Active Directory felülvizsgálat és keményítés
Az Active Directory a zsarolóvírusos támadások első célpontja. Átvilágítjuk a jogosultságokat, a fiókokat és a beállításokat, majd lezárjuk a támadási utakat.
Mit vizsgálunk
Támadási utak a tartományban
Az AD jogosultsági rendszere évek alatt átláthatatlanná válik, és a támadó ebben keres utat a tartományi adminisztrátori jogig. Ezeket a területeket nézzük át.
Jogosultsági láncok
Melyik fiók írhat egy csoportot, amelyik tagja egy másik csoportnak, amelyiknek jelszó-visszaállítási joga van egy adminisztrátor fölött. A beágyazott csoporttagságok miatt a legtöbb tartományban létezik ilyen nem szándékolt út.
Rendszergazdai és védett csoportok
A Domain Admins és a többi védett csoport tagsága, valamint az AdminSDHolder objektum jogosultságai. A leggyakoribb hiba, amit AD-vizsgálatokon látunk: a Domain Admins tagja egy szolgáltatásfiók, amelynek jelszavát soha nem cserélték, és amellyel egy alkalmazás fut egy tagszerveren. Ha az a szerver kompromittálódik, a tartomány is.
Szolgáltatásfiókok, elavult és inaktív fiókok
Az SPN-nel rendelkező szolgáltatásfiókok jegye offline törhető, a jelszavuk pedig gyakran rövid és évek óta változatlan. Ide tartoznak az előhitelesítés nélküli fiókok és azok is, amelyeket már senki nem használ, de még engedélyezettek.
Örökölt protokollok
Az NTLMv1, az SMBv1 és az LLMNR/NBT-NS névfeloldás hitelesítő adatot szivárogtat, vagy a hitelesítés továbbítható velük. Egy hálózatba helyezett eszköz passzívan gyűjti a jelszó-hasheket, amikor a gépek névfeloldást kérnek.
Hitelesítő adatok a gépeken
Ha egy tartományi admin valaha bejelentkezett egy gépre, a támadó a memóriából megszerezheti a jogát. A minden gépen azonos helyi admin jelszó ugyanilyen kockázat: egyetlen gép elég az egész géppark eléréséhez.
A munka menete
Előbb feltérképezés, utána lezárás
A keményítés a felmérés eredményére épül, ezért a két szakasz egymás után következik.
-
Átvilágítás
A tartományt ugyanazokkal az eszközökkel térképezzük fel, amelyeket egy támadó is használna, így a nem szándékolt utak is előkerülnek. Az eredmény jellemzően néhány konkrét, javítható útvonal.
-
A támadási utak lezárása
A felmérés eredménye alapján rendezzük a rendszergazdai csoportokat, és csoportházirend- és protokollszinten keményítünk, például letiltjuk az LLMNR-t és visszakapcsoljuk az előhitelesítést. Hosszabb távon további lépések is ajánlottak: gMSA vagy hosszú jelszó a szolgáltatásfiókokon, LAPS, tiltott jelszavak listája, végül a rétegzett adminisztrációs modell, amelyben a tartományi admin fiókok csak tartományvezérlőre jelentkezhetnek be.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- Jelentés a kockázatos jogosultságokról, az elavult és inaktív fiókokról
- A rendszergazdai csoportok rendezése
- Csoportházirend- és protokollszintű keményítés
- A változtatások dokumentációja
Kapcsolódó szolgáltatások
A rendezett tartományra épül
Az AD rendbetétele után ezek a területek érdemelnek figyelmet.
A 8 leggyakoribb támadási útPrivilegizált hozzáférés-kezelés (PAM)
A rendszergazdai jog állandó helyett ideiglenes, jóváhagyáshoz kötött és naplózott.
Hozzáférés-kezelés (IAM)
Ki, mihez, milyen hitelesítéssel fér hozzá, és mi történik belépéskor, szerepkörváltáskor és kilépéskor.
Naplógyűjtés és riasztás (SIEM)
Az AD elleni támadások nyomot hagynak, ha van naplógyűjtés, és valaki nézi is a riasztásokat.
Mentés és katasztrófa-helyreállítás
A mentőrendszer ne legyen elérhető ugyanazokkal a tartományi hitelesítő adatokkal, mint az éles rendszer, különben a tartomány kompromittálódásával a mentés is elvész.
Gyakori kérdések
Amit a legtöbben kérdeznek
Miért éppen az Active Directory a zsarolóvírusos támadók célpontja?
A hálózatba bejutott támadó először tartományi adminisztrátori jogot akar szerezni. Ezzel törölheti a mentéseket, továbbléphet a többi gépre, és egyszerre titkosíthat mindent. A titkosítás így a támadás utolsó lépése, a jogosultság-emelés jóval előtte történik, és ebben az időablakban még meg lehet állítani. A támadás szakaszait a zsarolóvírus-védelemről szóló cikkünk mutatja be.
Ha már van többfaktoros hitelesítés, kell még AD-felülvizsgálat?
Igen. Az MFA a peremen véd, például a webmailen vagy a VPN-en indított jelszó-permetezés ellen. A szolgáltatásfiókok jegyét viszont bármely tartományi felhasználó emelt jog nélkül lekérheti, az előhitelesítés nélküli fiókokhoz pedig hitelesített hozzáférés sem kell. Az örökölt hitelesítési protokollokat az MFA nem védi. A módszerek közti különbségekről az MFA típusairól szóló cikkünkben írtunk.
Az Entra ID beállításait is átnézik?
Az Entra ID bérlőt a Microsoft 365 biztonsági keményítés keretében vizsgáljuk: ott a hitelesítés, a feltételes hozzáférés, a megosztás, a levelezés és a naplózás beállításait ellenőrizzük és javítjuk.
