เส้นทางการโจมตีใน Active Directory: สิ่งที่คุณควรรู้

เส้นทางการโจมตีอยู่ในระดับแนวหน้าของการอภิปรายเรื่องความปลอดภัยทางไซเบอร์ในปัจจุบัน แต่เส้นทางการโจมตีคืออะไรกันแน่? เหตุใด Active Directory (AD) จึงมีความเสี่ยงเป็นพิเศษ และคุณสามารถทำอะไรได้บ้างเพื่อปกป้ององค์กรของคุณ? โพสต์ในบล็อกนี้ครอบคลุมคำถามเหล่านี้ทั้งหมดและอื่นๆ อีกมากมาย

เส้นทางการโจมตีคืออะไร?

วิธีที่ดีที่สุดในการทำความเข้าใจว่าเส้นทางการโจมตีคืออะไรเกี่ยวข้องกับการทำความเข้าใจว่าเส้นทางการโจมตีคืออะไร ผู้เชี่ยวชาญด้านไอทีคุ้นเคยกับแนวทางปฏิบัติที่ดีที่สุดสองประการที่สำคัญในการรักษาความปลอดภัย Active Directory: การแพตช์และการจัดการช่องโหว่ การแพตช์คือกระบวนการใช้การอัปเดตเพื่อแก้ไขช่องโหว่ตามโค้ดที่ผู้ไม่หวังดีอาจโจมตีได้ เช่น ข้อบกพร่องในระบบปฏิบัติการ Microsoft Windows Server การจัดการช่องโหว่เพิ่มการรักษาความปลอดภัยอีกชั้นหนึ่งโดยการระบุและแก้ไขการกำหนดค่าที่ไม่ถูกต้องใน Active Directory ที่ผู้ไม่หวังดีอาจหาประโยชน์ได้ เช่น อนุญาตให้พวกเขาพยายามคาดเดารหัสผ่านของผู้ใช้ได้อย่างไม่จำกัด

เส้นทางการโจมตีไม่ใช่ช่องโหว่ที่เกิดจากโค้ดหรือการกำหนดค่าผิดพลาดเพียงครั้งเดียว เส้นทางการโจมตีคือ ลูกโซ่ ของสิทธิ์การใช้งานและการดำเนินการที่ไม่เหมาะสม ซึ่งอาจทำให้ผู้โจมตีที่บุกรุกบัญชีผู้ใช้ได้รับสิทธิ์ผู้ดูแลระบบ หรือแม้แต่การควบคุมสภาพแวดล้อมด้านไอทีโดยสมบูรณ์

เหตุใด Active Directory จึงมีความเสี่ยงเป็นพิเศษ

เส้นทางการโจมตีเป็นปัญหาสำหรับระบบการจัดการข้อมูลประจำตัวและการเข้าถึง (IAM) เนื่องจากการควบคุมแพลตฟอร์มข้อมูลประจำตัวทำให้ฝ่ายตรงข้ามสามารถควบคุมผู้ใช้ ระบบ และข้อมูลทั้งหมดขององค์กรได้อย่างเต็มที่

แต่ปัญหานั้นรุนแรงที่สุดสำหรับ Active Directory ด้วยเหตุผลหลายประการ ประการแรก Active Directory เป็นบริการไดเรกทอรีที่ใช้กันอย่างแพร่หลายที่สุด มีรายงานอย่างกว้างขวางว่า 95 เปอร์เซ็นต์ของบริษัทใน Fortune 1000 ใช้ Active Directory ดังนั้นฝ่ายตรงข้ามที่มุ่งเน้นในการทำความเข้าใจและใช้ประโยชน์จากเส้นทางการโจมตีใน Active Directory จึงมีเป้าหมายจำนวนมากให้เลือก นอกจากนี้ พวกเขายังมีเครื่องมือมากมายให้เลือกใช้งาน รวมถึง BloodHound, Mimikatz และ Responder ที่ได้รับการออกแบบมาโดยเฉพาะเพื่อใช้ฟีเจอร์ของ Active Directory และ Windows ในทางที่ผิด

