T1552.006 Group Policy Preferences
Unter-TechnikEnterpriseAdversaries may attempt to find unsecured credentials in Group Policy Preferences (GPP). GPP are tools that allow administrators to create domain policies with embedded credentials. These policies allow administrators to set local accounts. These group policies are stored in SYSVOL on a domain controller. This means that any domain user can view the SYSVOL share and decrypt the password (using the AES key that has been made public). The following tools and scripts can be used to gather and decrypt the password file from Group Policy Preference XML files: * Metasploit’s post exploitation module: <code>post/windows/gather/credentials/gpp</code> * Get-GPPPassword * gpprefdecrypt.py On the SYSVOL share, adversaries may use the following command to enumerate potential GPP XML files: <code>dir /s *.xml</code>
Plattformen
Plattformen, für die dies gilt.
Taktiken
ATT&CK-Taktiken, denen diese Technik dient.
Unter-Technik von
Die übergeordnete Entität.
Gegenmaßnahmen
ATT&CK-Gegenmaßnahmen, die dies verringern.
Erkannt durch (4)
Datenkomponenten, die dies erkennen.
Abgewehrt durch (D3FEND)
D3FEND-Gegenmaßnahmen dagegen.
NIST CSF 2.0 — Relevanzbereiche (Protect / Detect)
NIST-CSF-2.0-Bereiche mit dem größten Bezug (belegbasiert).
- PR.AAIdentity Management, Authentication, and Access Controlmoderat · gestützt durch 5 von 12 zugeordneten Controls
- PR.PSPlatform Securitymoderat · gestützt durch 5 von 12 zugeordneten Controls
- ID.IMImprovementmoderat · gestützt durch 4 von 12 zugeordneten Controls
Abgeleitet aus MITRE CTID (Apache-2.0) und dem NIST-800-53-↔-CSF-Crosswalk (gemeinfrei). Eine indikative Relevanz entlang der Protect-/Detect-Achse — keine Compliance-Bewertung und keine Abdeckungsaussage.
Mindernde Maßnahmen (12)
Sicherheitskontrollen, die dies mindern.
Angriffsmuster (1)
CAPEC-Angriffsmuster, die dies ausnutzen.
Gruppen (2)
Zugehörige Bedrohungsgruppen.
Software (3)
Zugehörige Malware und Tools.
Erkannt durch (Sigma) (6)
Zugehörige Sigma-Erkennungsregeln.
Quelle
Wo diese Definition veröffentlicht ist.