แนวทางปฏิบัติและการโจมตีด้านความปลอดภัย AD

การรักษาความปลอดภัยของ Active Directory (ความปลอดภัยของ AD) มีความสำคัญด้วยเหตุผลง่ายๆ ข้อเดียว นั่นคือ Active Directory เองก็มีความสำคัญเช่นกัน

Active Directory ให้บริการการรับรองความถูกต้องและการอนุญาตที่จำเป็นสำหรับการดำเนินธุรกิจส่วนใหญ่ของคุณ จุดอ่อนในการรักษาความปลอดภัย AD ของคุณอาจทำให้ผู้ประสงค์ร้ายเข้ารหัสหรือขโมยข้อมูลที่ละเอียดอ่อนของคุณ หรือแม้แต่ล้างตัวควบคุมโดเมน (DC) ของคุณ ทำให้ธุรกิจของคุณต้องหยุดชะงัก

ความปลอดภัยของ AD เป็นหัวข้อที่ฉันพูดถึงมาบ้างแล้ว แต่วันนี้ฉันจะใช้แนวทางที่แตกต่างออกไปและวิเคราะห์การโจมตี Active Directory อันดับต้นๆ บางส่วนจากสองสามเดือนที่ผ่านมา และเสนอมุมมองของฉันเกี่ยวกับบทเรียนสำคัญที่สามารถเรียนรู้ได้ จากพวกเขา. ความหวังของฉันคือนี่เป็นขั้นตอนที่สามารถดำเนินการได้ซึ่งคุณสามารถดำเนินการเพื่อเพิ่มความปลอดภัยให้กับสภาพแวดล้อม Active Directory ของคุณ ฉันจะเริ่มต้นด้วยเคล็ดลับสั้นๆ สองสามข้อและไปยังกลยุทธ์เชิงลึกเพิ่มเติม

เหตุใดการรักษาความปลอดภัย AD จึงมีความสำคัญมากกว่าที่เคย

ก่อนที่เราจะเจาะลึกรายละเอียด เรามาดูภาพรวมว่าทำไมการรักษาความปลอดภัย AD จึงมีความสำคัญมากขึ้นกว่าเดิมในปัจจุบัน จากการตรวจสอบการโจมตีทางไซเบอร์เมื่อเร็วๆ นี้ ฉันสามารถระบุแนวโน้มสำคัญหลายประการที่เกี่ยวข้องกับความปลอดภัยของ AD ได้อย่างมาก

Microsoft ลงทุนในการควบคุมความปลอดภัยบนคลาวด์อย่างต่อเนื่อง ดังนั้นผู้โจมตีจึงยังคงกำหนดเป้าหมายสภาพแวดล้อมภายในองค์กรต่อไป

Microsoft ตระหนักดีถึงความสำคัญของการได้รับความปลอดภัยพื้นฐานที่มั่นคงใน Microsoft 365 และ Azure AD (ปัจจุบันคือ Entra ID) พวกเขาได้เผยแพร่เทคโนโลยีและนโยบายอย่างต่อเนื่องเพื่อช่วยให้องค์กรปกป้องระบบนิเวศระบบคลาวด์ของตน ตัวอย่างเช่น Azure AD Multi-Factor Authentication (MFA) ช่วยให้ข้อมูลประจำตัวที่ถูกขโมยไปไร้ประโยชน์โดยกำหนดให้ใช้วิธีตรวจสอบสิทธิ์แบบที่สอง เช่น การโทร ข้อความ การแจ้งเตือนแอปมือถือ หรือโทเค็น OAuth และการควบคุมการเข้าถึงตามบทบาทของ Azure (RBAC) ช่วยให้สามารถควบคุมระดับการเข้าถึงที่ผู้ใช้ได้รับมอบหมายอย่างละเอียดผ่านการมอบหมายบทบาทที่เหมาะสม

แต่ฝ่ายตรงข้ามที่พบว่าประตูสู่สภาพแวดล้อมคลาวด์ปิดลงแล้ว อย่าเพิ่งยอมแพ้ แต่พวกเขามองหาวิธีอื่นในการเข้าไปในเครือข่าย และนั่นมักจะหมายถึงการโจมตีสภาพแวดล้อมภายในองค์กร แน่นอนว่าฉันไม่มีปัญหาในการค้นหาการโจมตี Active Directory ภายในองค์กรจำนวนมากเพื่อนำเสนอในโพสต์นี้ นั่นหมายถึงการรักษาความปลอดภัย AD จะต้องยังคงเป็นจุดสนใจสูงสุดสำหรับองค์กร

เรากำลังเห็นกระแสโลกาภิวัตน์ของตลาดแรนซัมแวร์

แนวโน้มสำคัญอีกประการหนึ่งที่เกี่ยวข้องกับความปลอดภัยของ AD คือที่มาของการโจมตี ผู้คนมักจะคิดว่าตัวดำเนินการแรนซัมแวร์เชิงพาณิชย์หรือแรนซัมแวร์เป็นบริการที่ถือเป็นปรากฏการณ์ของยุโรปตะวันออก แม้ว่าการระบุแหล่งที่มาที่เชื่อถือได้จะเป็นเรื่องยากเสมอไป แต่ก็ชัดเจนว่าเรากำลังเริ่มเห็นการโจมตีทางไซเบอร์ที่ออกมาจากภูมิภาคอื่น ๆ มากขึ้น โดยเฉพาะอเมริกากลาง อเมริกาใต้ และตะวันออกกลาง แนวโน้มนี้มีส่วนทำให้เกิดทั้งปริมาณและความหลากหลายของการโจมตีทางไซเบอร์ที่เราเห็น