อีกปัจจัยหนึ่งที่ทำให้ Active Directory เสี่ยงต่อการมีเส้นทางการโจมตีคือความซับซ้อนและขาดความโปร่งใส ผู้ดูแลระบบ AD มีตัวเลือกมากมายในการให้สิทธิ์แก่บัญชี รวมถึงทั้งโดยตรงและผ่านกลุ่มความปลอดภัยของ Active Directory และนโยบายกลุ่มเสนอการตั้งค่าหลายพันรายการที่ส่งผลต่อการควบคุมการเข้าถึงด้วย ในเวลาเดียวกัน แทบจะเป็นไปไม่ได้เลยที่จะตรวจสอบสิทธิ์อย่างแม่นยำเพื่อพิจารณาว่าใครมีสิทธิ์ในออบเจ็กต์ AD เฉพาะหรือสิทธิ์ที่มีผลบังคับใช้ใดบ้างที่มอบให้กับกลุ่มความปลอดภัย

ในทำนองเดียวกัน การจัดการสิทธิ์ให้กับวัตถุนโยบายกลุ่ม (GPO) อย่างเหมาะสมอาจเป็นเรื่องยาก คุณต้องพิจารณาไม่เพียงแต่สิทธิ์ของ GPO เท่านั้น แต่ยังรวมไปถึงกลุ่ม Group Policy Creator Owners, โฟลเดอร์ System/Policies ใน AD, โฟลเดอร์ sysvol บนตัวควบคุมโดเมน (DCs) และแอตทริบิวต์ gpLink และ gpOptions บนรูทโดเมนและองค์กร หน่วย (OU) นอกจากนี้ การค้นพบและเอาชนะปัญหาต่างๆ เช่น การบล็อกการสืบทอด ลำดับความสำคัญของลิงก์ที่ไม่เหมาะสม และความล้มเหลวในการวางคอมพิวเตอร์ใน OU ที่ถูกต้องถือเป็นความท้าทายอย่างแท้จริง

ในที่สุดก็ถึงเวลาที่ไม่มีวันสิ้นสุด Active Directory มีมานานกว่าสองทศวรรษแล้ว ซึ่งองค์กรหลายแห่งมีเวลาเหลือเฟือในการสร้างหนี้ทางเทคนิคจำนวนมากในรูปแบบของนโยบายที่ซับซ้อน สิทธิพิเศษที่ฝังลึก และอื่นๆ อีกมากมาย ปัจจัยเหล่านี้ร่วมกันทำให้เส้นทางการโจมตีแทบจะหลีกเลี่ยงไม่ได้ในสภาพแวดล้อม Active Directory และข้อกังวลด้านความปลอดภัยทางไซเบอร์ที่เร่งด่วนมาก

ห้าขั้นตอนของการโจมตีทางไซเบอร์

ดังที่เราได้เห็นแล้วว่าเส้นทางการโจมตีช่วยให้ผู้โจมตีสามารถควบคุม Active Directory ได้ และการควบคุม AD ช่วยให้พวกเขาบรรลุเป้าหมายที่แท้จริงได้ เช่น ขโมยข้อมูล ปล่อยแรนซัมแวร์ ทำให้ระบบหยุดทำงาน และอื่นๆ

โดยทั่วไปกระบวนการนี้ต้องใช้เวลา แท้จริงแล้ว เวลาพักเฉลี่ยของผู้บุกรุกในระบบนิเวศไอทีปัจจุบันอยู่ที่ 287 วันหรือมากกว่า 9 เดือน เพื่อทำความเข้าใจว่าทั้งหมดนี้ทำงานอย่างไร เรามาทบทวนห้าขั้นตอนของการโจมตีทางไซเบอร์กันดีกว่า

