4 การโจมตี Active Directory และวิธีการป้องกัน

ฉันได้พูดคุยกับวิศวกรด้านความปลอดภัย Active Directory ที่บริษัทเภสัชกรรมระดับโลกเมื่อเร็วๆ นี้ และฉันได้ถามคำถามที่คลาสสิกที่สุดในคู่มือการจัดการผลิตภัณฑ์กับเขา: “อะไรทำให้คุณนอนไม่หลับในตอนกลางคืน” ความคิดโบราณมาก (ฉันรู้) แต่บางครั้งแทนที่จะกลอกตา คุณจะได้อัญมณีที่แท้จริง ซึ่งเป็นสิ่งที่เกิดขึ้นจริงๆ

เขากล่าวว่า "เรามีการป้องกันที่ดีมากมายและบริหารเรือได้ค่อนข้างรัดกุม แต่สิ่งที่แย่ที่สุดที่ฉันคิดว่าอาจเกิดขึ้นได้คือมีคนขโมยไฟล์ข้อมูลของเรา" ฉันเคยได้ยินเกี่ยวกับเรื่องนี้มาก่อน หากผู้โจมตีสามารถรับสำเนาของไฟล์ NTDS.dit ของตัวควบคุมโดเมน (โดยพื้นฐานแล้วคือฐานข้อมูล Active Directory) พวกเขาสามารถทำให้มันออฟไลน์ ถอดรหัสรหัสผ่านของผู้ใช้ทุกคน และเข้าสู่ระบบโดยใช้ข้อมูลประจำตัวผู้ใช้ที่ถูกต้อง โดยไม่มีใครฉลาดกว่านั้น แต่ผู้โจมตีสามารถขโมยไฟล์นี้ได้อย่างไร? มันถูกล็อคเพราะมันมีการใช้งานอยู่เสมอ! คุณจะต้องถอดตัวควบคุมโดเมนออก ซึ่งบางคนจะสังเกตเห็นได้ชัดเจน คำถามเริ่มกองพะเนิน...

เรื่องสั้นสั้น ๆ บทสนทนาทำให้ฉันเดินไปตามเส้นทางที่น่าสนใจมาก ยิ่งฉันได้เรียนรู้เกี่ยวกับความลึกลับของ NTDS.dit มากเท่าไร ฉันก็ยิ่งได้พบกับวิธีที่ชาญฉลาดและมีเล่ห์เหลี่ยมอื่นๆ ที่ผู้โจมตีกำลังประนีประนอม AD เท่านั้น มันสมเหตุสมผลแล้ว ท้ายที่สุดแล้ว Active Directory ถือเป็นเป้าหมายสำคัญในการโจมตีใดๆ ก็ตาม เนื่องจากผู้ไม่หวังดีรู้ดีว่าการค้นหาและขโมยสิ่งที่พวกเขากำลังมองหานั้นสำคัญเพียงใด

ในบล็อกโพสต์นี้ ฉันจะไม่เพียงแค่แสดงรายการการโจมตี Active Directory สี่รายการที่คุณต้องรู้เท่านั้น ฉันจะอธิบายวิธีการทำงาน เทคนิคและเครื่องมือที่ผู้โจมตีจริงใช้เพื่อโจมตีเหล่านี้ และวิธีที่คุณสามารถป้องกันพวกเขาได้ นี่คือรายชื่อผู้เล่นตัวจริง:

โจมตี #1. การลาดตระเวนของ LDAP

เมื่อผู้โจมตีใช้การสืบค้น LDAP เพื่อรวบรวมข้อมูลเกี่ยวกับสภาพแวดล้อม Active Directory พวกเขากำลังดำเนินการลาดตระเวน LDAP เมื่อใช้วิธีการนี้ ผู้โจมตีอาจค้นพบผู้ใช้ กลุ่ม และคอมพิวเตอร์ ซึ่งสามารถช่วยค้นหาเป้าหมายและวางแผนขั้นตอนการโจมตีในอนาคตได้ เนื่องจากเทคนิคนี้ถูกใช้โดยผู้โจมตีที่แทรกซึมเข้าไปในบริษัทแล้ว จึงเป็นเทคนิคการลาดตระเวนภายใน (แทนที่จะเป็นภายนอก)

จะป้องกันได้อย่างไร?

