Mobile-Menu

Active Directory-Analyse mit Sharphound, Bloodhound und ChatGPT Schwachstellen finden und Informationen zuverlässig visualisieren

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

Microsoft Deutschland GmbH
FTAPI Software GmbH

Mit den Open Source-Lösungen Sharphound und Bloodhound können Admins Netzwerke und Active Directory-Umgebungen nach Schwachstellen untersuchen und Informationen visualisieren. Auch ChatGPT lässt sich dazu nutzen. Der Beitrag zeigt, wie das geht.

Bloodhound und Sharphound bilden eine wichtige Basis für die Analyse von Active Directory. Zum Einsatz kommt dabei auch Neo4j.(Bild: Microsoft | Joss)
Bloodhound und Sharphound bilden eine wichtige Basis für die Analyse von Active Directory. Zum Einsatz kommt dabei auch Neo4j.
(Bild: Microsoft | Joss)

Um Active Directory auf Schwachstellen zu untersuchen, kann zum Beispiel eine Kali-Installation verwendet werden. Parallel kommt noch ChatGPT zum Einsatz. In diesem Beitrag gehen wir darauf ein, wie Sharphound und Bloodhound dabei eine zentrale Rolle spielen können. Im ersten Schritt erfolgt dazu eine Aktualisierung der Paket-Quellen mit:

sudo apt update && sudo apt upgrade

Danach sind die Pakete auf der Kali-Distribution aktualisiert und Bloodhound sowie Sharphound können eingerichtet werden. Die Analyse kann parallel noch mit ChatGPT erfolgen.

Bildergalerie
Bildergalerie mit 7 Bildern

Bloodhound auf Kali installieren

Für das Scannen von Active Directory mit Bloodhound und Sharphound erfolgt zunächst die Installation von Bloodhound mit:

sudo apt install bloodhound -y

Danach erfolgt das Anzeigen des Links für den Zugriff auf das Webinterface der Bloodhound-Datenbank mit:

sudo neo4j console

Im Fenster ist der Link für den Zugriff zu sehen. Die Anmeldung an die Datenbank erfolgt mit Benutzername „neo4j“ und dem Kennwort „neo4j“. Nach der ersten Anmeldung erfolgt die Änderung des Kennwortes für den Zugriff auf die Datenbank. Danach erfolgt der Start von Bloodhound im Terminal mit dem Befehl:

bloodhound

Danach startet die Konsole von Bloodhound. Die Anmeldung erfolgt mit dem Benutzernamen „neo4j“ und dem neuen Kennwort für den Zugriff auf die Datenbank. Gelingt die Anmeldung ohne Probleme, steht Bloodhound zur Verfügung. Es gibt hier aktuell noch keine Daten zu sehen, wichtig ist zunächst das Bloodhound funktioniert.

Sharphound sammelt Unterlagen aus Active Directory

Um Mit Bloodhound generelle Schwachstellen in Active Directory zu visualisieren, ist ein Scanvorgang mit Bloodhound notwendig. Dieser erfolgt aber nicht auf Linux oder Kali, sondern am besten auf einer Arbeitsstation oder einem Server, der Mitglied in Active Directory ist. Sharphound steht auf GitHub zum Download zur Verfügung. Interessant ist an dieser Stelle auch zu wissen, dass Sharphound für seinen Scanvorgang keine administrativen Rechte braucht. Das heißt, Angreifer können mit normalen Benutzerrechten genauso das Active Directory mit Sharphound scannen und die gescannten Daten mit Bloodhound visualisieren. Microsoft Defender meldet Sharphound allerdings als Hacker-Tool und blockiert den Zugriff. Daher muss Microsoft Defender am besten deaktiviert sein, wenn man mit Sharphound arbeitet. Die Deaktivierung erfolgt in der App „Windows-Sicherheit“. Natürlich sollten sich Admins darüber bewusst sein, dass in diesem Fall kein Malware-Scan mehr auf dem entsprechenden PC stattfindet.

