET Framework 3.0 أو إصداراً أحدث، وأداة PowerShell 2.0 أو أحدث، مع دعم كامل لإصدار PowerShell Core على نظام Windows 10.
بالإضافة إلى ذلك، يجب تثبيت برنامج Microsoft Excel لإنشاء التقارير النهائية. ينبغي للمستخدمين أيضاً تثبيت أدوات RSAT، وتحديداً أدوات خدمات مجال Active Directory وخدمات الدليل خفيفة الوزن، إلى جانب أدوات إدارة نهج المجموعة.
كيفية تثبيت وتشغيل أداة ADRecon
للبدء، يمكنك استنساخ المستودع باستخدام أداة git، أو تنزيل أرشيف الإصدار الأحدث.
git clone https://github.com/adrecon/ADRecon.gitلتشغيل الأداة محلياً على جهاز مضيف منضم للمجال، نفّذ البرنامج النصي الأساسي.
.\ADRecon.ps1لتشغيل الأداة كمستخدم مختلف على جهاز منضم للمجال، حدد وحدة تحكم المجال وبيانات الاعتماد.
.\ADRecon.ps1 -DomainController <IP or FQDN> -Credential <domain\username>بالنسبة للأجهزة غير المنضمة للمجال، يمكنك إجبار الأداة على الاتصال عبر بروتوكول LDAP.
.\ADRecon.ps1 -Method LDAP -DomainController <IP or FQDN> -Credential <domain\username>إذا كنت تحتاج فقط إلى وحدات معينة، استخدم المعلمة Collect لتحديد النطاق.
.\ADRecon.ps1 -Method ADWS -DomainController <IP or FQDN> -Credential <domain\username> -Collect Domain, DomainControllersإذا قمت بتشغيل الأداة على جهاز لا يحتوي على برنامج Excel، يمكنك إنشاء التقرير لاحقاً من ملفات CSV الخام.
.\ADRecon.ps1 -GenExcel C:\ADRecon-Report-<timestamp>خارطة الطريق والتطوير المستقبلي
يخطط فريق التطوير لإدخال عدة ترقيات رئيسية على المستودع. تشمل الميزات القادمة استبدال آلية بحث الدليل لدعم بروتوكولات LDAP STARTTLS و LDAPS عبر منفذ TCP رقم 636.
تشمل الإضافات المخطط لها أيضاً حصر علاقات ثقة المجال، وخيارات لتصفية قوائم التحكم في الوصول الافتراضية، وجمع قوائم التحكم في الوصول لمستخدمين ومجموعات محددة. يهدف الفريق أيضاً إلى دمج مكتبة EPPlus، مما سيلغي تماماً الاعتماد على برنامج Microsoft Excel لإنشاء التقارير.
قيمة التقارير الآلية في الاستجابة للحوادث
قد يبدو الاعتماد على برنامج Microsoft Excel في إعداد التقارير الأمنية أمراً قديماً للبعض، لكنه يظل اللغة العالمية لفرق الامتثال والتدقيق. من خلال تنسيق استعلامات LDAP الخام في جداول بيانات جاهزة للتحليل، تسد أداة ADRecon الفجوة بين مختبري الاختراق التقنيين ومقيمي المخاطر غير التقنيين.
ومع ذلك، يُعد الشرط الحالي المتمثل في ضرورة تثبيت برنامج Excel على الجهاز المضيف عنق زجاجة تشغيلي ملحوظ. سيكون الانتقال المخطط له إلى مكتبة EPPlus ترقية حاسمة، حيث سيسمح لفرق الاستجابة للحوادث بإنشاء هذه التقارير على خوادم بدون واجهة رسومية أو أجهزة قفز مقيدة دون إثارة تنبيهات امتثال البرامج.