อาชญากรรมทางไซเบอร์ โดยเฉพาะแรนซัมแวร์ กลายเป็นธุรกิจไปแล้ว

อาชญากรไซเบอร์กำลังดำเนินธุรกิจในฐานะองค์กรที่มีมูลค่าหลายล้านดอลลาร์ เหตุการณ์หนึ่งที่แสดงให้เห็นถึงแนวโน้มนี้คือการโจมตีแรนซัมแวร์ต่อ Royal Mail บริษัทไปรษณีย์และไปรษณีย์ของอังกฤษ โดย LockBit แก๊งอาชญากรรมทางไซเบอร์ที่เชื่อมโยงกับรัสเซีย การเรียกร้องค่าไถ่ที่สูงชันจำนวน 80 ล้านเหรียญสหรัฐ (67 ล้านปอนด์) ทำให้เกิดการสนทนาที่ขยายออกไประหว่างทั้งสองฝ่าย ซึ่งบันทึกไว้ในบันทึกการสนทนาที่เผยแพร่โดย LockBit ตัวแทนของ LockBit ใช้คำว่า “การเจรจา” ซ้ำแล้วซ้ำอีกว่า “ฉันต้องการทำเงินเหมือนคุณ คุณและฉันมีแรงจูงใจในรูปของเงินเหมือนกัน งานของคุณคือลดราคาให้มากที่สุด งานของฉัน” คือการได้รับจำนวนเงินสูงสุด ” พวกเขายังเชิญ Royal Mail ให้ “ยื่นข้อเสนอตอบโต้” ”

แก๊ง LockBit ได้แสดงทัศนคติทางธุรกิจในอีกเหตุการณ์หนึ่งเช่นกัน เปิดตัวการโจมตีด้วยแรนซัมแวร์กับ Hospital for Sick Children (SickKids) ซึ่งเป็นโรงพยาบาลเพื่อการสอนและการวิจัยในโตรอนโตที่มุ่งเน้นการให้บริการด้านการดูแลสุขภาพแก่เด็กๆ ไม่นานหลังจากการโจมตีเกิดขึ้น แก๊งค์ได้ดำเนินการขั้นตอนที่ไม่เคยเกิดขึ้นมาก่อนในการขอโทษสำหรับการโจมตีทางไซเบอร์ และมอบกุญแจถอดรหัสให้กับโรงพยาบาล คำกล่าวนี้เต็มไปด้วยภาษาทางธุรกิจ: หมายถึง “พันธมิตร” ที่เริ่มการโจมตี กล่าวว่าพวกเขา “ละเมิดกฎของเรา” และอ้างว่าพวกเขาไม่ได้อยู่ใน “โปรแกรมพันธมิตรของเราอีกต่อไป” คำอธิบายประการหนึ่งสำหรับการกระทำเหล่านี้ก็คือ ท้ายที่สุดแล้วแก๊ง LockBit ก็มีหัวใจ แต่อีกประการหนึ่งคือพวกเขากำลังทำการตัดสินใจเชิงกลยุทธ์: การโจมตีองค์กรด้านการดูแลสุขภาพนั้นไม่ดีต่อธุรกิจ เพราะมันมีแนวโน้มที่จะกระตุ้นให้รัฐบาลและผู้ปกป้องอื่น ๆ ดำเนินการกับ “อุตสาหกรรมแรนซัมแวร์” ”

อาชญากรรมทางไซเบอร์เป็นเครื่องมือของรัฐมากขึ้นเรื่อยๆ

กลุ่มอาชญากรไซเบอร์ที่แสวงหาผลกำไรไม่ใช่ภัยคุกคามเดียวที่ทีมรักษาความปลอดภัย AD ต้องกังวล แม้ว่ารัฐชาติจะถูกตำหนิว่าเป็นการโจมตีทางไซเบอร์หลายครั้งในช่วงหลายปีที่ผ่านมา รวมถึง Stuxnet และ NotPetya แต่การโจมตีดูเหมือนจะเพิ่มความถี่ ความรุนแรง และความซับซ้อนมากขึ้น

นอกจากนี้ จำนวนนักแสดงที่เกี่ยวข้องก็กำลังเพิ่มมากขึ้น ขณะนี้หน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐานของสหรัฐอเมริกา (CISA) ดูแลรักษาหน้าเว็บพร้อมข้อมูลข่าวกรองเกี่ยวกับภัยคุกคามทางไซเบอร์ที่รัฐสนับสนุนจากจีน รัสเซีย เกาหลีเหนือ และอิหร่าน แต่มีหลักฐานเชื่อมโยงการโจมตีกับประเทศอื่นๆ เช่นกัน รวมถึงอินเดีย เวียดนาม เบลารุส สหรัฐอาหรับเอมิเรตส์ และซาอุดีอาระเบีย

ตอนนี้เรามาดูบทเรียนด้านความปลอดภัยของ AD อะไรบ้างที่เราสามารถเรียนรู้จากการโจมตีเฉพาะเจาะจงบน Active Directory ล่าสุด

การโจมตีทางไซเบอร์บน LastPass

ผู้ให้บริการจัดการรหัสผ่าน LastPass เปิดเผยการละเมิดสองครั้งที่ผู้ไม่หวังดีสามารถเข้าถึงซอร์สโค้ดของผลิตภัณฑ์และข้อมูลทางเทคนิคที่เป็นกรรมสิทธิ์อื่น ๆ จากนั้นเข้าถึงข้อมูลลูกค้าบางส่วนในบริการจัดเก็บข้อมูลบนคลาวด์ของบุคคลที่สามที่ LastPass ใช้

