Сетевой взгляд на атаки курса — что добавляет Fortinet

В курсе вы строили детектирование на хостах и контроллерах домена: Event ID, Sigma, Microsoft Defender for Identity. Это правильный фундамент, но у него два ограничения: хост можно отключить, журналы очистить. Сетевой слой видит иначе — пакеты не зависят от того, чист ли журнал на DC.

Связанные темы курса

• Event IDs и Sigma — детектирование на DC; сетевой слой страхует, когда журнал очищен.
• Kerberoasting, DCSync и Golden Ticket — у каждой свои сетевые следы (много обращений, репликация с нетипичного хоста, странное время).
• Defender for Identity дополняет FortiAnalyzer: идентичность против трафика — два независимых источника.

Что добавляет сетевой слой

• Kerberoasting / AS-REP Roasting: с точки зрения сети это аномальный профиль — много TGS-запросов (порт 88) с одной станции к разным службам за короткое время. FortiGate/FortiAnalyzer увидят всплеск и помогут с корреляцией, но точную детекцию (RC4-аномалия) дают 4769 + Sigma/MDI. Сеть даёт контекст, хост — точность.
• NTLM Relay и coercion (PetitPotam, PrinterBug): здесь сеть — первый рубеж, relay живёт на SMB/RPC между станциями. Сегментация FortiGate ограничивает, с кем станция вообще может говорить по SMB; FortiEDR видит попытки дампа LSASS на хосте.
• Credential dumping (mimikatz): FortiEDR — поведенческий контроль: доступ к LSASS из неподписанного процесса, инъекции, создание токенов. Дополняет Credential Guard, а не заменяет.
• Восточно-западное перемещение: самая сильная сторона сети. FortiGate знает кто (FSSO-группа) и где (VLAN/сегмент) и режет lateral movement политиками «Tier 2 не говорит с Tier 0/1 по SMB/RDP/WinRM» — Tiering, реализованный на файрволе.
• Управление конечными станциями: FortiClient разворачивается через EMS, синхронизированный с AD (группы AD → политики FortiClient): у кого EDR, у кого VPN — по членству в группах.

Практика в лаборатории

Сегментация «по тирам» с FSSO-группами. Создайте интерфейсы/VLAN: Workstations, Servers-T1, Infra-T0 и запретите SMB/RDP/WinRM со станций на серверы и инфраструктуру:

config firewall policy
    edit 30
        set srcintf "Workstations"
        set dstintf "Servers-T1" "Infra-T0"
        set srcaddr "all"
        set dstaddr "all"
        set action deny
        set service "SMB" "RDP" "WINRM"
        set schedule "always"
    next
end

Отдельные правила разрешают нужные порты только с конкретных админских сегментов. Развёртывание FortiClient через EMS: Administration → Connectors → Active Directory, политика для группы CN=Workstations, установка MSI через GPO:

msiexec /i FortiClient.msi /quiet

Если в лаборатории есть FortiAnalyzer — собирайте трафик-логи FortiGate вместе с журналами FAC и стройте отчёт «всплески Kerberos (88/TCP-UDP) по станциям». Рядом с отчётом 4769 из SIEM это даёт полную картину.

Риски и детектирование

• Сеть не видит в зашифрованном: Kerberos шифрован, FortiGate не заменит анализ 4769. Не обещайте «волшебную коробку» — обещайте слои.
• FSSO в политиках = зависимость от AD: при компрометации карта групп врёт. Чувствительные сегменты дополнительно ограничивайте по IP.
• FortiEDR — не Credential Guard: EDR реагирует на поведение, Credential Guard архитектурно отсекает чтение хешей. Оба вместе — правильно.

Митигация

• Политика по умолчанию между сегментами — deny; разрешения точечные.
• Логи FortiGate/FAC/EMS — в одно место (FortiAnalyzer/SIEM) с правилами корреляции по Event ID курса.
• Регулярно тестировать политики: «может ли станция бухгалтера достучаться до DC по SMB?» — ответ должен быть deny.