7 ключови индикатора на риска за Active Directory на информационната панела на Varonis

Всичко, от което има нужда злонамеренецът, е време и мотивация, за да проникне във вашата мрежа. Но нашата работа е да не му позволим да го направи или поне да усложним максимално задачата. Трябва да започнем с определяне на слабите места в Active Directory (наричано по-нататък AD), които злонамеренецът може да използва, за да получи достъп и да се прехвърли в мрежата, оставайки незабелязан. Днес в статията ще разгледаме индикаторите за риск, които отразяват съществуващите уязвимости в киберсигурността на вашата организация, на примера на таблото за управление на AD Varonis.

Злонамеренците използват определени конфигурации в домейна

Злонамеренците използват множество хитри трикове и уязвимости, за да проникнат в корпоративната мрежа и да повишат привилегиите си. Някои от тези уязвимости са параметри на конфигурацията на домейна, които могат лесно да се променят след откритие.

Таблото за управление на AD незабавно ще ви сигнализира, ако вие (или вашите системни администратори) не сте променили паролата на KRBTGT през последния месец, или ако някой се е удостоверил с вградения акаунт на администратора по подразбиране (Administrator). Тези два акаунта предоставят неограничен достъп до вашата мрежа: злонамеренците ще се опитват да получат достъп до тях, за да заобиколят всякакви ограничения на привилегиите и разрешенията за достъп. И, в резултат — да получат достъп до всякакви данни, които ги интересуват.

Разбира се, можете да откриете тези уязвимости сами: например, да зададете напомняне в календара, за да проверите или да стартирате PowerShell скрипт, за да съберете тази информация.

Таблото за управление на Varonis се обновява автоматично , за да осигури бърз преглед и анализ на ключовите показатели, които подчертават потенциалните уязвимости, за да можете незабавно да предприемете действия за тяхното отстраняване.

3 ключови индикатора за риск на ниво домейн

По-долу е изброен набор от джаджи, налични на таблото за управление на Varonis, използването на които съществено ще укрепи защитата на корпоративната мрежа и ИТ инфраструктурата като цяло.

1. Брой домейни, за които паролата на акаунта Kerberos не е променяна значително време

Акаунтът KRBTGT е специален акаунт в AD, който подписва всички Kerberos-квитанции . Хакерите, получили достъп до контролера на домейна (DC), могат да използват този акаунт, за да създадат Златен билет, който ще им предостави неограничен достъп до почти всяка система в корпоративната мрежа. Срещали сме ситуации, в които след успешно получаване на Златен билет, хакерът е имал достъп до мрежата на организацията в продължение на две години. Ако паролата на акаунта KRBTGT във вашата компания не е била променяна през последните четиридесет дни, виджетът ще ви извести за това.

Четиридесет дни – е повече от достатъчен срок за хакер, за да получи достъп до мрежата. Въпреки това, ако осигурите и стандартизирате процеса на редовна смяна на тази парола, ще затрудните сериозно хакера при проникването в корпоративната мрежа.

Помнете, че съгласно реализацията на протокола Kerberos от компания Microsoft, трябва да промените паролата два пъти на KRBTGT.

В по-късно време, този AD-виджет ще ви напомня, когато дойде време отново да промените паролата KRBTGT за всички домейни в мрежата ви.

2. Броят на домейните, в които наскоро е използвана вградена администраторска сметка (Administrator)

Според принципа на най-малките права – на системните администратори се предоставят две акаунта: първият е за ежедневна употреба, а вторият – за планирани административни задачи. Това означава, че никой не трябва да използва акаунта на администратора по подразбиране.

Вградената администраторска сметка често се използва, за да се опрости процеса на системното администриране. Това може да се превърне в лоша практика, резултат от която ще бъде хакване. Ако във вашата организация това се случва, ще ви бъде трудно да различите правилното използване на този акаунт от потенциално злонамерен достъп.

Ако виджетът показва нещо различно от нула, значи някой неправилно управлява административните акаунти. В такъв случай е необходимо да се предприемат мерки за корекция и ограничаване на достъпа до вградената администраторска сметка.
След като постигнете нулева стойност на уиджета и системните администратори вече не използват този акаунт за работата си, всяко его изменение в бъдеще ще сочи към потенциална кибератака.

3. Брой на домейни, в които липсва група защита на потребителите (Protected Users)

Старите версии на AD поддържаха слаб тип криптиране — RC4. Хакерите успешно пробиваха RC4 от много години, а в момента за злосторника е изключително просто да пробие акаунт, който все още използва RC4. В версията на Active Directory, представена в Windows Server 2012, се появи нов тип група потребители, наречена Група защитени потребители (Protected Users). Тя предлага допълнителни инструменти за защита и предотвратява удостоверяването на потребители с използване на криптиране RC4.

Този уиджет ще демонстрира, ако в който и да е домейн на организацията липсва такава група, за да можете да поправите това, т.е. да включите групата на защитените потребители и да я използвате за защита на инфраструктурата.

Лесни цели за нападателите

Потребителските акаунти са номер едно цел за злосторниците – от първоначалните опити за проникване до продължаващата ескалация на привилегиите и прикриването на действията си. Злосторниците търсят лесни цели във вашата мрежа, използвайки базови команди на PowerShell, които често е трудно да бъдат открити. Премахнете от AD колкото се може повече от тези лесни цели.

Злосторниците търсят потребители с неограничен срок на действие на паролите (или без задължителни пароли), технологични акаунти, които са администратори, и акаунти, които използват старо криптиране RC4.

Всяка от тези акаунти е или лесна за достъп, или по принцип не е под наблюдение. Злосторниците могат да завладеят тези акаунти и безпрепятствено да се придвижват из вашата инфраструктура.