จากข้อมูลของ LastPass ฝ่ายตรงข้ามได้ตั้งหลักเบื้องต้นโดยการกำหนดเป้าหมายไปที่คอมพิวเตอร์ที่บ้านของหนึ่งในนักพัฒนา และใช้ประโยชน์จากซอฟต์แวร์สื่อที่มีช่องโหว่เพื่อดำเนินการประมวลผลโค้ดจากระยะไกล ด้วยการปรับใช้มัลแวร์คีย์ล็อกเกอร์ ผู้คุกคามสามารถจับรหัสผ่านหลักของพนักงานในขณะที่มันถูกป้อน — หลังจากที่พนักงานตรวจสอบสิทธิ์ด้วย MFA — และด้วยเหตุนี้จึงสามารถเข้าถึงห้องนิรภัยขององค์กร LastPass ของนักพัฒนาได้

เคล็ดลับด้านความปลอดภัย AD ด่วน: ใช้เวิร์กสเตชันการเข้าถึงที่มีสิทธิพิเศษ (PAW)

แม้ว่าการกำหนดให้มีการตรวจสอบสิทธิ์แบบหลายปัจจัยสำหรับการเข้าถึงแบบมีสิทธิพิเศษเป็นส่วนสำคัญของการรักษาความปลอดภัยของ AD แต่ก็ไม่เพียงพอ ฝ่ายตรงข้ามกำหนดเป้าหมายบัญชีที่ได้รับสิทธิพิเศษสูงอย่างไม่ลดละเนื่องจากการเข้าถึงระดับสูงที่พวกเขามอบให้ ดังนั้นแนวทางปฏิบัติที่ดีที่สุดอีกประการหนึ่งคือการใช้เวิร์กสเตชันการเข้าถึงที่มีสิทธิพิเศษ — เครื่องที่ได้รับการปรับปรุงซึ่งเป็นที่เดียวที่ผู้ใช้สามารถเข้าสู่ระบบโดยใช้ข้อมูลประจำตัวที่มีสิทธิพิเศษ เนื่องจาก PAW ไม่ได้รับอนุญาตให้เรียกใช้แอปพลิเคชันที่มีช่องโหว่ เช่น ซอฟต์แวร์สื่อภายในบ้าน ฝ่ายตรงข้ามจึงต้องปีนป่ายสูงกว่ามากในการละเมิด

การใช้ PAW ยังหมายถึงการไม่อนุญาตให้ใช้ข้อมูลรับรองพิเศษบนเครื่องอื่น — ผู้ดูแลระบบต้องใช้บัญชีผู้ใช้ปกติเพื่อตรวจสอบอีเมลหรือเยี่ยมชมเว็บไซต์ แนวทางปฏิบัตินี้ช่วยลดความเสี่ยงที่แฮชรหัสผ่านสำหรับบัญชีพิเศษจะถูกจัดเก็บไว้ในหน่วยความจำของกระบวนการ Local Security Authority Subsystem (LSASS) ของเครื่องของผู้ใช้ทั่วไปเพื่อให้ฝ่ายตรงข้ามได้เก็บเกี่ยวและใช้ในทางที่ผิด ซึ่งเป็นกลยุทธ์ที่มักใช้ในการละเมิดความปลอดภัยของ AD

การโจมตีห่วงโซ่อุปทาน

นอกจากนี้เรายังเห็นแนวโน้มที่สม่ำเสมอของผู้โจมตีที่ติดตามลิงก์ในห่วงโซ่อุปทานที่พวกเขาสามารถใช้เพื่อข้ามระหว่างองค์กรจนกว่าพวกเขาจะไปถึงเหยื่อ (หรือเหยื่อ!) ที่พวกเขาต้องการใช้ประโยชน์ ห่วงโซ่อุปทานขององค์กรเป็นเป้าหมายสูงสุด หนึ่งในสิ่งที่โด่งดังที่สุดคือการละเมิด SolarWinds ซึ่งแฮ็กเกอร์ระดับประเทศต้องสงสัยได้ปรับใช้โค้ดที่เป็นอันตรายในซอฟต์แวร์การตรวจสอบและการจัดการด้านไอทีของบริษัท ทำให้พวกเขาสามารถประนีประนอมข้อมูล เครือข่าย และระบบของลูกค้า SolarWinds นับพันราย และอาจรวมถึงลูกค้าของพวกเขาและ พันธมิตรเช่นกัน อีกตัวอย่างหนึ่งคือการใช้ประโยชน์จากช่องโหว่ใน Log4j ซึ่งเป็นไลบรารีที่ใช้งานโดยทุกองค์กรที่ใช้ Java และในการแฮ็กครั้งใหญ่ที่สุดครั้งหนึ่งในปี 2023 ผู้คุกคามใช้ประโยชน์จากช่องโหว่แบบ Zero-day ใน MOVEit Transfer เพื่อขโมยข้อมูลจากองค์กรมากกว่า 1,000 องค์กรที่ใช้บริการถ่ายโอนไฟล์ ซึ่งส่งผลกระทบต่อผู้คนมากกว่า 60 ล้านคนที่ได้รับผลกระทบ

แต่การโจมตียังส่งผลกระทบต่อห่วงโซ่อุปทานส่วนบุคคล รวมถึงอาหารและพลังงานด้วย การโจมตีด้วยแรนซัมแวร์ที่ Dole Foods นำไปสู่การขาดแคลนผลิตผลสดบนชั้นวางสินค้าในร้านขายของชำ ในขณะที่การโจมตีทางไซเบอร์ที่ประสานงานกับ JBS ซัพพลายเออร์เนื้อสัตว์ของบราซิล ทำให้โรงฆ่าสัตว์เนื้อวัวและเนื้อหมูของบริษัทต้องปิดการใช้งาน ส่งผลกระทบต่อโรงงานในสหรัฐฯ แคนาดา และออสเตรเลีย และการโจมตีท่อโคโลเนียลที่ได้รับการเผยแพร่อย่างแพร่หลายทำให้เกิดการขาดแคลนน้ำมันเชื้อเพลิงที่สถานีเติม ทำให้เกิดความตื่นตระหนกในการซื้อและราคาที่สูงขึ้นอย่างมาก

