DCSync par un compte de service de migration oublié

Cette nuit, la console XDR a levé un incident de gravité élevée : un poste de travail a demandé une réplication de l'annuaire à un contrôleur de domaine, ce que seul un autre contrôleur de domaine devrait faire. Le capteur réseau voit d'où venait la demande, pas quel compte l'a faite. Retrouvez le compte dans le journal Sécurité des contrôleurs de domaine, fermez son chemin de réplication, isolez le poste et réinitialisez krbtgt de la bonne façon. L'incident de faible gravité sur le connecteur de synchronisation d'annuaire est dans la même file : lisez-le avant de toucher à quoi que ce soit qui réplique.

Durée estimée

40 min

Difficulté

Professional · 4/5

Objectifs

4