Optimizare de graf pentru apărarea căilor de atac în Active Directory
Un singur edge `AdminSDHolder` pus greșit sau un `GenericAll` uitat pe un grup imbricat transformă un intern phishuit în compromitere Tier-0. Este, de fapt, o problemă de optimizare de graf — și una intratabilă.
Optimizare de graf pentru apărarea căilor de atac în Active Directory
Întreabă orice blue team ce îl ține treaz la 3 dimineața și Active Directory apare înainte de cafea. Un singur edge AdminSDHolder pus greșit sau un GenericAll uitat pe un grup imbricat transformă un intern phishuit într-o compromitere Tier-0 în mai puțin de nouă minute. O teză de doctorat recentă despre hardening practic de AD o încadrează exact așa cum este: o problemă de optimizare de graf, și încă una intratabilă computațional.
De ce eliminarea statică de edge-uri nu e răspunsul
BloodHound a transformat vizualizarea căilor de atac într-un exercițiu standard de blue team, iar apărătorii au petrecut cinci ani încercând să curețe manual acele grafuri. Teza demonstrează ce practicienii bănuiau deja — problema eliminării optime de edge-uri este NP-hard chiar și sub ipoteze restrictive, oglindind rezultatele de complexitate pentru shortest-path interdiction catalogate în matricea D3FEND a MITRE. Curățarea greedy a „primelor 20 de edge-uri periculoase” lasă graful similar structural; atacatorii se rerutează prin a doua cea mai bună cale în câteva ore.
Contribuția interesantă este trecerea de la optimizare statică la trei variante tratabile în practică: plasarea de honeypot-uri/decoy-uri ca joc Stackelberg, apărarea pe graf dinamic împotriva unui adversar adaptiv și prioritizarea edge-urilor cu admin-in-the-loop. Fiecare recunoaște că AD este un obiect viu — fiecare Set-ADUser și fiecare nouă apartenență la grup rescrie graful.
2026-07-28T04:12:07Z bloodhound.ingest: new_edge type=GenericAll
src=SVC_BACKUP@corp.local dst=DA_GROUP@corp.local
path_delta=+3_tier0_paths risk_score=94
2026-07-28T04:12:09Z aegis.decoy: honeypot_placed node=FAKE_DA_01
intercept_prob=0.71 admin_ack_required=trueUnde își merită honeypot-urile banii
Plasarea de decoy-uri câștigă pe o metrică aflată la alegerea apărătorului: atacatorul trebuie să investească un probe pentru a distinge un Tier-0 real de o momeală, iar fiecare probe crește probabilitatea de detecție. Teza modelează acest lucru împotriva unui atacator care observă graful, dar nu și etichetele de honeypot — același model de amenințare pe care îl presupune ghidul ENISA de hardening AD pentru mișcarea laterală de după accesul inițial. În practică, decoy-urile plasate pe primele 5% dintre nodurile cu betweenness centrality ridicat prind majoritatea căutărilor de căi conduse de BloodHound.
Asta se leagă direct de felul în care proiectăm topologiile de detecție în pilonul AEGIS — senzorii se pun pe edge-urile pe care atacatorii trebuie să le traverseze, nu pe cele care generează cel mai mare volum de log-uri. Se aliniază și cu argumentul că siguranța sistemelor agentice stă în topologia grafului, nu în ponderile modelului care face raționamentul.
Ce facem noi diferit
Majoritatea proiectelor de hardening AD livrează un PDF static cu „edge-urile riscante de eliminat” și consideră treaba încheiată. Raportul acela e depășit înainte ca clientul să semneze SoW-ul. Poziția de lucru a CAI: tratează graful de atac AD ca pe o structură de date în flux, ingerează modificările orar prin feed-ul Get-ADReplicationAttributeMetadata de la Microsoft și re-scorează căile sub aceleași ipoteze zero-trust din NIST SP 800-207 (NIST 800-207) pe care Articolul 21 din Directiva NIS2 le face acum obligatorii pentru entitățile esențiale.
Adevăratul dar al tezei este permisiunea de a nu ne mai preface că putem rezolva asta optim. Putem însă menține costul așteptat al atacatorului crescând mai repede decât se îmbunătățește tooling-ul lui. Dacă administrezi peste 2.000 de obiecte AD și nu ți-ai modelat graful dinamic în ultimul trimestru, discută cu echipa AEGIS despre un baseline de două săptămâni.