เคล็ดลับด้านความปลอดภัย AD ด่วน: ใช้การจัดการห่วงโซ่อุปทานที่แข็งแกร่ง

เนื่องจากการละเมิดเหล่านี้ยังคงเป็นหัวข้อข่าว ลูกค้าของคุณก็จะถามถึงห่วงโซ่อุปทานของคุณมากขึ้น พวกเขาจะต้องการทราบว่าคุณกำลังใช้ผลิตภัณฑ์หรือเทคโนโลยีที่ถูกบุกรุกหรือไม่ คุณต้องสามารถตอบคำถามเหล่านั้นได้ นอกจากนี้ คุณต้องการลดความเสี่ยงที่คำตอบของคุณจะเป็น "ใช่" ”

ซึ่งจำเป็นต้องขยายความเข้าใจเกี่ยวกับการรักษาความปลอดภัย AD ให้ครอบคลุมห่วงโซ่อุปทานทั้งหมดของคุณ สิ่งสำคัญคือต้องจัดทำรายการผลิตภัณฑ์และบริการของบุคคลที่สามที่คุณใช้ นอกจากนี้ ให้เจาะลึกแนวทางปฏิบัติด้านความปลอดภัยของเอนทิตีในห่วงโซ่อุปทานของคุณ และใช้ข้อมูลนั้นในการตัดสินใจโดยมีข้อมูลประกอบเกี่ยวกับองค์กรที่คุณเลือกทำธุรกิจด้วย

ปลาน้ำดอกไม้

ในเดือนมิถุนายน ปี 2023 เราได้เห็นถึงการประนีประนอมของอุปกรณ์ Barracuda Email Security Gateway (ESG) ซึ่งส่งผลกระทบต่อคีย์การเซ็นชื่อที่สามารถแก้ไข BIOS ได้ Barracuda กล่าวว่าไม่สามารถรับประกันได้ว่าจะทำให้เครื่องจักรเหล่านั้นสะอาดและปลอดภัยอีกครั้ง ดังนั้นบริษัทจึงแนะนำให้ลูกค้าที่ได้รับผลกระทบเปลี่ยนอุปกรณ์ที่เสียหายทั้งหมด Barracuda ให้บริการเครื่องใช้ไฟฟ้าใหม่โดยไม่มีค่าใช้จ่าย

เคล็ดลับด้านความปลอดภัย AD ด่วน: ตรวจสอบให้แน่ใจว่าคุณมีตัวเลือกการกู้คืนที่ยืดหยุ่น

แม้ว่าการยกเครื่องครั้งนี้จะไม่สะดวกอย่างแน่นอน แต่อย่างน้อยก็ค่อนข้างตรงไปตรงมา: เป็นเรื่องง่ายที่จะบอกได้อย่างชัดเจนว่ากล่องใดในศูนย์ข้อมูลของคุณเป็นอุปกรณ์ Barracuda ESG แต่สมมติว่าผู้โจมตีสามารถทำการโจมตีที่คล้ายกันกับเมนบอร์ดยี่ห้อใดยี่ห้อหนึ่งได้ คุณจะสามารถบอกได้อย่างแน่ชัดว่าเครื่องใดของคุณมีเมนบอร์ดจากผู้จำหน่ายรายใดรายหนึ่ง พวกเราส่วนใหญ่ไม่มีการมองเห็นในระดับนั้น

เพื่อเตรียมพร้อมสำหรับการโจมตีดังกล่าว จำเป็นอย่างยิ่งที่กลยุทธ์ความปลอดภัย AD ของคุณจะต้องมีแผนการกู้คืนระบบที่มีประสิทธิภาพซึ่งให้ตัวเลือกการกู้คืนที่ยืดหยุ่นแก่คุณ โดยเฉพาะอย่างยิ่ง หากโครงสร้างพื้นฐานทางกายภาพของคุณถูกบุกรุกและคุณไม่สามารถเชื่อถือฮาร์ดแวร์ของคุณได้ คุณจะต้องสามารถกู้คืนไปยังระบบคลาวด์ได้

SwiftSlicer

ในเดือนมกราคม ปี 2023 สำนักข่าวระดับชาติของยูเครนถูกโจมตีโดย SwiftSlicer ซึ่งเป็นมัลแวร์ล้างข้อมูลที่ออกแบบมาเพื่อทำลายไฟล์และแม้แต่โค่นโดเมน Windows ทั้งหมด การโจมตีดังกล่าวมีสาเหตุมาจาก Sandworm ซึ่งเป็นกลุ่มที่ได้รับการสนับสนุนจากรัสเซีย

เคล็ดลับความปลอดภัย AD ด่วน: ปกป้องนโยบายกลุ่ม

SandWorm กระจายมัลแวร์ไปยังคอมพิวเตอร์บนเครือข่ายโดยใช้ Active Directory Group Policy ในทางที่ผิด ในการโจมตีก่อนหน้านี้ กลุ่มใช้กลยุทธ์เดียวกันในการวางแผนมัลแวร์ไวเปอร์อื่นๆ เช่น HermeticWiper และ CaddyWiper

วิธีสำคัญในการปรับปรุงความปลอดภัยของโฆษณาคือการปกป้องนโยบายกลุ่มจากการเปลี่ยนแปลงที่ไม่เหมาะสม โซลูชันการจัดการการเปลี่ยนแปลงบางอย่างช่วยให้คุณสามารถบล็อกการเปลี่ยนแปลงออบเจ็กต์ Group Policy (GPO) ได้ในเชิงรุก รวมถึงการเปลี่ยนแปลงออบเจ็กต์ที่มีความละเอียดอ่อนอื่นๆ เช่น กลุ่มความปลอดภัยที่มีสิทธิ์การใช้งานสูง

