{{Microsoft Defender predictive shielding zaustavlja AD napade}}

Uvod

Napadi zasnovani na identitetu mogu eskalirati sa jednog kompromitovanog servera do pune kontrole nad Active Directory domenom za svega nekoliko sati. Najnovije Microsoft bezbednosno istraživanje pokazuje kako predictive shielding u Microsoft Defender može da prekine taj put proaktivnim ograničavanjem izloženih privilegovanih naloga pre nego što napadači operacionalizuju ukradene akreditive.

Za bezbednosne timove ovo je važno jer tradicionalni odgovor često počinje tek nakon što se uoči zlonamerna upotreba naloga. Predictive shielding menja taj model tako što reaguje na verovatnu izloženost akreditiva gotovo u realnom vremenu.

Šta je novo

Microsoft je istakao stvarni lanac napada iz javnog sektora iz 2025. godine i objasnio kako predictive shielding, sada deo funkcije automatic attack disruption u Microsoft Defender, menja ishod.

Ključne mogućnosti uključuju:

• Otkrivanje aktivnosti nakon kompromitacije povezane sa krađom akreditiva na uređaju
• Procenu koji su identiteti sa visokim privilegijama verovatno bili izloženi
• Primenu just-in-time ograničenja radi smanjenja zloupotrebe akreditiva i lateralnog kretanja
• Smanjenje pristupa napadača osetljivim identity operacijama dok timovi istražuju incident

Istraživanje je pokazalo kako su se napadači kretali od IIS web shell-a do lokalne eskalacije privilegija, izvlačenja akreditiva pomoću Mimikatz-a, a zatim i zloupotrebe pristupa domain controller-u, Exchange delegacije i Impacket alata.

Kako predictive shielding pomaže

U incidentu koji je Microsoft opisao, napadači su brzo napredovali od početnog pristupa do operacija na nivou domena, uključujući:

• Izvlačenje LSASS, SAM i drugog materijala sa akreditivima
• Kreiranje scheduled task-ova na domain controller-u
• Pristup NTDS podacima radi offline zloupotrebe akreditiva
• Postavljanje web shell-a na Exchange Server
• Enumeraciju i zloupotrebu mailbox delegation dozvola
• Korišćenje alata kao što su Impacket, PsExec i secretsdump za lateralno kretanje

Microsoft navodi da predictive shielding može ranije da prekine ovaj obrazac ograničavanjem naloga u trenutku kada su verovatno izloženi, umesto čekanja na potvrđenu zlonamernu upotrebu. Taj pristup je osmišljen da zatvori „jaz u brzini“ između krađe akreditiva i odgovora odbrambenog tima.

Uticaj na IT administratore

Za zaštitnike koji upravljaju hibridnim identitetom i lokalnim Active Directory okruženjima, ovo je značajno. Kompromitaciju domena je teško obuzdati jer administratori ne mogu jednostavno da isključe domain controller-e ili ključne identity servise bez ometanja poslovanja.

Predictive shielding daje SOC i identity timovima još jedan sloj automatizovanog obuzdavanja tako što:

• Štiti naloge sa visokim privilegijama tokom događaja krađe akreditiva
• Usporava lateralno kretanje napadača kroz servere i identity infrastrukturu
• Kupuje vreme timovima za odgovor za zadatke sanacije kao što su resetovanje lozinki, validacija ACL-ova i rotacija krbtgt naloga

Funkcija je dostupna kao unapred pripremljeno poboljšanje za korisnike Microsoft Defender for Endpoint P2 koji ispunjavaju Defender preduslove.

Sledeći koraci

Administratori bezbednosti treba da:

• Pregledaju podešavanja Microsoft Defender automatic attack disruption funkcije
• Potvrde podobnost i preduslove za predictive shielding
• Ojačaju IIS, Exchange i puteve izloženosti domain controller-a
• Provere privilegovane identitete i delegirane dozvole
• Validiraju playbook-ove za odgovor na incidente za scenarije kompromitacije domena

Ključna poruka je jasna: proaktivno obuzdavanje identiteta postaje neophodno za zaštitu Active Directory okruženja od modernih tehnika lateralnog kretanja.