1. การลาดตระเวน

ฝ่ายตรงข้ามเริ่มต้นด้วยการระบุองค์กรเป้าหมายและรวบรวมข้อมูลเกี่ยวกับพวกเขา จุดเน้นหลัก ได้แก่ ข้อมูลอันมีค่าที่พวกเขาอาจขโมยได้ ผลตอบแทนมหาศาลที่พวกเขาจะได้รับจากการโจมตีของแรนซัมแวร์ และความยากลำบากในภารกิจนี้ การลาดตระเวนอาจเป็นเฉยๆ ซึ่งเกี่ยวข้องกับการใช้แหล่งข้อมูลสาธารณะ เช่น บันทึกภาษี ประกาศรับสมัครงาน และโซเชียลมีเดีย เพื่อค้นหาว่าองค์กรใช้ระบบและแอปพลิเคชันใดบ้าง ชื่อของพนักงาน และอื่นๆ การลาดตระเวนยังเกี่ยวข้องกับเทคนิค ที่ใช้งานอยู่ เช่น การสแกนเครือข่ายและพอร์ต เพื่อทำความเข้าใจสถาปัตยกรรมเครือข่าย ไฟร์วอลล์ และโปรแกรมตรวจจับการบุกรุก ระบบปฏิบัติการและแอปพลิเคชัน และบริการที่โฮสต์บนพอร์ตขององค์กรเป้าหมาย

2. การวางแผน

ถัดไป ผู้โจมตีจะกำหนดเวกเตอร์การโจมตีที่จะใช้สำหรับการแทรกซึม ตัวอย่าง ได้แก่ การใช้ประโยชน์จากช่องโหว่แบบ Zero-day การเปิดตัวแคมเปญฟิชชิ่ง หรือการติดสินบนพนักงานเพื่อให้ข้อมูลประจำตัวหรือปรับใช้มัลแวร์

3. การบุกรุก

จากนั้นฝ่ายตรงข้ามจะใช้เวกเตอร์การโจมตีที่เลือกเพื่อพยายามเจาะขอบเขตเครือข่ายขององค์กร ตัวอย่างเช่น ฝ่ายตรงข้ามอาจประสบความสำเร็จในการคาดเดา ID ผู้ใช้และรหัสผ่านของพนักงาน เข้าถึงผ่านระบบที่ไม่ได้รับการติดตั้งหรือกำหนดค่าไม่ถูกต้อง หรือหลอกให้พนักงานปล่อยมัลแวร์ที่ซ่อนอยู่ในไฟล์แนบที่เป็นอันตรายไปยังอีเมลฟิชชิ่ง

4. การเคลื่อนไหวด้านข้างและการยกระดับสิทธิ์

เมื่ออยู่ภายในเครือข่าย ฝ่ายตรงข้ามจะพยายามขยายสิทธิ์และประนีประนอมระบบเพิ่มเติมเพื่อค้นหาข้อมูลที่ละเอียดอ่อนหรือเข้าถึงทรัพยากรที่สำคัญอื่นๆ พวกเขายังต้องการรักษาการเข้าถึงไว้ด้วย เพื่อให้บรรลุถึงความคงอยู่นี้ พวกเขาอาจสร้างบัญชีผู้ใช้ใหม่ แก้ไขการตั้งค่า หรือแม้แต่ติดตั้งแบ็คดอร์

นี่คือจุดที่เส้นทางการโจมตีเข้ามามีบทบาท ด้วยการใช้ประโยชน์จากเส้นทางการโจมตี ฝ่ายตรงข้ามสามารถเพิ่มสิทธิ์ของตนจากผู้ใช้ทั่วไปเป็นผู้ดูแลระบบ และแม้แต่ผู้ดูแลระบบโดเมน ซึ่งให้อำนาจอย่างไม่จำกัดในโดเมน

ยิ่งไปกว่านั้น ด้วยการประนีประนอมบัญชีผู้ใช้และผู้ดูแลระบบที่ได้รับอนุญาต ฝ่ายตรงข้ามสามารถทำให้กิจกรรมของพวกเขาตรวจพบได้ยาก และเมื่อพวกเขาอ้างสิทธิ์เพียงพอแล้ว พวกเขาสามารถหลบเลี่ยงการตรวจจับเพิ่มเติมได้โดยการทำให้ระบบรายงานอันเป็นเท็จว่าทุกอย่างทำงานได้ตามปกติ

