دليل BloodHound / SharpHound الشامل

يُعد BloodHound الأداة الأبرز لتحليل مسارات الهجوم في Active Directory (AD) باستخدام نظرية الرسوم البيانية (Graph Theory). وتعمل أداة SharpHound كمجمع للبيانات (Data Collector). معًا، يقومان بالكشف عن المسارات الخفية التي تمكن مستخدمًا ذا صلاحيات محدودة من الوصول إلى صلاحيات مسؤول النطاق (Domain Admin)، مما يحول عملية تصعيد الصلاحيات في AD إلى مسألة تتبع لمسارات الرسم البياني.

البنية الهيكلية (Architecture)

[ أداة SharpHound على جهاز Win منضم للنطاق ]
        │ تقوم بجمع بيانات النطاق
        ▼
[ ملفات بصيغة ZIP / JSON ]
        │ يتم رفعها لواجهة BloodHound
        ▼
[ قاعدة بيانات Neo4j ]
        │ استعلامات Cypher / تحليلات جاهزة مسبقًا
        ▼
[ "أقصر مسار من مستخدم عادي إلى DA" ]

يوجد إصداران من المنتج:

• BloodHound CE — نسخة المجتمع مفتوحة المصدر (الإصدار الحالي والموصى به).
• BloodHound Legacy — الواجهة القديمة المستقلة (لا تزال تعمل ولكن التطوير توقف عليها).

SharpHound — أداة جمع البيانات

التثبيت (Install)

يمكن استخدام ملف SharpHound.exe (C#) أو مجمع البيانات بلغة Python:

المعاملات الرئيسية (SharpHound.exe)

قيم CollectionMethods المتاحة:

bloodhound-python (للاستخدام من جانب المهاجم على Linux)

مسارات العمل (Workflows)

الجمع القياسي (مستخدم عادي على جهاز منضم للنطاق)

الجمع الهادئ (DC-only)

من جهاز Linux خارجي

تحليل خدمات الشهادات (ESC1-15)

العمل على واجهة BloodHound

1. تشغيل Neo4j و BloodHound CE (يُنصح باستخدام Docker):

2. ارفع ملف الـ ZIP الناتج من SharpHound عبر الواجهة.

3. استخدم عرض Pathfinding: المصدر = المستخدم المخترق، الوجهة = Domain Admins.

4. تشغيل التحليلات الجاهزة (Pre-canned Analytics):

   • "Find all Domain Admins"
   • "Find Shortest Paths to Domain Admins"
   • "Find AS-REP Roastable Users"
   • "Find Kerberoastable Users"
   • "Find AD CS misconfigurations"

5. استعلامات Cypher المخصصة عند الحاجة:

// البحث عن المستخدمين القادرين على تنفيذ DCSync
MATCH (n)-[:GenericAll|GetChanges|GetChangesAll|AllExtendedRights]->(d:Domain {name:'CORP.LOCAL'})
RETURN n.name

// الأجهزة التي تملك فيها مجموعة 'Domain Users' صلاحيات مسؤول محلي
MATCH (g:Group {name:'DOMAIN USERS@CORP.LOCAL'})-[:AdminTo]->(c:Computer)
RETURN c.name

تحليل النتائج

مثال لمسار ناتج:

ALICE@CORP.LOCAL
   ↓ عضو في (MemberOf)
HELP_DESK@CORP.LOCAL
   ↓ مسؤول عن (AdminTo)
HELPDESK-PC1.CORP.LOCAL
   ↓ يملك جلسة على (HasSession)
DOMAIN_ADMIN1@CORP.LOCAL

خمس خطوات للوصول لـ DA. كل سهم (Edge) يمثل تقنية هجوم موثقة (انقر يمينًا ← "Help") لعرض الأوامر اللازمة للتنفيذ.

المشاكل الشائعة والحلول

منظور المدافعين (Defender's Perspective)

أداة SharpHound "صاخبة" جدًا إذا لم يتم ضبطها:

• تولد كمًا هائلاً من استعلامات LDAP لموزع النطاق (DC).
• عند استخدام LocalGroup / Session: يتم الاتصال بكل جهاز عبر بروتوكول SAMR (منفذ 445)، مما يولد العديد من جلسات SMB وأحداث EventID 4624/4634.

أفكار للاكتشاف:

• مراقبة حجم استعلامات LDAP (توفرها Microsoft Defender for Identity تلقائيًا).
• رصد ملف SharpHound.exe عبر Sysmon EID 1.
• رصد انفجار في أحداث EID 4661 (الوصول لكائنات AD) من مستخدم واحد في وقت قصير.
• زراعة كائنات وهمية (Honey-objects): مثل مجموعة "Domain Admins" وهمية ومراقبة من يحاول استعلام أعضائها.

أمن العمليات (OPSEC)

• استخدم bloodhound-python من جهازك الخاص؛ كل ما تحتاجه هو اعتمادات مستخدم في النطاق والوصول للـ DC.
• استخدم --Throttle 2000 --Jitter 50 لتبدو الاستعلامات كأنها حركة LDAP طبيعية.
• تجنب طرق LocalGroup/Session في البداية؛ ابدأ بـ DCOnly ثم تصاعد عند الضرورة.
• لا ترفع ملفات SharpHound أبدًا إلى نسخ BloodHound سحابية مشتركة؛ لأن ذلك يكشف كامل بنية الـ AD الخاصة بالعميل.

أدوات ذات صلة