След като злосторниците проникнат през периметъра на сигурността, те вероятно ще получат достъп до поне един акаунт. Ще можете ли да предотвратите достъпа им до конфиденциални данни, преди да откриете и ликвидиране на атаката?

Контролният панел Varonis AD ще посочи уязвимите потребителски акаунти, така че да можете да отстраните проблемите предварително. Колкото по-трудно е да проникнете в мрежата си, толкова по-големи са шансовете ви да неутрализирате атакуващия преди да нанесе сериозни щети.

4 ключови индикатора за риск за потребителските акаунти

По-долу са примери за виджетите на контролния панел Varonis AD, които показват най-уязвимите потребителски акаунти.

1. Брой активни потребители с пароли, чиято валидност никога не изтича

За всеки злонамерен атакувач достъпът до такъв акаунт винаги е голяма победа. Тъй като срокът на паролата никога не изтича, атакувачът получава постоянна база в мрежата, която може да се използва за повишаване на привилегиите или за раздвижване в инфраструктурата.
Злонамерените лица имат списъци с милиони комбинации „потребител-парола“, които използват в атаки с подмяна на идентификационни данни, а вероятността,
че комбинацията за потребител с „вечна“ парола е в един от тези списъци, е много по-голяма от нула.

Акаунтите с неистекащи пароли са удобни за управление, но не са безопасни. Използвайте този виджет, за да намерите всички акаунти с такива пароли. Променете тази настройка и актуализирайте паролата.

Веднага щом стойността на този виджет стане нула, всички новосъздадени акаунти с такава парола ще се появят на контролния панел.

2. Брой административни акаунти с SPN

SPN (Service Principal Name) е уникален идентификатор на инстанция на услуга. Този виджет показва колко сервисни акаунти имат пълни административни права. Стойността на виджета трябва да бъде нула. SPN с административни права възниква, тъй като предоставянето на такива права е удобно за доставчиците на софтуер и администраторите на приложения, но представлява заплаха за сигурността.

Предоставянето на сервизна акаунтска привилегия на администратор позволява на нападателя да получи пълен достъп до неактивна акаунтска регистрация. Това означава, че нахалниците с достъп до SPN акаунти могат спокойно да оперират в рамките на инфраструктурата и да избегнат мониторинга на действията си.

Тази проблема може да се реши, като се променят разрешенията за сервизни акаунти. Тези акаунти трябва да се подчиняват на принципа на най-малките привилегии и да имат само достъпа, който е необходим за тяхната работа.

С помощта на този виджет можете да откриете всички SPN с администраторски права, да премахнете тези привилегии и впоследствие да контролирате SPN на същия принцип на достъп с най-малките привилегии.

Ново появяващите се SPN ще бъдат показвани на контролния панел, и ще можете да контролирате този процес.

3. Броят на потребителите, на които не е необходима предварителна проверка на автентичността с Kerberos

В идеалния случай Kerberos шифрова билетите за автентичност с AES-256 шифроване, което до момента остава несъкрушимо.

Въпреки това, по-старите версии на Kerberos използваха RC4 шифроване, което сега може да бъде счупено за броени минути. Този виджет показва кои потребителски акаунти все още използват RC4. Microsoft все още поддържа RC4 за обратна съвместимост, но това не означава, че трябва да го използвате в своя AD.

След като откриете такива акаунти, е необходимо да отмаршите отметката „не е необходима предварителна авторизация с Kerberos“ в AD, за да получават акаунтите по-сложно шифроване.

Самостоятелното откритие на тези акаунти, без контролния панел на Varonis AD, отнема много време. В действителност, да бъдете своевременно информирани за всички акаунти, които са редактирани да използват RC4 шифроване, е още по-трудна задача.

Ако стойността на виджета се променя, това може да показва противоправни действия.

4. Броят на потребителите без парола

Неправомерни лица използват основни команди на PowerShell, за да прочетат флага «PASSWD_NOTREQD» от AD в свойствата на акаунта. Използването на този флаг означава, че не съществуват изисквания за наличие или сложност на паролата.
Колко лесно е да откраднете акаунт с проста или празна парола? А сега си представете, че един от тези акаунти е администратор.

Какво ще стане, ако един от хилядите конфиденциални файлове, отворени за всички, е предстоящ финансов отчет?

Игнорирането на задължителното изискване за въвеждане на парола е още едно съкращение за системното администриране, което често е било използвано в миналото, но днес е неприемливо и небезопасно.

Решете този проблем, като актуализирате паролите за такива акаунти.

Наблюдаването на този виджет в бъдеще ще ви помогне да избягвате появата на акаунти без парола.

Varonis изравнява шансовете

В миналото работата по събиране и анализ на метриките, които са разгледани в статията, отнемаше много часове и изискваше дълбоки познания по PowerShell: специалистите по сигурност трябваше да отделят ресурси за подобни задачи всяка седмица или месец. Но ръчното събиране и обработка на тази информация дава предимство на неправомерните лица за проникване и кражба на данни.

С Varonis Ще отделите един ден, за да разположите таблото за наблюдение на AD и допълнителните компоненти, да съберете всички разгледани и много други уязвимости. Впоследствие, по време на експлоатацията, таблото за наблюдение ще се актуализира автоматично, в зависимост от промените в състоянието на инфраструктурата.

Провеждането на кибератаки винаги е състезание между атакуващи и защитници, стремеж на неправомерното лице да открадне данни, преди специалистите по сигурност да могат да закрият достъпа до тях. Ранното откритие на неправомерните деяния и действия в съчетание със силна киберзащита е ключът към осигуряване на безопасността на вашите данни.

Източник: habr.com