5. การกรองและการล้างข้อมูล

สุดท้าย ฝ่ายตรงข้ามจะลักลอบหรือเข้ารหัสข้อมูลขององค์กร หรืออาจทำให้ระบบเสียหายเพื่อขัดขวางการดำเนินธุรกิจ นอกจากนี้ พวกเขามักจะพยายามปกปิดเส้นทางของตนเพื่อขัดขวางการสืบสวนและป้องกันไม่ให้องค์กรเพิ่มการป้องกันจากการโจมตีในอนาคต เทคนิคต่างๆ ได้แก่ การถอนการติดตั้งโปรแกรมหรือสคริปต์ที่ใช้ในการโจมตี การลบโฟลเดอร์หรือบัญชีใดๆ ที่พวกเขาสร้างขึ้น และการแก้ไข ทำลายหรือลบบันทึกการตรวจสอบ

เส้นทางการโจมตีทั่วไปมีอะไรบ้าง?

เส้นทางการโจมตีมักเกี่ยวข้องกับการผสมผสานระหว่างสิทธิ์ที่ปกปิด สมาชิกกลุ่มที่ซ้อนกัน และช่องว่างด้านความปลอดภัยในสถาปัตยกรรม AD ลองดูตัวอย่างบางส่วน

ตัวอย่างที่ 1

ขั้นแรก สมมติว่าผู้โจมตีประนีประนอมข้อมูลประจำตัวสำหรับบัญชีของผู้ใช้ Alex นั่นทำให้ผู้โจมตีได้รับสิทธิพิเศษทั้งหมดที่มอบหมายให้กับ Alex ไม่ว่าจะผ่านการมอบหมายสิทธิ์โดยตรง การเป็นสมาชิกกลุ่มโดยตรง หรือการเป็นสมาชิกกลุ่มที่ซ้อนกัน ในกรณีนี้ บัญชี Alex เป็นสมาชิกของกลุ่ม HelpDesk ซึ่งจะเป็นสมาชิกของกลุ่มผู้ดูแลระบบเวิร์กสเตชัน ดังที่แสดงไว้ที่นี่:

การซ้อนกลุ่มความปลอดภัยดังกล่าวเป็นเรื่องปกติ และอาจทำให้บัญชีผู้ใช้ทั่วไปได้รับสิทธิพิเศษมากกว่าที่ควรจะเป็น และมากกว่าที่ใครๆ ก็ตระหนักดี ในกรณีนี้ กลุ่มผู้ดูแลระบบเวิร์กสเตชันมีสิทธิ์ผู้ดูแลระบบภายในเครื่องสำหรับเครื่อง PCI-Server-01 ซึ่งมีเซสชันการเข้าสู่ระบบจากบัญชีบริการ AD, SVC_PRDRMV:

ไม่ใช่เรื่องเล็กน้อยที่ฝ่ายตรงข้ามจะใช้โมเดลโทเค็น Windows ในทางที่ผิดและเก็บเกี่ยวข้อมูลรับรองของบัญชีบริการนี้ — ซึ่งให้สิทธิ์เพิ่มสมาชิกในกลุ่มผู้ดูแลระบบโดเมน เมื่อพวกเขาเพิ่มบัญชีของตนในกลุ่มนั้น ผู้โจมตีได้ใช้ประโยชน์จากเส้นทางการโจมตีเรียบร้อยแล้ว และตอนนี้พวกเขาสามารถควบคุม Active Directory ได้อย่างสมบูรณ์

ตัวอย่างที่ 2

มีการแชร์ตัวอย่างเพิ่มเติมในเว็บคาสต์ตามความต้องการ GPO ที่ไม่ปลอดภัยสร้างเส้นทางการโจมตีจริงใน AD ได้อย่างไร คุณควรดูเว็บคาสต์เพื่อดูคำอธิบายทั้งหมดว่า GPO สามารถมีบทบาทในเส้นทางการโจมตีได้อย่างไร แต่ต่อไปนี้เป็นคำอธิบายโดยย่อของเส้นทางการโจมตีเส้นทางเดียว: พิจารณาบัญชีผู้ใช้ที่ได้รับมอบหมายสิทธิ์ในการแก้ไข GPO ผู้โจมตีมีเส้นทางการโจมตีเพื่อควบคุมโดเมน AD ด้วยการประนีประนอมข้อมูลประจำตัวของผู้ใช้รายนั้น การปรับเปลี่ยน GPO อาจทำให้บัญชีผู้ใช้อื่นเรียกใช้สคริปต์ PowerShell ที่เป็นอันตรายในครั้งถัดไปที่เข้าสู่ระบบ สคริปต์จะให้ผู้โจมตีควบคุมบัญชีนั้น — ซึ่งมีสิทธิ์ทั่วไปในกลุ่มผู้ดูแลระบบโดเมน ผลก็คือ ผู้โจมตีสามารถเพิ่มบัญชีใดๆ ก็ตามที่ต้องการลงใน Domain Admins ได้ ซึ่งก็จบเกมแล้ว: พวกเขาสามารถควบคุม Active Directory ได้

