Belajar Active Directory - Active Directory Security Monitoring

#Pendahuluan

Di episode 22 kalian belajar memperbaiki masalah yang sudah terjadi. Di episode 23 ini kita mengubah arah: dari reaktif menjadi proaktif. Active Directory adalah target utama penyerang — hampir semua serangan enterprise-grade bermuara pada AD, baik lewat Kerberoasting, golden ticket, maupun pass-the-hash. Jika kalian baru menyadari serangan setelah data bocor, itu sudah terlambat.

Monitoring adalah tentang satu pertanyaan sederhana: apakah ada yang berbeda dari biasanya? Menjawabnya butuh tiga hal: log yang kaya (audit policy), log yang terpusat (forwarding), dan alat yang bisa menautkan peristiwa (SIEM).

#Advanced Audit Policy

Sebagian besar log keamanan tidak muncul secara default. Kalian harus mengaktifkan advanced audit policy lewat GPO: Computer Configuration > Policies > Windows Settings > Security Settings > Advanced Audit Policy Configuration. Subkategori yang wajib diaktifkan untuk DC:

• Account Logon dan Logon/Logoff — untuk event 4624, 4625.
• Account Management — untuk event 4720, 4724, 4740.
• Kerberos Service Ticket Operations — untuk event 4769.
• Detailed File Share dan Directory Service Access — untuk event 5140 dan 4662.

Aktifkan sekaligus di banyak DC memakai auditpol:

auditpol /set /subcategory:"Kerberos Service Ticket Operations" /success:enable /failure:enable
auditpol /set /subcategory:"Directory Service Access" /success:enable /failure:enable
auditpol /set /subcategory:"Account Lockout" /success:enable /failure:enable

Event ID yang wajib dikenal di DC:

#Windows Event Forwarding (WEF)

Log audit yang hanya ada di DC tidak berguna jika kalian harus login satu per satu untuk membacanya. Windows Event Forwarding mengalirkan log dari banyak DC dan server ke satu collector. Seperti CCTV yang dipusatkan ke satu ruang kendali: tanpa itu, kalian harus menonton tiap monitor sendiri.

Susun subscription berbasis source-initiated: mesin sumber (forwarder) mengirim log ke collector. Aktifkan layanan collector:

wecutil qc
winrm quickconfig

Di collector, buat subscription lewat Event Viewer > Subscriptions, pilih Forwarded Events, dan tentukan event yang dikirim — mulai dari subset kecil seperti Security 4624, 4625, 4720, 4740, 4769, lalu perluas.

#Sysmon

Audit policy default masih terbatas: tidak ada detail proses atau koneksi jaringan. Sysmon (dari Microsoft Sysinternals) menambahkan telemetri dalam, seperti:

• Pembuatan proses lengkap dengan command line dan hash.
• Koneksi jaringan keluar masuk per proses.
• Pemuatan driver dan image.
• Akses ke file tertentu (misalnya lsass.exe).

Instal dengan file konfigurasi yang sudah divalidasi:

Sysmon64.exe -accepteula -i sysmon-config.xml

#Integrasi SIEM

Log terpusat tanpa analisis hanyalah arsip. SIEM menghubungkan peristiwa dari banyak sumber dan memicu alert saat pola mencurigakan muncul:

• Microsoft Sentinel — SIEM cloud-native di Azure; analytic rules siap pakai untuk AD, watchlist akun penting, dan konektor ke Defender for Identity.
• Wazuh — SIEM open source dengan aturan deteksi aktif dan visualisasi bawaan.
• Grafana + Loki — kombinasi open source untuk visualisasi dan query log yang fleksibel.

Aturan SIEM yang umum untuk AD: lebih dari lima logon gagal pada satu akun dalam satu jam, akun admin logon dari alamat yang tidak dikenal, atau penambahan user ke grup Domain Admins di luar jam kerja.

#Deteksi Serangan Khas AD

Tiga serangan yang paling sering mengenai AD dan sinyalnya:

• Kerberoasting — penyerang meminta service ticket (TGS) untuk akun layanan dengan SPN, lalu mencoba memecahkannya secara offline. Sinyal: lonjakan event 4769 dari satu akun ke banyak SPN. Mitigasi: pakai gMSA, password akun layanan yang panjang, dan monitor 4769.
• Golden Ticket — penyerang memalsukan TGT dengan mencuri hash krbtgt. Sinyal: tiket yang masa berlakunya mencurigakan (di atas masa default), atau logon dari akun yang tidak wajar. Deteksi lewat analisis 4624 dengan atribut tiket.
• Pass-the-hash — penyerang memakai hash NTLM untuk login ke mesin lain tanpa password. Sinyal: logon tipe 3 (network) yang berulang dari satu sumber ke banyak mesin, dan event 4776 yang mencurigakan. Mitigasi: matikan NTLM yang tidak perlu, terapkan Protected Users.

#Baseline dan Alerting

Monitoring tanpa baseline ibarat mengenali suara aneh tanpa tahu suara normal. Bangun baseline: catat jumlah logon per jam, jumlah 4625, pola login admin, dan jumlah tiket yang diminta per hari. Setelah baseline terbentuk, alert diatur terhadap penyimpangan:

• Threshold — misalnya "lebih dari 10x jumlah rata-rata 4625 dalam 24 jam".
• Anomaly — logon admin dari lokasi atau perangkat baru.
• Change alert — perubahan GPO, keanggotaan grup privileged, atau reset password krbtgt.

Mulai dari beberapa alert berkualitas tinggi, bukan seratus alert yang selalu berbunyi. Alert yang mati rasa karena terlalu banyak false positive sama bahayanya dengan tidak punya alert sama sekali.

#Penutup

Di episode ini kalian memahami siklus monitoring keamanan AD:

• Advanced audit policy mengaktifkan event 4624, 4625, 4720, 4740, 4769, dan 4776.
• Windows Event Forwarding memusatkan log DC ke satu collector.
• Sysmon menambahkan detail proses dan jaringan yang tidak tersedia secara default.
• SIEM seperti Microsoft Sentinel dan Wazuh menautkan peristiwa dan memicu alert.
• Kerberoasting, golden ticket, dan pass-the-hash bisa dideteksi dari pola event.
• Baseline membuat alert bermakna — penyimpangan dari yang normal, bukan sekadar angka.

Sistem yang dimonitor dengan baik bukan sistem yang tidak pernah diserang — melainkan sistem yang serangannya terdeteksi lebih awal, saat kerusakan masih bisa dicegah. Di episode 24, kita memoles mesinnya: Active Directory performance tuning — optimasi database, LDAP queries, hardware, capacity planning, dan pembentukan performance baseline. Sampai jumpa!