Исследователи обратили внимание на проблему детектирования разведки Active Directory через LDAP-запросы. Фильтры, атрибуты и базы поиска, используемые такими инструментами, как Impacket и BloodHound, становятся удобными сигнатурами для систем обнаружения угроз.

Разбор механизмов LDAP-запросов показал, что их мониторинг возможен на нескольких уровнях инфраструктуры. Основная сложность заключается в том, что стандартные методы анализа легко выявляют типовые паттерны разведки.

Для обхода таких детектов были разработаны приёмы обфускации, позволяющие менять форму запроса без изменения его конечного результата. Теперь злоумышленники могут маскировать активность под легитимные операции, избегая срабатывания сигнатур.

На практике это означает, что простые правила корреляции перестают быть эффективными против модифицированных LDAP-запросов. Специалистам по безопасности придётся внедрять более сложные методы анализа для выявления скрытой разведки.