วิธีค้นหาและปิดเส้นทางการโจมตี: การจัดการเส้นทางการโจมตี

โปรดสังเกตว่าไม่มีระบบที่ไม่ได้รับการติดตั้งหรือการกำหนดค่าผิดพลาดอย่างง่ายที่จะพบในตัวอย่างข้างต้นอย่างใดอย่างหนึ่ง ดังนั้น ทั้งการจัดการแพตช์หรือการจัดการช่องโหว่ไม่สามารถบล็อกการโจมตีได้ และเมื่อโซลูชันการจัดการภัยคุกคามตรวจพบการโจมตี ฝ่ายตรงข้ามก็จะเป็นผู้ดูแลระบบโดเมน

เพื่อความปลอดภัย Active Directory ที่แข็งแกร่ง จำเป็นต้องมีการจัดการเส้นทางการโจมตี แทนที่จะดูช่องโหว่หรือข้อผิดพลาดในการกำหนดค่าแบบแยกส่วน การจัดการเส้นทางการโจมตีจะวิเคราะห์ความสัมพันธ์ระหว่างออบเจ็กต์ใน Active Directory และสิทธิ์ที่ซับซ้อนที่ใช้ระหว่างอ็อบเจ็กต์เหล่านั้น เพื่อระบุลำดับของขั้นตอนที่ฝ่ายตรงข้ามสามารถทำได้จากการประนีประนอม บัญชีผู้ใช้ทั่วไปเพื่อควบคุมทรัพย์สินที่สำคัญหรือแม้แต่ Active Directory เอง

แน่นอนว่าการระบุเส้นทางการโจมตีเพียงอย่างเดียวนั้นไม่เพียงพอ คุณยังต้องการที่จะสามารถแก้ไขพวกเขาเพื่อป้องกันไม่ให้ฝ่ายตรงข้ามเข้ามายึดครองโฆษณาของคุณ แต่ในความเป็นจริงแล้ว ในองค์กรส่วนใหญ่ มีเส้นทางการโจมตีนับพันหรือหลายล้านเส้นทาง การบล็อกทีละรายการนั้นเป็นไปไม่ได้ แต่คุณจำเป็นต้องมีเครื่องมือการจัดการเส้นทางการโจมตีที่จะระบุจุดควบคุมที่เส้นทางการโจมตีหลายเส้นทางใช้ร่วมกัน จุดควบคุมคือส่วนสุดท้ายในห่วงโซ่ของเหตุการณ์สำหรับเส้นทางการโจมตีหลายเส้นทาง ด้วยการแก้ไขจุดติดขัด คุณจะกำจัดเส้นทางการโจมตีทั้งหมดที่ต้องพึ่งพาจุดนั้น

ตัวอย่างเช่น สมมติว่า 92 เปอร์เซ็นต์ของบัญชีผู้ใช้ของคุณสามารถใช้เพื่อโจมตีเส้นทางการโจมตีหนึ่งเส้นทางในทางที่ผิดได้ 21 เปอร์เซ็นต์สามารถใช้เป็นจุดเริ่มต้นที่เป็นไปได้สำหรับอีกเส้นทางหนึ่ง และ 57 เปอร์เซ็นต์สามารถใช้เพื่อเปิดตัวเส้นทางที่สามได้ (รวมทั้งหมดมากกว่า 100 เปอร์เซ็นต์) เพราะบัญชีใดบัญชีหนึ่งอาจเป็นก้าวแรกในการโจมตีหลายเส้นทาง) การแก้ไขจุดปิดกั้นสำหรับเส้นทางการโจมตีแรกจะเป็นการกำจัดเส้นทางการโจมตีผ่านบัญชีผู้ใช้ทั้งหมดที่อยู่ด้านล่าง ซึ่งสามารถลดพื้นที่ผิวการโจมตีของคุณได้อย่างมาก

