Modifica Policy di Dominio: Domain or Tenant Policy Modification (T1484)

Sul fronte offensivo, la simulazione di T1484 richiede un laboratorio Active Directory isolato con almeno un Domain Controller, workstation membro e utenti privilegiati. L'obiettivo è dimostrare come una compromissione parziale possa scalare a controllo totale del dominio attraverso la manipolazione delle policy.

Il primo passo tipico è la ricognizione dei diritti sui GPO. BloodHound (open source) rimane lo strumento di riferimento: dopo la raccolta con SharpHound, la query Cypher MATCH p=(u:User)-[r:GenericAll|GenericWrite|WriteDacl|WriteOwner]->(g:GPO) RETURN p evidenzia utenti con permessi di scrittura su GPO. Un altro percorso interessante è cercare account che possono modificare oggetti trust o l'attributo msDS-AllowedToActOnBehalfOfOtherIdentity.

Per l'abuso vero e proprio dei GPO, SharpGPOAbuse (open source) è la scelta standard. Permette di aggiungere task pianificati, script di startup o diritti utente a un GPO esistente su cui abbiamo permessi di scrittura. La sintassi tipica è SharpGPOAbuse.exe --AddComputerTask --TaskName "Update" --Author NT AUTHORITY\SYSTEM --Command "cmd.exe" --Arguments "/c calc.exe" --GPOName "Default Domain Policy". Il payload viene distribuito a tutti gli host su cui il GPO è collegato al successivo gpupdate.

Per scenari di manipolazione dei trust, Mimikatz (open source) con il modulo lsadump::trust /patch permette di estrarre le chiavi di trust interdominio, utili per forgiare Golden Ticket inter-realm con kerberos::golden. La creazione di un trust malevolo verso un dominio controllato dall'attaccante consente poi di autenticarsi con SID history arbitrario.

In ambiente cloud, la simulazione su tenant Microsoft Entra ID richiede il modulo MSOnline o Microsoft.Graph (open source). Con privilegi di Global Administrator o Hybrid Identity Administrator, il cmdlet Set-MsolDomainAuthentication converte un dominio da Managed a Federated, puntando a un IdP controllato dall'attaccante. Questa è la base della tecnica nota come AADInternals attack documentata da Dr. Nestori Syynimaa.

Il toolkit AADInternals (open source) automatizza gran parte di questi scenari nel cloud Microsoft, includendo comandi come ConvertTo-AADIntBackdoor per creare un dominio federato malevolo. Per esercitazioni red team, è essenziale documentare ogni modifica e ripristinare lo stato originale al termine del test, considerando che le modifiche ai trust vengono replicate globalmente e possono impattare produzione.

Per scenari post-exploitation su ambienti misti, il framework Impacket (open source) con lo script dacledit.py consente la modifica granulare delle ACL su oggetti AD via LDAP.

La detection di T1484 richiede la sorveglianza continua di due domini distinti: l'infrastruttura Active Directory on-premises e i tenant di identità cloud. L'analytic AN0755 copre il primo, AN0756 il secondo.

Sull'Active Directory, la fonte primaria è il Windows Security Event Log dei Domain Controller. Gli eventi chiave da monitorare sono EventCode 5136 (modifica attributo directory service), 5137 (creazione oggetto DS), 5141 (eliminazione oggetto DS) e 4739 (modifica policy di dominio). Per attivarli è necessario abilitare la Advanced Audit Policy Audit Directory Service Changes su tutti i DC. Un alert prioritario deve scattare quando l'attributo gPCFileSysPath o nTSecurityDescriptor di un oggetto in CN=Policies,CN=System,DC=dominio,DC=com viene modificato da un account non appartenente al team di identity management.

Per i trust, l'evento 4706 (creazione trust) e 4716 (modifica policy di trust) devono generare ticket immediati verso il SOC L2, considerando la rarità legittima di queste operazioni. Sysmon (open source, dalla Sysinternals suite) su DC può integrare con EventID 1 i pattern di lancio di ntdsutil.exe, dsacls.exe o script PowerShell che invocano moduli GroupPolicy inusuali.

