Il compromesso di un Domain Controller è lo scenario peggiore in una rete Windows: chi controlla il DC controlla tutte le identità, può forgiare ticket (Golden Ticket) e ha accesso persistente a tutto. Il contenimento richiede lucidità sotto pressione:
- non fidarti di nulla nel dominio: l'attaccante potrebbe avere credenziali di ogni account. Non usare account potenzialmente compromessi per la risposta
- preserva le prove (RAM e artefatti) prima di bonificare – ma bilanciando col fermare l'emorragia
- reset di
krbtgtdue volte – è la mossa specifica che invalida i Golden Ticket forgiati (va fatto due volte per la rotazione delle chiavi, con l'intervallo giusto per non rompere il dominio) - reset massivo delle credenziali privilegiate e degli account di servizio, revoca delle sessioni
- capire l'estensione prima di riaprire: come sono entrati? Da quanto? Cos'altro toccano? Bonificare il DC mentre l'attaccante ha altri punti d'appoggio insegna solo a nascondersi meglio
La verità scomoda: da un DC compromesso seriamente, molti esperti raccomandano la ricostruzione da zero del dominio – la fiducia, una volta persa a quel livello, è difficilissima da ripristinare con certezza. È il motivo per cui la prevenzione architetturale (tiering, PAM, detection sugli accessi anomali) conta più di qualsiasi piano di risposta: qui il piano B è dolorosissimo.