Persistence

Bagian ## Persistence berdiri sebagai salah satu bagian taktik tingkat atas di README.md:315¹, dan daftar isi menautkannya lewat anchor #persistence di README.md:14². Isinya murni katalog: 12 subbagian dengan total 21 tautan, tanpa satu pun potongan kode, perintah, atau nama fungsi. Karena itu halaman ini tidak mengutip implementasi; ia memetakan setiap subbagian ke objek AD yang diubah, lalu menunjukkan halaman lain yang membahas mekanisme sama dari sudut berbeda.

Peta mekanisme ke objek yang diubah

graph TD
  subgraph TIKET["Tiket Kerberos"]
    golden["Golden Ticket"]
    silver["Silver Ticket"]
    diamond["Diamond Ticket"]
  end
  subgraph DIREKTORI["Objek direktori"]
    sidhist["SID History"]
    adminsd["AdminSDHolder"]
    gpo["Group Policy Object"]
    acl["ACLs & Security Descriptors"]
    dcshadow["DCShadow"]
  end
  subgraph HOST["Host dan Domain Controller"]
    skeleton["Skeleton Keys"]
    ssp["Security Support Provider"]
    dsrm["Directory Services Restore Mode"]
    sedel["SeEnableDelegationPrivilege"]
  end
  golden --> krbtgt["akun krbtgt"]
  diamond --> krbtgt
  silver --> svcacct["password akun service dan computer"]
  sidhist --> sidattr["atribut sIDHistory"]
  adminsd --> sdprop["objek AdminSDHolder dan proses SDProp"]
  gpo --> sysvol["SYSVOL dan objek GPO"]
  acl --> dacl["DACL objek AD"]
  dcshadow --> ntds["ntds.dit lewat replikasi"]
  skeleton --> lsass["LSASS di Domain Controller"]
  ssp --> lsass
  dsrm --> dsrmacct["akun lokal Domain Controller"]
  sedel --> right["user right delegasi"]
  style golden fill:#8b5cf6,color:#fff
  style silver fill:#8b5cf6,color:#fff
  style diamond fill:#8b5cf6,color:#fff
  style sidhist fill:#dc2626,color:#fff
  style adminsd fill:#dc2626,color:#fff
  style gpo fill:#dc2626,color:#fff
  style acl fill:#dc2626,color:#fff
  style dcshadow fill:#dc2626,color:#fff
  style skeleton fill:#f59e0b,color:#000
  style ssp fill:#f59e0b,color:#000
  style dsrm fill:#f59e0b,color:#000
  style sedel fill:#f59e0b,color:#000
  style krbtgt fill:#336791,color:#fff
  style ntds fill:#336791,color:#fff
  style sysvol fill:#336791,color:#fff
%% fig: Mekanisme persistence dan objek AD yang diubah
%% desc: Dua belas subbagian bagian Persistence dipetakan ke targetnya, dari tiket Kerberos dan objek direktori sampai komponen di Domain Controller.

Warna memisahkan peran, bukan berkas. Tiket berwarna ungu karena merupakan data turunan yang dibangkitkan dari material yang sudah dicuri. Objek direktori berwarna merah karena perubahannya meninggalkan jejak permanen di ntds.dit atau SYSVOL. Mekanisme yang menempel di host berwarna kuning karena bergantung pada konfigurasi dan status lokal satu mesin.

Daftar subbagian

Subbagian dengan tautan terbanyak adalah ### Skeleton Keys dan ### ACLs & Security Descriptors, masing-masing tiga tautan README.md:340-343¹⁰ README.md:356-359¹⁴. Tiga subbagian lain memuat dua tautan, sedangkan sisanya satu tautan.

Golden, silver, dan diamond ticket

Tiga subbagian tiket diletakkan paling atas. ### Golden Ticket memuat dua tautan README.md:319-321⁴, dan salah satu tautannya identik dengan tautan di ### Domain Trusts pada halaman Privilege Escalation README.md:153¹⁵. ### Silver Ticket juga dua tautan, tetapi judul salah satunya memperluas cakupan ke computer account dan Domain Controller, bukan hanya akun service README.md:326-328⁶. ### Diamond Ticket hanya satu tautan README.md:316-317³.

Ketiganya dipisahkan dari mekanisme lain karena tidak mengubah objek AD: tiket dipalsukan di sisi penyerang, lalu dipakai untuk mengakses sumber daya. Inilah sebabnya sebagian besar teknik tiket muncul kembali di halaman Kerberos Delegation dan Penyalahgunaan Tiket.