เชื่อฉันเถอะ เป็นเรื่องยากมากที่จะป้องกันการลาดตระเวนโดเมน ข้อมูลส่วนใหญ่ใน Active Directory จะพร้อมใช้งานสำหรับบัญชีผู้ใช้โดเมนทั้งหมดตามค่าเริ่มต้น ดังนั้นจึงสามารถใช้บัญชีที่ถูกบุกรุกเพื่อทำการสอดแนมประเภทนี้ได้ การตรวจสอบการรับส่งข้อมูล LDAP และการตรวจจับคำค้นหาที่ผิดปกติเป็นแนวทางเชิงรุกที่สุดในการจัดการกับการลาดตระเวนโดเมน วิธีที่ดีที่สุดในการลดความเสี่ยงคือทำให้แน่ใจว่าสิ่งใดก็ตามที่ค้นพบจะไม่สามารถนำมาใช้กับคุณได้

โจมตี #2. การทำแผนที่ผู้ดูแลระบบท้องถิ่นโดยใช้ BloodHound

BloodHound เป็นเว็บแอปพลิเคชันที่ระบุและแสดงภาพเส้นทางการโจมตีในสภาพแวดล้อม Active Directory โดยจะระบุชุดขั้นตอนที่เร็วที่สุดจากบัญชี AD หรือเครื่องใดๆ ไปยังเป้าหมายที่ต้องการ เช่น การเป็นสมาชิกในกลุ่ม Domain Admins การตรวจสอบ AD ของคุณเป็นประจำโดยใช้ BloodHound อาจเป็นกลไกการป้องกันที่มีประสิทธิภาพซึ่งช่วยให้คุณมั่นใจได้ว่าการบุกรุกบัญชีหรือเครื่องจะไม่ทำให้ผู้โจมตีสามารถโจมตีโดเมนของคุณได้

ด้วยการใช้เครื่องมือสองชนิด ได้แก่ PowerSploit และ Inrigg-UserHunter BloodHoundt จะสร้างแผนที่ในขั้นแรกว่าคอมพิวเตอร์เครื่องใดที่ผู้ใช้สามารถเข้าถึงได้ โดยมุ่งเน้นไปที่กลุ่ม Local Administrators (Local Admin Mapping) ถัดไป จะระบุรายการเซสชันที่ใช้งานอยู่และผู้ใช้ที่เข้าสู่ระบบในเครื่องที่เข้าร่วมโดเมน

ข้อมูลนี้จัดเตรียมองค์ประกอบสำหรับแผนการโจมตี ตอนนี้ฝ่ายตรงข้ามรู้แล้วว่าใครสามารถเข้าถึงเครื่องใดได้บ้าง และข้อมูลรับรองผู้ใช้ใดที่สามารถขโมยจากหน่วยความจำได้ จากนั้น ก็แค่ถามคำถามที่ถูกต้องและแสดงภาพเส้นทางการโจมตี

จะป้องกันได้อย่างไร?

วิธีที่ง่ายที่สุดในการป้องกันการโจมตีประเภทนี้คือการตั้งค่าการควบคุมวิธีเข้าถึงเซิร์ฟเวอร์ แนวทางปฏิบัติที่ดีที่สุดของ Microsoft แนะนำให้ใช้โมเดลการดูแลระบบแบบแบ่งระดับสำหรับ Active Directory เพื่อควบคุมสิทธิ์การเข้าถึงอย่างเคร่งครัด ซึ่งสามารถลดเส้นทางการโจมตีใน Active Directory ให้เหลือน้อยที่สุด นอกจากนี้ การติดตามตรวจสอบความผิดปกติและกิจกรรมการเข้าสู่ระบบสามารถช่วยเปิดเผยความพยายามในการใช้ประโยชน์จากเส้นทางการโจมตีได้

โจมตี #3 ส่งแฮชกับ Mimikatz

เมื่อผู้โจมตีสร้างสถานะในเครือข่ายแล้ว เป้าหมายของพวกเขาคือการประนีประนอมระบบเพิ่มเติมและได้รับสิทธิพิเศษที่จำเป็นในการบรรลุภารกิจ Pass the Hash เป็นเทคนิคการขโมยข้อมูลประจำตัวและการเคลื่อนไหวด้านข้าง ซึ่งผู้โจมตีใช้โปรโตคอลการตรวจสอบสิทธิ์ NTLM ในทางที่ผิดเพื่อปลอมตัวเป็นผู้ใช้ โดยไม่ได้รับรหัสผ่านข้อความธรรมดาของบัญชีเลย Mimikatz เป็นเครื่องมือที่ทำให้การโจมตี Pass the Hash ง่ายขึ้นมาก

จะป้องกันได้อย่างไร?

