Certiception：ADCS蜜罐技术的新星

Certiception：ADCS蜜罐技术的新星

Certiception An ADCS honeypot to catch attackers in your internal network. 项目地址: https://gitcode.com/gh_mirrors/ce/Certiception

在网络安全领域，防御技术不断演进以应对日益复杂的威胁。今天，我要向大家推荐一个开源项目——Certiception，它为Active Directory Certificate Services (ADCS)提供了一个高效的蜜罐解决方案。

项目介绍

Certiception是一个针对ADCS的蜜罐，由知名的安全研究团队SRLabs的Red Team开发。该项目通过在ADCS环境中创建一个看似脆弱的证书模板，吸引攻击者尝试利用，从而触发高度相关的警报。Certiception的设计理念是：对外看起来脆弱，但实际上利用会失败。

项目技术分析

Certiception的工作机制是通过设置一个新CA，并在这个CA上添加一个“脆弱”的ESC1模板。它使用Ansible playbook调用多个角色来完成以下步骤：

• 设置一个新的CA，并仅在该CA上启用一个“脆弱”的ESC1模板。
• 安装和配置TameMyCerts策略模块，防止证书签名请求中包含SAN时发放证书。
• 启用扩展审计日志，以便事件日志中包含模板名称。
• 输出一个SIGMA规则，以便在SIEM中设置警报。
• 使用Certify进行连续检查，以捕获任何其他CA启用脆弱模板的行为。

Certiception的架构和流程如图所示：

项目技术应用场景

在网络安全中，横向移动和权限提升通常很难被检测到。Certiception作为一个内部蜜罐，是一种有效的防御手段，可以捕获穿过初始防御的威胁。ADCS作为一个理想的蜜罐位置，具有以下几个特点：

1. 易于访问：所有域用户都可以访问ADCS，攻击者容易发现。
2. 高风险：ADCS的漏洞可能导致整个域的妥协，因此具有很高的攻击价值。
3. 普遍认知：漏洞和利用工具广为人知。
4. 逼真性：脆弱的ADCS模板很常见，不会引起太多怀疑。
5. 监控不足：许多网络对ADCS的监控不够，即使谨慎的攻击者也敢于尝试利用。

这些原因促使SRLabs开发了Certiception。

项目特点

Certiception具有以下显著特点：

• 低成本和低投入：利用现有工具如SIEM即可搭建。
• 高相关性的警报：触发的蜜罐意味着存在显著威胁，因此警报值得调查。
• 低噪音：设计用于仅对恶意活动做出响应，内部蜜罐具有很低的误报率。

Certiception通过提供一个看似脆弱但实际上无法被利用的ADCS环境，帮助安全团队提高威胁检测能力。此外，它还提供了一个详细的欺骗策略指南，帮助防御者创建更有效的蜜罐。

在未来，Certiception计划支持更多类型的ESC漏洞，并将蜜罐模板添加到现有的CA中。

结语

Certiception是一个强大的开源蜜罐项目，为网络安全领域提供了一个新的防御视角。通过结合易用性、高相关警报和低误报率，它为安全团队提供了一个有力的工具来检测潜在的威胁。如果你正在寻找一种新的方式来增强你的网络安全防御，Certiception绝对值得一试。

Certiception An ADCS honeypot to catch attackers in your internal network. 项目地址: https://gitcode.com/gh_mirrors/ce/Certiception