Il tuning consigliato dalla detection MITRE suggerisce quattro dimensioni di filtro. Filtrare per ObjectDN riduce il rumore concentrando l'attenzione sui container critici. Focalizzarsi sugli AttributeModified ad alto rischio evita di alertare su cambi cosmetici. La correlazione in TimeWindow con logon privilegiati sospetti o process creation anomale aumenta la confidence. Infine, la baseline sul UserContext — chi normalmente tocca i GPO — permette di isolare identità inusuali.

Per il piano cloud, i log fondamentali sono Microsoft 365 Unified Audit Log e Azure AD Sign-in Logs. Le operazioni da attenzionare includono Set federation settings on domain, Add unverified domain, Set domain authentication e Add service principal. Un pattern classico di attacco vede un service principal poco usato che invoca la Graph API per aggiungere un provider di identità federato: la correlazione tra OperationName raro, InitiatedBy sconosciuto e UserAgent scriptato (PowerShell, python-requests) è un segnale forte.

Sul fronte preventivo, le mitigazioni MITRE M1018, M1026 e M1047 convergono su tre pilastri: least privilege sui gruppi Domain Admins ed Enterprise Admins, MFA obbligatorio via Conditional Access per ogni operazione di scrittura sul tenant, e audit periodico dei permessi delegati sui GPO con BloodHound o PingCastle (freemium).

I falsi positivi principali derivano da attività legittime del team AD durante finestre di change management: la soluzione è integrare il feed CMDB/ITSM per sopprimere alert correlati a ticket approvati.

L'analisi forense di un incidente T1484 parte dai Domain Controller e si estende, quando pertinente, ai log cloud del tenant. La priorità è ricostruire cosa è stato modificato, da chi, quando e con quale strumento, tenendo conto che l'attaccante può aver ripristinato lo stato originale per cancellare le tracce.

Sul Domain Controller, gli artefatti primari sono i Security Event Log salvati in %SystemRoot%\System32\Winevt\Logs\Security.evtx. Gli eventi 5136, 5137, 5141 contengono il DN dell'oggetto modificato, l'attributo interessato, il valore precedente e il nuovo valore, oltre al SID del soggetto. Per i GPO, la struttura fisica risiede in SYSVOL sotto \dominio\SYSVOL\dominio\Policies{GUID}: confrontare i timestamp NTFS dei file GPT.INI, Registry.pol e delle sottocartelle Machine\Preferences\ScheduledTasks con il baseline permette di identificare modifiche anomale.

La timeline forense deve incrociare tre fonti. Il database NTDS.dit, estraibile con ntdsutil o offline con libesedb (open source), contiene lo stato corrente di oggetti e attributi ma non la storia. I backup di System State o gli snapshot AD (creati con ntdsutil snapshot) permettono confronti punto-nel-tempo per rilevare modifiche transitorie ai trust o alle ACL. I log di replica (repadmin /showobjmeta) rivelano quando un attributo è stato scritto per l'ultima volta e su quale DC, informazione cruciale per identificare il DC compromesso.

Gli artefatti di esecuzione sull'endpoint da cui è partita l'operazione includono i PowerShell Operational Logs in Microsoft-Windows-PowerShell/Operational (EventID 4104 per script block logging), le tracce di PSReadLine in %AppData%\Microsoft\Windows\PowerShell\PSReadLine\ConsoleHost_history.txt e i Prefetch in C:\Windows\Prefetch per POWERSHELL.EXE-, NTDSUTIL.EXE- o GPMC.MSC. ShimCache e Amcache.hve (parsabili con RegRipper o AmcacheParser di Eric Zimmerman, entrambi open source) documentano l'esecuzione di binari come SharpGPOAbuse.exe.

Per il piano cloud, l'Unified Audit Log di Microsoft 365 conserva le operazioni fino a 90 giorni (o 1 anno con licenze E5). Le query Search-UnifiedAuditLog cercano operazioni come Set-AcceptedDomain, Set-MsolDomainFederationSettings o Add federated domain. Ogni evento include l'IP sorgente, lo user agent, l'application ID che ha effettuato la chiamata e il timestamp UTC.