โวลต์ไต้ฝุ่น

ตอนนี้เรามาดูการโจมตีล่าสุดและดูว่าการโจมตีเหล่านี้มีความหมายอย่างไรสำหรับการรักษาความปลอดภัย AD ในเดือนพฤษภาคมปี 2023 Microsoft เน้นย้ำถึงกิจกรรมที่เป็นอันตรายโดย Volt Typhoon ซึ่งเป็นนักแสดงที่ได้รับการสนับสนุนจากรัฐซึ่งตั้งอยู่ในประเทศจีน โดยตั้งเป้าที่จะพัฒนา "ความสามารถที่อาจขัดขวางโครงสร้างพื้นฐานการสื่อสารที่สำคัญระหว่างสหรัฐอเมริกาและภูมิภาคเอเชียในช่วงวิกฤตในอนาคต ” แคมเปญดังกล่าวส่งผลกระทบต่อองค์กรในหลากหลายภาคส่วน รวมถึงการสื่อสาร การผลิต สาธารณูปโภค การขนส่ง การก่อสร้าง รัฐบาล เทคโนโลยีสารสนเทศ และการศึกษา

ประเด็นสำคัญ: ฝ่ายตรงข้ามพยายามหลีกเลี่ยงการถูกตรวจพบ

เรามักจะนึกถึงการโจมตีทางไซเบอร์ในแง่ของผลลัพธ์สุดท้าย เช่น การเรียกร้องค่าไถ่ที่ปรากฏบนหน้าจอหรือบริการล้มเหลว แต่ความจริงก็คือ การโจมตีทางไซเบอร์หลายครั้งเกิดขึ้นในช่วงเวลาหลายวัน หลายสัปดาห์ หรือหลายเดือน เนื่องจากฝ่ายตรงข้ามพยายามทำงานเพื่อเข้าถึงการเข้าถึงที่จำเป็นเพื่อให้บรรลุภารกิจของตน ในช่วงเวลานี้ พวกเขาจะพยายามหลีกเลี่ยงการส่งสัญญาณเตือนใดๆ

โวลต์ไต้ฝุ่นเป็นตัวอย่างที่ดี จากการวิเคราะห์ของ Microsoft พบว่า Volt Typhoon อาศัยเทคนิคการใช้ชีวิตนอกพื้นที่ (LOTL) อย่างกว้างขวาง นั่นคือ การใช้เครื่องมือที่มีอยู่แล้วในสภาพแวดล้อม แทนที่จะติดตั้งโค้ดหรือสคริปต์ของตัวเอง ตัวอย่างเช่น พวกเขาใช้ Local Security Authority Subsystem Service (LSASS) ในทางที่ผิดเพื่อถ่ายโอนข้อมูลประจำตัวและใช้เครื่องมือบรรทัดคำสั่ง Ntdsutil.exe เพื่อสร้างสื่อการติดตั้งจากตัวควบคุมโดเมน (DC)

เคล็ดลับด้านความปลอดภัย AD: ตรวจสอบกิจกรรมที่น่าสงสัย

ดังนั้น เสาหลักสำคัญของการรักษาความปลอดภัย AD ใดๆ จึงต้องมีประสิทธิภาพในการตรวจสอบ Active Directory เพื่อค้นหาสัญญาณของการโจมตีที่กำลังดำเนินอยู่และตัวบ่งชี้ของการประนีประนอม (IOC) ตัวอย่างเช่น กิจกรรมการจำลองแบบโดเมนที่ผิดปกติอาจเป็นสัญญาณว่ามีคนใช้ DCSync หรือเทคนิคอื่นๆ เพื่อขโมยแฮชรหัสผ่าน ซึ่งอาจเป็นสัญญาณของการโจมตี Golden Ticket ที่จะเกิดขึ้น

กลยุทธ์หนึ่งที่ใช้ในโวลต์ไต้ฝุ่นคือการดึงสำเนาของฐานข้อมูล Active Directory (NTDS.dit) ไฟล์นี้มีข้อมูลเกี่ยวกับโดเมน AD และออบเจ็กต์ในนั้น รวมถึงแฮชของรหัสผ่านบัญชี AD ฝ่ายตรงข้ามที่ขโมยสำเนาของไฟล์ dit จะสามารถแยกแฮชและถอดรหัสแฮชแบบออฟไลน์ได้สบายๆ เพื่อประนีประนอมบัญชี หรือสามารถใช้แฮชตามที่เป็นอยู่กับเทคนิคเช่น Pass the Hash (PtH) เมื่อตรวจพบกิจกรรมที่น่าสงสัยเช่นนี้ตั้งแต่ระยะแรกและตอบสนองทันที คุณอาจสามารถป้องกันไม่ให้ฝ่ายตรงข้ามทำการโจมตีได้สำเร็จ

พายุ-0558

ในเดือนกรกฎาคม พ.ศ. 2566 ไมโครซอฟต์เปิดเผยว่ากลุ่มแฮ็กเกอร์ของจีน Storm-0558 ได้เข้าถึงระบบอีเมลของหน่วยงานรัฐบาลสหรัฐฯ การโจมตีดังกล่าวอาจส่งผลกระทบต่อข้อความหลายแสนข้อความ รวมถึงอีเมลของเอกอัครราชทูตสหรัฐฯ ประจำจีน ผู้ช่วยรัฐมนตรีต่างประเทศประจำภูมิภาคเอเชียตะวันออก เลขาธิการกระทรวงพาณิชย์ และเจ้าหน้าที่อาวุโสอื่นๆ เจ้าหน้าที่สหรัฐฯ เรียกการโจมตีดังกล่าวว่าเป็นการจารกรรม จริงๆ แล้ว ช่วงเวลาดังกล่าวบ่งบอกว่าแฮกเกอร์กำลังมองหาข้อมูลก่อนการเดินทางที่วางแผนไว้โดยรัฐมนตรีต่างประเทศสหรัฐฯ ไปยังปักกิ่ง