องค์ประกอบที่สำคัญอีกประการหนึ่ง: การติดตามเส้นทางการโจมตี

แม้ว่าการแก้ไขจุดติดขัดจะเป็นทางออกที่ดีสำหรับปัญหาเส้นทางการโจมตี แต่การทำเช่นนั้นทันทีอาจใช้ไม่ได้ผลเสมอไป ความจริงก็คือ องค์กรหลายแห่งไม่สามารถจัดการปัญหาที่ขัดขวางทั้งหมดได้อย่างรวดเร็ว เนื่องจากมีหนี้ทางเทคนิคมากมายใน Active Directory ความสัมพันธ์ระหว่างออบเจ็กต์ใน Active Directory และการอนุญาตที่ใช้ระหว่างอ็อบเจ็กต์นั้นซับซ้อนมากจนทำให้การเปลี่ยนแปลงมีความเสี่ยงที่จะทำลายสิ่งต่าง ๆ เช่น แอปพลิเคชันที่สำคัญที่ต้องอาศัยสิทธิ์เฉพาะ

ดังนั้น จึงจำเป็นอย่างยิ่งที่จะต้องรวมการระบุเส้นทางการโจมตีเข้ากับการติดตามเส้นทางการโจมตี — เฝ้าดูอย่างต่อเนื่องเพื่อดูว่าเส้นทางการโจมตีใด ๆ ถูกนำมาใช้ประโยชน์จริงหรือไม่ เพื่อให้คุณสามารถดำเนินการได้ทันที แทนที่จะปล่อยให้ผู้บุกรุกใช้เวลาแฝงตัวนาน ๆ เพื่อเดินหน้าไปตามเส้นทางการโจมตีไปยัง ทรัพย์สินไอทีที่สำคัญของคุณ โดยเฉพาะอย่างยิ่ง ให้มองหาโซลูชันการจัดการการเปลี่ยนแปลงและการติดตามภัยคุกคามแบบเรียลไทม์ที่จะ:

• ตรวจสอบ Active Directory แบบเรียลไทม์สำหรับการโจมตีที่ใช้งานอยู่และตัวบ่งชี้การบุกรุก (IOC) เช่น ความพยายามในการกรองฐานข้อมูล AD, การใช้ประโยชน์จาก Golden Ticket และการโจมตี DCSync
• บล็อกผู้โจมตีจากการใช้ประโยชน์จากเวกเตอร์การโจมตีโดยป้องกันการเปลี่ยนแปลงและการเข้าถึงทรัพย์สินที่สำคัญ เช่น กลุ่มที่ได้รับสิทธิ์ GPO และไฟล์ NTDS.dit
• ตรวจสอบการเปลี่ยนแปลงด้านความปลอดภัยทั่วทั้งสภาพแวดล้อม Active Directory และ Azure AD ของคุณ

บทสรุป

สิ่งสำคัญคือต้องจำไว้ว่าการจัดการเส้นทางการโจมตีไม่ใช่งาน "ครั้งเดียวและเสร็จสิ้น" สภาพแวดล้อมการประมวลผลสมัยใหม่มีความซับซ้อนและมีไดนามิกสูง โดยมีการเปลี่ยนแปลงบัญชี สิทธิ์ แอปพลิเคชัน และ GPO อย่างต่อเนื่อง เป็นผลให้เส้นทางการโจมตีใหม่ๆ เกิดขึ้นตลอดเวลา ดังนั้นคุณจึงต้องมองหาพวกเขาอย่างสม่ำเสมอ และดำเนินการแก้ไขทันทีหรืออย่างน้อยก็ติดตามพวกเขา