Predictive shielding в Microsoft Defender против AD-атак

Введение

Атаки на основе идентификационных данных могут развиться от одного скомпрометированного сервера до полного контроля над доменом Active Directory за считаные часы. Новое исследование Microsoft в области безопасности показывает, как predictive shielding в Microsoft Defender может прервать этот путь, проактивно ограничивая доступ к скомпрометированным привилегированным учетным записям до того, как злоумышленники начнут использовать украденные учетные данные.

Для команд безопасности это важно, потому что традиционное реагирование часто начинается только после обнаружения вредоносного использования учетной записи. Predictive shielding меняет эту модель, реагируя на вероятную компрометацию учетных данных почти в реальном времени.

Что нового

Microsoft выделила реальную цепочку атаки на государственный сектор в 2025 году и объяснила, как predictive shielding, теперь входящий в состав automatic attack disruption в Microsoft Defender, меняет результат.

Ключевые возможности включают:

• Обнаружение действий после компрометации, связанных с кражей учетных данных на устройстве
• Оценку того, какие высокопривилегированные идентичности, вероятно, были скомпрометированы
• Применение ограничений just-in-time для снижения риска злоупотребления учетными данными и латерального перемещения
• Снижение доступа злоумышленников к критически важным операциям с идентификацией, пока специалисты расследуют инцидент

Исследование показало, как злоумышленники переходили от IIS web shell к повышению локальных привилегий, извлечению учетных данных с помощью Mimikatz, а затем к злоупотреблению доступом к контроллеру домена, делегированием Exchange и инструментами Impacket.

Как помогает predictive shielding

В описанном Microsoft инциденте злоумышленники быстро перешли от первоначального доступа к операциям на уровне домена, включая:

• Извлечение данных LSASS, SAM и других материалов учетных данных
• Создание запланированных задач на контроллере домена
• Доступ к данным NTDS для автономного злоупотребления учетными данными
• Размещение web shell на Exchange Server
• Перечисление и злоупотребление разрешениями делегирования почтовых ящиков
• Использование таких инструментов, как Impacket, PsExec и secretsdump, для латерального перемещения

По словам Microsoft, predictive shielding может прервать этот сценарий раньше, ограничивая учетные записи в момент вероятной компрометации, а не ожидая подтвержденного вредоносного использования. Такой подход призван закрыть «разрыв по скорости» между кражей учетных данных и реакцией защитников.

Влияние на IT-администраторов

Для защитников, управляющих гибридной идентификацией и локальной Active Directory, это особенно важно. Компрометацию домена трудно сдерживать, поскольку администраторы не могут просто отключить контроллеры домена или основные службы идентификации без ущерба для бизнеса.

Predictive shielding дает SOC и командам по идентификации дополнительный уровень автоматизированного сдерживания за счет:

• Защиты высокопривилегированных учетных записей во время событий кражи учетных данных
• Замедления латерального перемещения злоумышленников между серверами и инфраструктурой идентификации
• Выигрыша времени для реагирования и таких задач по устранению последствий, как сброс паролей, проверка ACL и ротация krbtgt

Эта функция доступна как встроенное улучшение для клиентов Microsoft Defender for Endpoint P2, которые соответствуют требованиям Defender.

Следующие шаги

Администраторам безопасности следует:

• Проверить настройки automatic attack disruption в Microsoft Defender
• Подтвердить соответствие требованиям и предварительные условия для predictive shielding
• Усилить защиту путей доступа через IIS, Exchange и контроллеры домена
• Провести аудит привилегированных идентичностей и делегированных разрешений
• Проверить сценарии реагирования на инциденты для случаев компрометации домена

Главный вывод очевиден: проактивное сдерживание на уровне идентификации становится необходимым для защиты сред Active Directory от современных методов латерального перемещения.