ฝ่ายตรงข้ามใช้คีย์การลงนามของ Microsoft ที่พวกเขาได้รับเพื่อปลอมโทเค็นการเข้าถึง Azure AD สำหรับบัญชี คีย์ที่ถูกบุกรุกอาจถูกใช้เพื่อสร้างโทเค็นการเข้าถึงสำหรับบริการอื่นๆ ของ Microsoft รวมถึง OneDrive, SharePoint, Teams และแอปของบุคคลที่สามที่สร้างโดยลูกค้า

ประเด็นสำคัญ: Microsoft จะปล่อยสัญญาณเพิ่มเติมมากมาย ซึ่งจะทำให้การตรวจสอบความปลอดภัยของ AD ยากยิ่งขึ้น

CISA กล่าวว่าบริษัทค้นพบแคมเปญ Storm-0558 เมื่อลูกค้าค้นพบเหตุการณ์ MailItemsAccessed ที่ผิดปกติในบันทึกการตรวจสอบ ซึ่งเป็นเหตุการณ์ที่มีให้เฉพาะลูกค้าที่มีใบอนุญาตระดับสูงสุดของ Microsoft (และแพงที่สุด) เท่านั้น โชคดีที่องค์กรได้รับใบอนุญาต E5 แล้ว

โดยปกติแล้ว Microsoft จะได้รับความร้อนอย่างมากจากข่าวนี้ บริษัทได้ประกาศว่าจะให้ลูกค้าสามารถเข้าถึงบันทึกความปลอดภัยบนคลาวด์ที่กว้างขึ้นโดยไม่มีค่าใช้จ่ายเพิ่มเติม

เคล็ดลับด้านความปลอดภัย AD: หลีกเลี่ยงความเหนื่อยล้าในการแจ้งเตือนโดยมุ่งเน้นการตรวจสอบไปที่สิ่งที่สำคัญ

ทีมรักษาความปลอดภัย AD มีข้อมูลจำนวนมากที่ต้องประมวลผลเพื่อค้นหาภัยคุกคาม และตอนนี้ก็จะมีสัญญาณเพิ่มมากขึ้น เพื่อหลีกเลี่ยงการถูกครอบงำ สิ่งสำคัญคือต้องรู้ว่าควรใส่ใจกับสิ่งใด

สิ่งสำคัญคือการเข้าใจว่าเป้าหมายของการโจมตีทางไซเบอร์คือการเข้าถึงระบบและข้อมูลที่สำคัญของคุณ โดยบ่อยครั้งโดยการประนีประนอมกับบัญชีที่ทรงพลังที่สุดในสภาพแวดล้อมของคุณ สิ่งเหล่านี้เรียกว่าสินทรัพย์ระดับ 0 ของคุณหรือระนาบควบคุม ซึ่งรวมถึงตัวควบคุมโดเมน (DC) และเซิร์ฟเวอร์ที่มีประสิทธิภาพอื่นๆ รวมถึงบัญชีทั้งหมดที่มีสิทธิ์ควบคุมการดูแลระบบฟอเรสต์ โดเมน หรือ DC โดยตรงหรือโดยอ้อม บัญชีที่อาจจำได้ทันทีคือบัญชีที่เป็นของผู้เชี่ยวชาญด้านไอทีของคุณ แต่อีกตัวอย่างหนึ่งที่พบบ่อยคือบัญชีบริการที่ได้รับสิทธิ์ระดับสูง

นอกจากนี้สังเกตว่าผมพูดว่า “การควบคุมโดยตรงหรือโดยอ้อม ” สิ่งสำคัญคือต้องเปิดเผยบัญชีที่อาจได้รับสิทธิพิเศษระดับสูง เช่น การเป็นสมาชิกใน Domain Admins ห่วงโซ่การดำเนินการที่เกี่ยวข้องกับกระบวนการนี้เรียกว่าเส้นทางการโจมตี และมักเกี่ยวข้องกับการละเมิดสิ่งต่างๆ เช่น สิทธิ์ที่ปกปิด การเป็นสมาชิกกลุ่มที่ซ้อนกัน และช่องว่างด้านความปลอดภัยโดยธรรมชาติในสถาปัตยกรรม AD องค์กรมักมีเส้นทางการโจมตีเหล่านี้นับร้อยหรือหลายพันเส้นทาง ซึ่งหลายเส้นทางอาจเกี่ยวข้องกับขั้นตอนเพียงไม่กี่ขั้นตอน และฝ่ายตรงข้ามสามารถใช้เครื่องมือโอเพ่นซอร์สที่เรียกว่า BloodHound เพื่อจัดทำแผนที่โดยละเอียด

การได้รับภาพที่แม่นยำของสินทรัพย์ระดับ 0 ของคุณ จะทำให้คุณสามารถมุ่งเน้นการตรวจสอบไปที่สิ่งที่สำคัญได้ นอกจากนี้คุณยังสามารถดำเนินการเพื่อลดจำนวนสินทรัพย์ที่คุณมีได้อีกด้วย ตัวอย่างเช่น ด้วยการจัดการเส้นทางการโจมตี คุณสามารถขัดขวางผู้โจมตีที่ต้องการได้รับสิทธิ์ระดับสูงได้ นอกจากนี้ ให้พิจารณาปฏิเสธผู้จำหน่ายที่อ้างว่าบัญชีบริการสำหรับแอปพลิเคชันของตนจำเป็นต้องเป็นสมาชิกในกลุ่มความปลอดภัยที่มีประสิทธิภาพ เช่น ผู้ดูแลระบบโดเมน โปรดจำไว้ว่า ยิ่งคุณต้องตรวจสอบสินทรัพย์ระดับ 0 น้อยลงเท่าใด การติดตามและตรวจจับภัยคุกคามที่แท้จริงก็จะยิ่งง่ายขึ้นเท่านั้น