คุณควรใช้ข้อจำกัดการเข้าสู่ระบบเพื่อให้แน่ใจว่าแฮชของบัญชีสิทธิพิเศษของคุณจะไม่ถูกจัดเก็บไว้ในตำแหน่งที่สามารถแยกออกมาได้ นอกจากนี้ ให้พิจารณาเปิดใช้งานการป้องกัน LSA โดยใช้ประโยชน์จากกลุ่มความปลอดภัยของผู้ใช้ที่ได้รับการป้องกัน และใช้โหมดผู้ดูแลระบบแบบจำกัดสำหรับเดสก์ท็อประยะไกล

โจมตี #4 การสกัด NTDS.dit

ข้อมูล Active Directory ทั้งหมดจะถูกจัดเก็บไว้ในไฟล์ ntds.dit (“the dit”) บนตัวควบคุมโดเมนแต่ละตัว (ตามค่าเริ่มต้นใน C:WindowsNTDS) ในการเข้าถึงไฟล์ ntds.dit บนตัวควบคุมโดเมน ฝ่ายตรงข้ามจะต้องได้รับสิทธิ์การเข้าถึง Active Directory ของผู้ดูแลระบบก่อน อีกทางหนึ่ง ผู้ไม่หวังดีสามารถคัดลอก ntds.dit จากการสำรองข้อมูลโดยกระทบต่อโซลูชันการสำรองข้อมูลขององค์กร

จะป้องกันได้อย่างไร?

เพื่อลดความเสี่ยงที่ฝ่ายตรงข้ามจะแยกไฟล์ ntds.dit ของคุณ ให้ปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดเหล่านี้:

• ทำความสะอาด Active Directory รวมถึงนโยบายกลุ่ม
• ลดจำนวนบัญชีที่สามารถเข้าสู่ระบบตัวควบคุมโดเมนให้เหลือน้อยที่สุด
• ปฏิบัติตามหลักการคลีนซอร์สสำหรับตัวควบคุมโดเมน: โครงสร้างพื้นฐานทั้งหมด (เช่น ESX และที่เก็บข้อมูลที่เชื่อมต่อ) และแอปพลิเคชัน (เช่น โปรแกรมสำรองข้อมูล) ที่ตัวควบคุมโดเมนบริการต้องมีระดับความปลอดภัยเดียวกันกับตัวควบคุมโดเมนเอง
• รักษาความปลอดภัยทางกายภาพสำหรับเครื่องตัวควบคุมโดเมน หากไม่สามารถรับประกันได้ ให้ลองใช้ตัวควบคุมโดเมนแบบอ่านอย่างเดียว
• ไม่อนุญาตให้ผู้ใช้มีสิทธิ์ผู้ดูแลระบบข้ามขอบเขตความปลอดภัย

Netwrix ช่วยได้อย่างไร?

รักษาความปลอดภัย Active Directory ของคุณตั้งแต่ต้นจนจบด้วยโซลูชันรักษาความปลอดภัย Netwrix Active Directory มันจะช่วยให้คุณ:

• เปิดเผยความเสี่ยงด้านความปลอดภัยใน Active Directory และจัดลำดับความสำคัญของความพยายามในการบรรเทาผลกระทบของคุณ
• เสริมความแข็งแกร่งให้กับการกำหนดค่าความปลอดภัยในโครงสร้างพื้นฐานด้านไอทีของคุณ
• ตรวจจับและสกัดกั้นแม้แต่ภัยคุกคามขั้นสูงในทันที เช่น DCSync , การสกัด NTDS.dit และการโจมตี Golden Ticket
• ตอบสนองต่อภัยคุกคามที่ทราบได้ทันทีด้วยตัวเลือกการตอบสนองอัตโนมัติ
• ลดการหยุดชะงักทางธุรกิจด้วยการกู้คืน Active Directory ที่รวดเร็ว

คำถามที่พบบ่อย

วิธีทั่วไปในการโจมตี Active Directory คืออะไร

ผู้โจมตีส่วนใหญ่สามารถเข้าถึง Active Directory โดยลดทอนข้อมูลประจำตัวของผู้ใช้ จากนั้นจึงใช้เทคนิคการยกระดับสิทธิ์เพื่อเข้าถึงเพิ่มเติม การโจมตีทั่วไป ได้แก่:

• ผ่านแฮช
• ผ่านตั๋ว
• การพ่นรหัสผ่าน
• ตั๋วทอง
• ดีซีชาโดว์

อ่านเพิ่มเติมเกี่ยวกับการโจมตี AD ในแคตตาล็อกการโจมตีของ Netwrix

เครื่องมือใดที่สามารถใช้ในการประนีประนอม AD

เครื่องมือยอดนิยม ได้แก่ :

• มิมิคัทซ์
• พาวเวอร์สปลอยท์
• บลัดฮาวด์
• ดาวมรณะ