Importer les données collectées dans BloodHound

À présent, nous avons tout ce qu'il faut pour commencer notre analyse ! Une fois l'archive ZIP sous la main, il nous faut la décompresser afin de retrouver différents fichiers JSON, plus ou moins volumineux en fonction de la taille de votre Active Directory :

Décompression de l'archive ZIP et obtention de différents fichires JSON. — Décompression de l'archive ZIP et obtention de différents fichiers JSON.

De retour sur l'interface web BloodHound et authentifié, nous allons nous rendre dans la roue crantée, puis dans "Administration" :

Accès au menu d'administration dans l'interface web de BloodHound.

Nous irons ensuite dans le menu "File Ingest", puis cliquerons sur "Upload" pour voir apparaitre un menu nous permettant de glisser/déposer nos fichiers JSON :

Interface d'upload des fichiers JSON générés par SharpHound.

Une fois déposés, nous pouvons cliquer sur "Upload" :

Dépôt des fichiers JSON dans l'interface BloodHound.

Un contrôle de structure est alors effectué sur nos différents fichiers afin de s'assurer qu'ils correspondent à ce qui est attendu par BloodHound. Si tout est vert, nous pouvons cliquer sur "Upload" à nouveau, puis encore "Upload" au message d'avertissement et enfin sur "Close".

Import des données en cours sur l'interface BloodHound.

Vous verrez alors que vos données sont marquées en Ingesting, cela signifie que l'opération d'import est en cours. Cette phase peut-être plus ou moins longue en fonction de la taille de votre Active Directory et des options de collecte utilisées.

Comme spécifié précédemment dans le cours, la collecte des données exporte certains objets et attributs d'objet de l'Active Directory vers des fichiers JSON. L'import des données dans BloodHound transfert les données des fichiers JSON vers la base de données Neo4j afin que l'on puisse facilement les interroger et les manipuler.

Une fois l'import terminé, vous verrez un Complete sur la ligne correspondante à votre import :

Fin de l'import des données dans BloodHound.

Dernière vérification avant de passer à l'analyse des données et la découverte de chemins d'attaque : vous pouvez vous rendre, au sein du panel d'administration, dans le menu "Data Quality" afin de voir le nombre de nodes présents dans la base de données :

Accès au menu "Data Quality" — Accès au menu "**Data Quality**"

Si vous voyez autre chose que "0" en face de la plupart des nodes (au moins "Users", "Computers" et "Groups"), c'est que l'import s'est effectivement bien passé. Vous pouvez également profiter de cette vue pour vous familiariser avec les icônes/couleurs qui représentent les types de nodes sur lesquels vous allez travailler.