ไม่มีการตรวจสอบสิทธิ์

ในเดือนเมษายน 2023 Microsoft ได้รับแจ้งเกี่ยวกับ nOAuth ซึ่งเป็นปัญหาเกี่ยวกับกระบวนการ Open Authorization (OAuth) ที่ทำให้ลูกค้าเสี่ยงต่อการครอบครองบัญชีและข้อมูลสูญหาย เพื่อใช้ประโยชน์จากข้อบกพร่อง ฝ่ายตรงข้ามจะสร้างบัญชีผู้ดูแลระบบ Azure AD และแก้ไขที่อยู่อีเมลให้เป็นของเป้าหมาย จากนั้นพวกเขาสามารถใช้ประโยชน์จากการลงชื่อเพียงครั้งเดียว (SSO) บนแอปหรือเว็บไซต์ที่มีช่องโหว่ หากแอปรวมบัญชีผู้ใช้โดยไม่มีการตรวจสอบ ขณะนี้ผู้ไม่หวังดีจะสามารถควบคุมบัญชีของเหยื่อได้อย่างสมบูรณ์

ประเด็นสำคัญ: ผู้โจมตีกำลังจะเข้าไปในเครือข่ายของคุณ จริงๆ แล้ว พวกมันอยู่ข้างในแล้ว

ผู้เชี่ยวชาญด้านความปลอดภัยของ AD แนะนำให้ใช้กรอบความคิดแบบสันนิษฐานว่าเป็นการละเมิด เพื่อให้การโจมตี nOAuth ทำงานได้ องค์กรต้องใช้การอ้างสิทธิ์อีเมลเป็นตัวระบุที่ไม่ซ้ำกันในโทเค็นการเข้าถึง แม้ว่าการกำหนดค่านี้จะละเมิดแนวทางปฏิบัติที่ดีที่สุดและเอกสารประกอบของ Microsoft แต่นักวิจัยก็สามารถระบุองค์กรหลายแห่งที่เสี่ยงต่อการถูกโจมตีได้อย่างรวดเร็ว

หากองค์กรของคุณไม่ได้ทำการกำหนดค่าผิดพลาด อย่ารีบเร่งจนเกินไป แนวทางปฏิบัติที่ดีที่สุดอื่นๆ ใดที่คุณละเมิด ช่องโหว่ใดบ้างที่คุณล้มเหลวในการระบุและบรรเทา? อย่างน้อยที่สุด ผู้จำหน่ายที่คุณใช้จะถูกหาประโยชน์จากช่องโหว่แบบ Zero-day ซึ่งตามคำนิยามนั้นยังไม่เคยถูกค้นพบมาก่อน

ความจริงก็คือไม่มีองค์กรใดสามารถรับประกันได้ว่าจะไม่มีผู้โจมตีภายนอกเข้ามาตั้งหลักในเครือข่ายของตน ยิ่งไปกว่านั้น ยังมีความเสี่ยงจากการคุกคามจากภายในอยู่เสมอ ซึ่งอาจเกิดจากเจตนาร้าย หรือจากความประมาทเลินเล่อ หรือการขาดการฝึกอบรม ตัวอย่างเช่น ในเดือนมิถุนายน 2023 เจ้าหน้าที่ Air National Guard ถูกฟ้องฐานเผยแพร่ข้อมูลลับด้านการป้องกันประเทศบนโซเชียลมีเดีย เขาได้รับการตรวจรักษาและได้รับความลับสุดยอดแล้ว แต่ความไว้วางใจนั้นกลับกลายเป็นว่าหายไป ไม่ว่าแรงจูงใจของเขาจะเป็นอันตรายหรือไม่ก็ตาม เอกสารก็รั่วไหล

เคล็ดลับด้านความปลอดภัย AD: บังคับใช้สิทธิ์ขั้นต่ำ

หลักการของสิทธิ์ขั้นต่ำคือหลักปฏิบัติที่ดีที่สุดด้านความปลอดภัยของ AD ด้วยเหตุผลที่ดี ด้วยการให้สิทธิ์แต่ละบัญชีเฉพาะการเข้าถึงที่จำเป็นสำหรับงานที่จำเป็นต้องดำเนินการ คุณจะลดความเสียหายที่ใครก็ตามที่ใช้บัญชีนั้นสามารถทำได้ ไม่ว่าจะเป็นเจ้าของบัญชีที่ถูกต้องตามกฎหมายหรือฝ่ายตรงข้ามที่เข้าควบคุมบัญชี

โปรดทราบว่าสิทธิ์ขั้นต่ำไม่ได้จำกัดอยู่ที่ข้อมูลที่บัญชีสามารถเข้าถึงได้ เป็นเรื่องเกี่ยวกับทุกสิ่งที่บัญชีสามารถทำได้ ตัวอย่างเช่น คุณต้องจำกัดความสามารถในการเรียกใช้ PowerShell อย่างเคร่งครัดให้กับบุคคล (ไม่กี่คน!) ที่ต้องการ PowerShell เพื่อทำงานของตน ยังจำเป็นอย่างยิ่งที่จะต้องจำกัดความสามารถของผู้ใช้ทั่วไปในการยินยอมแอป Azure AD คุณสามารถทำสิ่งนั้นได้อย่างง่ายดายโดยใช้เวิร์กโฟลว์การอนุมัติผู้ดูแลระบบอัตโนมัติที่ Microsoft จัดเตรียมไว้ให้

พายุทรายมะม่วง (อาคาปรอทหรือน้ำโคลน)

