一个私人整形专科医疗实践，有30个地点和超过2个,在它服务的州里，有000名员工.

• 该客户端复杂的分布式Microsoft Active Directory (AD)环境包括130多个服务器和25个域控制器, 这让他们很容易受到勒索软件的攻击.
• 不良行为者的持久性导致攻击成功，损害了大多数系统.
• 最初的访问是通过网络钓鱼获得的.
• 横向移动和权限升级成功折衷多个AD域控制器和企业的林和域.
• 几个未受影响的域控制器的发现使响应团队能够帮助客户端快速恢复.
• Semperis目录服务保护者(DSP)确保攻击者不再在环境中，攻击路径被关闭.

当大型骨科, 物理治疗和运动医学实践在2021年2月遭受了勒索软件攻击, 医疗保健组织迅速采取行动，将影响降至最低.

客户没有意识到是他们复杂和分布式的AD使他们变得脆弱. “GPK电子游戏认为GPK电子游戏有一个深思熟虑的网络实施,客户的首席技术官(CTO)说。. “GPK电子游戏采取了合理的努力来加强安全, 但总有一些事情你可以做得更好，而这些事情会反过来咬GPK电子游戏一口. GPK电子游戏是勒索软件攻击的受害者. 这非常残酷，影响了GPK电子游戏的大多数系统.”

通过钓鱼邮件发起, 攻击者获得了初步权限, 做横向运动, 并成功破坏了特权账户. 他们为该客户的许多关键系统的gpk电子游戏官网访问建立了持久性. 他们从利用弱点开始, 公司AD环境的错误配置和盲点. 幸运的是, 客户端没有发生任何数据外泄, 而且他们的商业运作对他们的负面影响很小.

客户向小GPK电子游戏医疗寻求事故响应方面的帮助, 修复, 加强防御. 小GPK电子游戏带来了森培里斯, 这是一家安全公司，在保护混合和多云环境以及AD环境专用工具方面拥有专业知识. 恢复工作的关键方面之一是在对客户的AD进行彻底分析和清理时立即关闭有风险的访问. 该团队发现了一个不受攻击影响的域控制器(DC)，以帮助恢复工作. 对环境的彻底分析和随后对活动目录的清理是修复中的一个重要步骤. 例如, Semperis指示客户端重置他们的KRBTGT (Kerberos票据授予票据), a three-way trust guarding the gates to a network); to reset their account password twice, 并禁用在所有域控制器上运行的打印后台处理程序服务. “GPK电子游戏立即采取了许多措施来打击袭击, 包括隔离受影响的DCs, 关闭危险访问, 并找到干净的dc来帮助GPK电子游戏恢复,这位首席技术官说.

“一旦GPK电子游戏重新站起来, GPK电子游戏需要知道坏人已经离开了GPK电子游戏的环境,首席技术官解释道. “在这一点上，GPK电子游戏不知道GPK电子游戏是否仍然受到威胁. GPK电子游戏不得不假设他们无处不在, GPK电子游戏必须找到他们，把他们铲除.”

Sirius和Semperis帮助这个客户端监视环境，以查明是否有任何残留的攻击者侦察仍在进行. Semperis的AD安全工具被用来帮助客户获得准确和完整的事件和他们的AD安全立场. 这些工具包括Semperis的威胁检测和响应平台, 目录服务保护器(DSP). “DSP工具如期交付, 但我认为引入Semperis的真正价值在于他们的员工以及他们对AD和基于AD的攻击的深刻理解和洞察,这位首席技术官说.

现在，DSP不断扫描和监控骨科实践的IT环境，寻找AD错误配置，攻击者利用这些错误配置获得访问权. 除了, DSP跟踪对AD所做的更改，并能够自动回滚由不良行为者执行的恶意活动, 甚至是内部IT团队成员犯下的无辜错误. 也许DSP最大的价值在于它能够比传统的安全工具更深入地看待AD. DSP跟踪AD复制流, 它可以检测复杂的和以前不可见的攻击，比如DC暗影攻击, 一种后期终止链攻击，允许具有特权凭证的攻击者注册流氓域控制器.

除了, 控制措施已经到位，以便对骨科实践的混合AD环境进行持续监测. 暴露于攻击和可疑变化的指标会被标记，以便能够立即处理，以阻止破坏性的影响. 这位首席技术官表示:“GPK电子游戏真的开始把事情推向一个新的水平。. “现在GPK电子游戏使用DSP来提醒GPK电子游戏组策略的变化. [组策略在一定程度上控制用户在计算机系统上可以和不可以做什么.它允许GPK电子游戏实施更强大的[内部]变更控制和改进流程，以防止可能对GPK电子游戏方便但不安全的流氓It活动.”