Mekanisme yang mengubah isi direktori

### SID History hanya berisi satu tautan, yaitu artikel seri persistence nomor 14 README.md:323-324⁵. ### AdminSDHolder memuat dua tautan yang menekankan siklus pemeriksaan ulang oleh SDProp sebagai cara mendapatkan kembali hak Domain Admin README.md:333-335⁸. ### Group Policy Object berisi satu tautan, seri nomor 17 README.md:337-338⁹, sementara penyalahgunaan permission GPO dari sisi eskalasi ada di halaman Privilege Escalation README.md:125-131¹⁶.

### ACLs & Security Descriptors adalah subbagian terluas di keluarga ini: DACL backdoor, shadow admins, dan risiko trust README.md:356-359¹⁴. Sisi eskalasinya, yaitu penyalahgunaan ACL yang sudah lemah, dibahas terpisah di halaman Privilege Escalation README.md:133-143¹⁷. ### DCShadow diletakkan di sini dengan satu tautan berjudul Creating Persistence With Dcshadow README.md:330-331⁷.

Mekanisme yang menempel di host dan Domain Controller

### Skeleton Keys memuat tiga tautan; salah satunya secara eksplisit menyebut penanaman Skeleton Key pada Domain Controller dengan Mimikatz README.md:340-343¹⁰. ### Security Support Provider berisi satu tautan tentang SSP berbahaya README.md:349-350¹². ### Directory Services Restore Mode memuat dua tautan, yaitu seri nomor 11 dan seri nomor 13 dengan label DSRM Persistence v2 README.md:352-354¹³.

### SeEnableDelegationPrivilege berdiri sebagai subbagian tersendiri dengan dua tautan: satu artikel tentang user right tersebut, satu lagi menyebutnya sebagai backdoor AD README.md:345-347¹¹. Primitif delegasi yang menjadi dasar penyalahgunaannya dibahas di halaman Kerberos Delegation dan Penyalahgunaan Tiket.

Rangkaian artikel seri persistence

Tujuh tautan pada bagian ini berasal dari satu rangkaian artikel bernomor yang sama, dan nomornya menunjukkan urutan penulisan, bukan urutan serangan.

Rangkaian ini mencakup nomor 11 sampai 17. Nomor 1 sampai 10 tidak ada di bagian Persistence, sehingga mekanisme bertahan yang lebih tua sengaja tidak diulang di sini. Mekanisme bertahan nomor 16 ditempatkan di bawah ### Silver Ticket, bukan subbagian sendiri, karena objek yang diserang tetap tiket.

Tumpang tindih dengan halaman lain

graph LR
  subgraph ESK["Halaman Privilege Escalation"]
    e1["Insecure Group Policy Object Permission Rights"]
    e2["Insecure ACLs Permission Rights"]
    e3["DCShadow: Privilege Escalation With DCShadow"]
    e4["Domain Trusts: Golden Tickets are Now More Golden"]
  end
  subgraph PER["Halaman Persistence"]
    p1["Group Policy Object"]
    p2["ACLs & Security Descriptors"]
    p3["DCShadow: Creating Persistence With Dcshadow"]
    p4["Golden Ticket"]
  end
  e1 --- p1
  e2 --- p2
  e3 --- p3
  e4 --- p4
  style e1 fill:#f59e0b,color:#000
  style e2 fill:#f59e0b,color:#000
  style e3 fill:#f59e0b,color:#000
  style e4 fill:#f59e0b,color:#000
  style p1 fill:#dc2626,color:#fff
  style p2 fill:#dc2626,color:#fff
  style p3 fill:#dc2626,color:#fff
  style p4 fill:#dc2626,color:#fff
%% fig: Empat topik yang muncul di dua halaman
%% desc: GPO, ACL, DCShadow, dan golden ticket dibahas dari sisi eskalasi dan dari sisi persistence dengan judul artikel yang berbeda.

⚠️ Empat teknik muncul dua kali dengan sudut pandang berbeda, sehingga pembaca bisa salah mengira keduanya duplikat. DCShadow ada di README.md:330-331⁷ sebagai Creating Persistence With Dcshadow dan di README.md:155-160¹⁸ sebagai Privilege Escalation With DCShadow. GPO ada di README.md:337-338 dan README.md:125-131. ACL ada di README.md:356-359 dan README.md:133-143. Golden ticket bahkan memakai URL yang sama persis di README.md:319-321 dan README.md:153, jadi jangan menghitungnya sebagai dua sumber terpisah saat menyusun daftar rujukan.

Untuk sisi pertahanan dari seluruh mekanisme di halaman ini, lihat Defense & Detection: Hardening dan Patch dan Deteksi Berbasis Event ID dan Sysmon. Perkakas yang dipakai untuk menguji mekanisme ini dikumpulkan di Tool, Cheat Sheet, dan Sumber Belajar.