ในเดือนเมษายน ปี 2023 Microsoft Threat Intelligence ตรวจพบการโจมตีแบบทำลายล้างจำนวนหนึ่งที่ดำเนินการโดย Mango Sandstorm ซึ่งเป็นผู้แสดงภัยคุกคามที่เชื่อมโยงกับกระทรวงข่าวกรองและความมั่นคงของอิหร่าน การโจมตีนี้น่าจะดำเนินการร่วมกับกลุ่มอื่น DEV-1084 (ปัจจุบันรู้จักกันในชื่อ Storm-1084) ในขณะที่ผู้แสดงภัยคุกคามพยายามปลอมแปลงกิจกรรมของตนเป็นแคมเปญแรนซัมแวร์มาตรฐาน เป้าหมายสูงสุดของพวกเขาคือการทำลายล้างและการหยุดชะงัก: พวกเขาทำลายฟาร์มเซิร์ฟเวอร์ บัญชีพื้นที่จัดเก็บข้อมูล เครื่องเสมือน และเครือข่ายเสมือน และแม้ว่าการโจมตี Mango Sandstorm ก่อนหน้านี้จะมุ่งเป้าไปที่สภาพแวดล้อมภายในองค์กร แต่การโจมตีครั้งนี้กลับรวมไปถึงการทำลายทรัพยากรบนคลาวด์ด้วย

ประเด็นสำคัญ: แรนซัมแวร์เป็นหัวข้อข่าว แต่การโจมตีแบบทำลายล้างยังคงเป็นอันตรายที่ชัดเจนและปัจจุบัน

ยอดการชำระแรนซัมแวร์จนถึงตอนนี้ในปี 2023 ดูเหมือนจะต่ำกว่าระดับที่เคยเป็นในช่วงสองสามปีที่ผ่านมา นั่นอาจดูเหมือนเป็นข่าวดี แต่การวิเคราะห์เชิงลึกเผยให้เห็นว่าจริงๆ แล้วมันไม่ใช่ การจ่ายค่าไถ่ไม่ได้ลดลงเพราะอาชญากรไซเบอร์ผ่อนคลายความต้องการในการขู่กรรโชก แต่เพราะพวกเขาเปลี่ยนโฟกัส: พวกเขากำลังทำการโจมตีมากขึ้นโดยมีจุดประสงค์เพื่อขโมยข้อมูลหรือทำลายข้อมูลแทนที่จะถือไว้เพื่อเรียกค่าไถ่

กลยุทธ์การรักษาความปลอดภัย AD หลัก: มุ่งเน้นไปที่ความยืดหยุ่นทางไซเบอร์

นี่คือบทเรียนด้านความปลอดภัย AD ที่สำคัญที่สุด: มุ่งเน้นไปที่ความยืดหยุ่นทางไซเบอร์ เป้าหมายของความสามารถในการฟื้นตัวทางไซเบอร์นั้นมีสองเท่า: รักษาสภาพแวดล้อมด้านไอทีและทำงานให้มากที่สุดเท่าที่จะเป็นไปได้ และสำรองข้อมูลและดำเนินการอย่างรวดเร็วเมื่อเกิดการหยุดชะงัก

สิ่งนี้ต้องการแนวทางการป้องกันเชิงลึกซึ่งรวมถึงองค์ประกอบหลายอย่าง ซึ่งหลายองค์ประกอบที่ผมได้พูดถึงข้างต้น ประกอบด้วย:

• การจัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์เพื่อลดพื้นที่การโจมตีของคุณ
• การกำกับดูแลข้อมูลประจำตัวและการดูแลระบบเพื่อบังคับใช้สิทธิ์ขั้นต่ำ รวมถึงการจัดการการเข้าถึงสิทธิพิเศษที่มีประสิทธิภาพ
• การรักษาความปลอดภัยและการจัดการ AD แบบไฮบริดซึ่งรวมถึงการตรวจสอบ Active Directory ที่มีประสิทธิภาพ การจัดการการเปลี่ยนแปลง และการจัดการเส้นทางการโจมตี
• กลยุทธ์การสำรองข้อมูลและการกู้คืนระบบที่ครอบคลุมซึ่งรวมถึงการเตรียมพร้อมสำหรับการโจมตีแบบทำลายล้าง

บทสรุป

เมื่อ 15 ปีที่แล้ว จำนวนหน่วยงานที่สามารถติดตั้งการโจมตีที่มีความซับซ้อนสูงอาจนับได้เพียงฝ่ายเดียว นั่นคือหน่วยงานความมั่นคงแห่งชาติของประเทศมหาอำนาจ เช่น สหรัฐฯ รัสเซีย อิสราเอล และจีน ขณะนี้การโจมตีเหล่านี้ไม่ได้เกิดขึ้นเฉพาะโดยรัฐชาติเท่านั้น แต่โดยองค์กรแรนซัมแวร์ที่มีความซับซ้อนและ “ธุรกิจอื่นๆ” ”

นอกจากนี้ ตัวเลือกต่างๆ เช่น แรนซัมแวร์เป็นบริการและความก้าวหน้าทางเทคโนโลยี เช่น ปัญญาประดิษฐ์ (AI) ช่วยให้เกือบทุกคนสามารถเข้าร่วมในประเภทของอาชญากรรมไซเบอร์ได้ แท้จริงแล้ว ทุกครั้งที่คุณได้ยิน Microsoft พูดถึง "นักพัฒนาที่เป็นพลเมือง" ฉันอยากให้คุณแทนที่คำว่า "แฮ็กเกอร์ที่เป็นพลเมือง" ”

แนวโน้มเหล่านี้ทำให้ความปลอดภัยของ AD มีความสำคัญมากขึ้นกว่าเดิม ด้วยการวิเคราะห์การโจมตีทางไซเบอร์ที่ส่งผลกระทบต่อองค์กรในปัจจุบัน เราสามารถค้นพบกลยุทธ์ที่สำคัญที่สุดสำหรับการสร้างกลยุทธ์ความปลอดภัย AD ที่มีประสิทธิภาพอย่างแท้จริง