Unter den Angriffstechniken gegen Active Directory zählt DCSync (MITRE ATT&CK T1003.006) zu den verheerendsten Vektoren. Bekannt geworden durch Frameworks wie Mimikatz und Impacket (secretsdump.py), ermöglicht DCSync das Auslesen sämtlicher Anmeldedaten einer Domain, ohne dass bösartiger Programmcode auf einem Domain Controller (DC) ausgeführt oder die Datei NTDS.dit direkt berührt werden muss. Die frühzeitige Erkennung ist für CISOs und Incident Response Teams von höchster Priorität.
Technische Funktionsweise: Missbrauch des MS-DRSR-Protokolls
DCSync nutzt keine Software-Schwachstelle aus, sondern missbraucht reguläre Synchronisationsfunktionen des MS-DRSR (Directory Replication Service Remote Protocol). Hat ein Angreifer ein Konto mit erweiterten Rechten auf die Domänenwurzel kompromittiert, sendet er RPC-Anfragen über die Schnittstelle drsuapi an einen legitimen DC.
Durch den Aufruf von IDL_DRSGetNCChanges täuscht das Quellsystem vor, ein vollwertiger Domänencontroller zu sein. Auf diesem Weg fordert der Angreifer NTLM-Hashes und Kerberos-Schlüssel an. Besonders kritisch: Das Extrahieren des Hashwerts des Kontos krbtgt erlaubt die sofortige Erstellung eines unbegrenzt gültigen Golden Tickets.
Der blinde Fleck herkömmlicher SIEM-Systeme
Die reine Überwachung über klassische Windows-Ereignisprotokolle (wie Event ID 4662: Operation on an object) scheitert in der Praxis am enormen Datenrauschen der regulären DC-zu-DC-Replikation. Ein standardmäßiges SIEM kann ohne tiefgreifende RPC-Inspektion die angeforderten GUIDs nicht präzise filtern:
DS-Replication-Get-Changes(GUID:1131f6aa-9c07-11d1-f79f-00c04fc2dcd2)DS-Replication-Get-Changes-All(GUID:1131f6ad-9c07-11d1-f79f-00c04fc2dcd2)DS-Replication-Get-Changes-In-Filtered-Set(GUID:89e95b76-444d-4c62-991a-0facbeda0a23)
Fehlt die Kontextualisierung bezüglich der anfragenden Workstation und des Kontentyps, bleibt der Diebstahl vertraulicher Hashes oft unbemerkt.
Erweiterte Erkennung: KQL-Query für Defender for Identity
Mithilfe von Defender for Identity werden RPC-Netzwerkströme direkt auf Domänenebene erfasst. Die folgende Advanced Hunting (KQL)-Abfrage identifiziert nicht-autorisierte Replikationsanfragen sofort:
IdentityDirectoryEvents
| where ActionType in ("Directory Services replication", "Replication requested")
| extend ParsedFields = parse_json(AdditionalFields)
| extend NamingContext = tostring(ParsedFields.NamingContext),
AttributesRequested = tostring(ParsedFields.AttributesRequested)
| where AttributesRequested has_any (
"1131f6aa-9c07-11d1-f79f-00c04fc2dcd2", // DS-Replication-Get-Changes
"1131f6ad-9c07-11d1-f79f-00c04fc2dcd2", // DS-Replication-Get-Changes-All
"89e95b76-444d-4c62-991a-0facbeda0a23" // DS-Replication-Get-Changes-In-Filtered-Set
)
| where not(AccountName endswith "$" and DestinationDeviceName has AccountName)
| where not(AccountName startswith "MSOL_" or AccountName startswith "Sync_")
| project Timestamp, ActionType, AccountName, AccountDomain, IPAddress,
DestinationDeviceName, NamingContext, ReportId
| sort by Timestamp descAutomatisierte SOAR-Orchestrierung mit Akuity SOC
Wird ein DCSync-Angriff registriert, bleibt dem SOC-Team ein Reaktionsfenster von wenigen Minuten, bevor daraus persistente Golden Tickets geschmiedet werden:
- Sofortige Qualifizierung: Der integrierte KI-Assistent von Akuity SOC bewertet RPC-Pakete und Replikations-GUIDs in unter 2 Sekunden – ohne Datenabfluss an externe Web-Decoder.
- 1-Klick-SOAR-Gegenmaßnahme: Sofortige Isolation des kompromittierten Endgeräts via
isolateDevice()in Defender for Endpoint sowie Benutzerentwertung überconfirmUserCompromised()undrevokeSessions()in Microsoft Entra ID. - Zero-Trust-Governance: Jeder sicherheitskritische Eingriff verlangt eine vorherige MFA-AAL2-Authentifizierung und wird revisionssicher nach NIS 2 und SOC 2 Type II im Audit-Log dokumentiert.
Nutzen Sie automatisierte SOAR-Playbooks zur Erkennung von DCSync und isolieren Sie kompromittierte Konten in Sekundenschnelle.
Starten Sie Ihren 14-tägigen kostenlosen Test (ohne Kreditkarte) →Technische Mini-FAQ
Welche Konten verfügen standardmäßig über die Berechtigung für DCSync?
Standardmäßig besitzen nur Mitglieder der Gruppen Domänen-Admins, Organisations-Admins, Administratoren sowie Domain-Controller-Konten diese Replikationsrechte. Allerdings können fehlerhafte Delegierungen oder unsichere Dienstkonten diese Berechtigungen unbeabsichtigt erben.
Wie verhindert Microsoft Entra Connect Fehlalarme bei legitimer Replikation?
Das von Microsoft Entra Connect genutzte Dienstkonto (häufig beginnend mit MSOL_ oder Sync_) benötigt diese Replikationsrechte legitimerweise. Durch KQL-Filterung werden diese bekannten Konten sowie legitime Maschinenkonten ($) präzise ausgeschlossen.