Active Directory mit Sharphound scannen

Sharphound wird über die Befehlszeile genutzt. Dazu wird das Archiv extrahiert und im Anschluss der entsprechende Befehl eingegeben, um Sharphound zu nutzen. Um alle Daten aus Active Directory auszulesen, steht der folgende Befehl zur Verfügung:

sharphound --CollectionMethods All

Achten Sie auf die beiden Bindestriche. Nach Eingabe des Befehls wird das Active Directory gescannt. Der Vorgang dauert einige Minuten. Danach hat das Tool alle Daten gesammelt, die ein Benutzer ohne Admin-Rechte auslesen kann. Alle Informationen speichert Sharphound in einer Zip-Datei. Diese Datei wird in Kali benötigt. Dazu kopiert man die Datei auf die Kali-Installation, zum Beispiel über eine Freigabe, oder einen Cloud-Speicher.

Mit Bloodhound die Scandaten von Sharphound visualisieren

In der Weboberfläche von Bloodhound seht die Schaltfläche für den Upload von Daten zur Analyse zur Verfügung. Hier wird die Zip-Datei von Sharphound ausgewählt und in das System geladen. Der Upload dauert einige Zeit. Wenn alle Dateien einen Status von 100 Prozent haben, kann das Upload- und Verarbeitungsfenster mit „Clear Finished“ geschlossen werden. Nach dem Import lassen sich die Daten durchsuchen. Dazu gibt man im Suchfeld den Namen eines Computers ein, der Mitglied in Active Directory ist.

Dabei kann es sich zum Beispiel um einen Domänencontroller, einen Mitgliedsserver oder auch eine Arbeitsstation handeln. Nach der Auswahl des Knotens lassen sich über das Suchmenü oben rechts Analysen zum jeweiligen Objekt anzeigen. Hier stehen haufenweise Abfragen zur Verfügung, zum Beispiel zu den Berechtigungen, Vertrauensstellungen und vielen weiteren Daten. Bloodhound kennzeichnet besonders interessante Informationen mit einem Diamanten.

ChatGPT für die Analyse nutzen

Die Zip-Datei kann auch in einen ChatGPT-Chat geladen werden. Hier muss aber darauf geachtet werden, dass es sich nicht um personenbezogene Daten handelt und die Daten auch nicht zum Training der LLM genutzt werden. Das kann durch ein Plus-/Enterprise-Abonnement sowie dem Deaktivieren der Optionen bei „Datenkontrollen“ erreicht werden.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Nachdem die Datei hochgeladen ist, können Admins im Prompt zum Beispiel folgendes eingeben:

„Agiere als Sicherheits-Experte und Microsoft-Experte. Ich habe Dir eine Analysedatei hochgeladen. Gib mir eine Zusammenfassung zur Umgebung und den privilegierten Benutzerkonten. Agiere so, wie es Bloodhound tun würde“.

Danach analysiert ChatGPT die Daten und gibt Informationen Preis, wie es auch Bloodhound macht. Auch einzelne Objekte lassen sich direkt abfragen, zum Beispiel:

„Was kannst du mir über den Domänencontroller dc1 mitteilen“.

Auch Anleitungen wie:

„Erstelle eine Liste mit offensichtlichen Schwachpunkten in der Domäne“.

Das sind natürlich nur Beispiele. Admins können mit den Daten chatten und beliebige Fragen zu Problemen, Schwachstellen und empfehlenswerten Änderungen stellen.

Diese Möglichkeiten sind zum Teil noch effektiver als die Analyse mit Bloodhound. Zusammen mit Bloodhound und Sharphound bietet ChatGPT umfangreiche Analysemöglichkeiten.

Alles, was Sie wissen müssen!

Active Directory & Domain Networking im Fokus

Active Directory & Domain Networking ist seit vielen Jahren ein Schwerpunktthema bei IP-Insider. Neben zahlreichen Fachartikeln finden Sie auch viele Definitionen und Begriffserklärungen aus diesem Themenkomplex auf unserer Website. Am Artikelende der Begriffserläuterung „Was ist Active Directory?“ haben wir als Service für Sie jetzt alle auf IP-Insider erschienenen Artikel rund um die Themen Active Directory, Entra ID und Domain Networking für Sie zusammengefasst. Viel Spaß beim Schmökern!

(ID:50514487)

Weiterführende Inhalte