Un elemento distintivo di questa tecnica è la reversibilità: l'attaccante può aver aggiunto un provider di identità federato, forgiato token per giorni, e poi rimosso il provider. La correlazione tra le finestre temporali di modifica policy e picchi anomali di autenticazione (non-interactive sign-ins, token issued to service principals) è spesso l'unico modo per ricostruire il perimetro dell'incidente.

Gli hash di file estratti da SYSVOL vanno confrontati con backup precedenti mediante Get-FileHash per identificare quali GPT sono stati alterati.

I dati MITRE ATT&CK forniti per T1484 non associano gruppi APT specifici, software o campagne documentate a questa tecnica. Questa assenza di attribuzione formale nel dataset non deve essere interpretata come rarità dell'abuso, ma piuttosto come conseguenza del fatto che la manipolazione di policy di dominio è tipicamente osservata come componente di catene di attacco più ampie, dove viene classificata sotto tecniche più specifiche o rimane oscurata dal rumore delle operazioni amministrative legittime.

Dal punto di vista di threat intelligence strategica, la superficie di attacco descritta da questa tecnica ha valore trasversale per tre categorie di attori. I gruppi state-sponsored orientati allo spionaggio traggono beneficio dalla persistenza silenziosa garantita da un trust federato malevolo o da un Rogue Domain Controller, che consente accesso a lungo termine senza richiedere backdoor su endpoint. I gruppi di ransomware operator e i loro affiliati sfruttano l'abuso di GPO come vettore di distribuzione di massa: una singola modifica alla Default Domain Policy può forzare l'esecuzione di un binario di cifratura su ogni host membro entro il ciclo di refresh delle policy (90 minuti di default). Gli initial access broker che rivendono accessi enterprise valorizzano particolarmente i tenant cloud dove hanno stabilito federazioni backdoor, perché offrono resilienza ai reset di password.

Il pattern tecnico più preoccupante nel dominio cloud è la creazione di backdoor federate su tenant Microsoft Entra ID. Ricerche pubbliche di Dr. Nestori Syynimaa e le sue evoluzioni del toolkit AADInternals hanno dimostrato dal 2019 in avanti come un attaccante con ruolo Global Administrator, ottenuto anche temporaneamente, possa impiantare una federazione permanente convertendo un dominio verificato a Federated con un IdP controllato. Il risultato è la capacità di forgiare token SAML per qualsiasi utente del tenant, bypassando MFA e Conditional Access.

Sul fronte on-premises, l'abuso dei GPO è stato documentato come tecnica preferita in numerose intrusioni ransomware pubblicamente analizzate, dove operatori umani (human-operated ransomware) manipolano policy per disabilitare Windows Defender, distribuire binari di cifratura e cancellare Volume Shadow Copies simultaneamente su migliaia di endpoint.

La traiettoria futura vede una convergenza tra abuso on-premises e cloud negli ambienti ibridi: la compromissione di un server Azure AD Connect o AD FS offre pivot verso il tenant cloud tramite estrazione della chiave DKM o del certificato di token signing. Le organizzazioni con architetture ibride devono considerare questi componenti come Tier 0, allo stesso livello dei Domain Controller. Le mitigazioni M1018, M1026 e M1047 sono efficaci solo se applicate con lo stesso rigore su entrambi i piani.

MITRE ATT&CK: tecnica T1484 (Domain or Tenant Policy Modification), tattiche TA0004 e TA0005, mitigazioni M1018, M1026, M1047, detection DET0270 con analytic AN0755 e AN0756. MITRE D3FEND per mapping difensivo. Parti dei contenuti operativi (comandi BloodHound, SharpGPOAbuse, AADInternals, Impacket, artefatti forensi SYSVOL/NTDS.dit, parser Eric Zimmerman) derivano da conoscenza professionale consolidata in cybersecurity, basata su tool open source con repository pubblici e documentazione ufficiale verificabile.