7 ключови индикатора за риск на Active Directory на панела за управление Varonis

Всичко, от което се нуждае престъпникът, е време и мотивация, за да нахлуе във вашата мрежа. Но нашата работа е да му попречим да го направи или поне да затрудним максимално тази задача. Трябва да започнем с определяне на уязвимостите в Active Directory (по-нататък – AD), които престъпникът може да използва, за да получи достъп и да се движи в мрежата, оставайки незабелязан. В днешната статия ще разгледаме индикаторите за риск, които отразяват наличните уязвимости в киберзащитата на вашата организация, на примера на контролния панел на AD Varonis.

Престъпниците използват специфични конфигурации в домейна

Престъпниците използват множество хитрости и уязвимости, за да нахлуят вътре в корпоративната мрежа и да повишат привилегиите си. Някои от тези уязвимости са параметри на конфигурацията на домейна, които лесно могат да бъдат променени след тяхното откритие.

Панелата за мониторинг на AD незабавно ще ви уведоми, ако вие (или вашите системни администратори) не са сменили паролата KRBTGT през миналия месец, или ако някой е извършил удостоверяване с вградена администраторска сметка по подразбиране (Administrator). Тези две сметки предоставят неограничен достъп до вашата мрежа: злонамерени лица ще се опитват да получите достъп до тях, за да заобиколят всякакви ограничения в привилегиите и разрешенията. И като резултат, — да получат достъп до всякакви данни, които ги интересуват.

Разбира се, можете сами да откриете тези уязвимости: например, да настроите напомняне в календара за проверка или да пуснете PowerShell скрипт, за да съберете тази информация.

Панелата за мониторинг на Varonis се актуализира автоматично , за да осигури бърз преглед и анализ на ключови индикатори, които подчертават потенциални уязвимости, за да можете незабавно да предприемете мерки за отстраняването им.

3 ключови индикатора за риск на ниво домейн

По-долу е представен набор от джаджи, налични на таблото за управление Varonis, чието използване значително ще укрепи защитата на корпоративната мрежа и ИТ-инфраструктурата като цяло.

1. Брой домейни, за които паролата на акаунта Kerberos не е била променяна значително време

Акаунтът KRBTGT е специален акаунт в AD, който подписва всички Kerberos токени . Хакерите, получили достъп до контролера на домейна (DC), могат да използват този акаунт, за да създадат Golden ticket, който ще им даде неограничен достъп до почти всяка система в корпоративната мрежа. Срещали сме ситуации, при които след успешното получаване на Golden Ticket, хакерът е имал достъп до мрежата на организацията в продължение на две години. Ако паролата на акаунта KRBTGT във вашата компания не е била променяна през последните четиридесет дни, джаджата ще ви уведоми за това.

Четиридесет дни са повече от достатъчни за хакера, за да получи достъп до мрежата. Въпреки това, ако осигурите и стандартизирате процеса на редовна смяна на тази парола, това значително ще затрудни хакера да проникне в корпоративната мрежа.

Помнете, че в съответствие с реализирания протокол Kerberos от Microsoft, е необходимо да промените паролата два пъти KRBTGT.

По-късно, този AD-виджет ще ви напомня, когато дойде време пак да промените паролата KRBTGT за всички домейни в мрежата ви.

2. Брой домейни, в които наскоро е използвана вградена административна сметка (Administrator)

Според принципа на най-малките привилегии — на системните администратори се предоставят две сметки: първата е за ежедневно ползване, а втората – за планирани административни задачи. Това означава, че никой не трябва да използва административната сметка по подразбиране.

Вградената административна сметка често се използва, за да се опрости процесът на системно администриране. Това може да стане лош навик, който води до нарушаване на сигурността. Ако в организацията ви това се случва, ще бъде трудно да различите правилното използване на тази сметка от потенциално злонамерен достъп.

Ако виджетът показва нещо различно от нула, това означава, че някой неправилно обработва административните акаунти. В такъв случай е наложително да се предприемат мерки за корекция и ограничаване на достъпа до вградения административен акаунт.
След като постигнете нулево значение на виджета и системните администратори вече не използват този акаунт за работа, всяка промяна в бъдеще ще сигнализира за потенциална кибератака.

3. Броят на домейните, в които отсъства група защитени потребители (Protected Users)

Старите версии на AD поддържаха слаб тип криптиране — RC4. Хакерите разбиха RC4 преди много години и сега за злонамерените лица е съвсем тривиално да пробият акаунт, който все още използва RC4. В версията на Active Directory, представена в Windows Server 2012, се появи нова група потребители, наречена Група Защитени потребители (Protected Users). Тя предоставя допълнителни средства за защита и предотвратява аутентификацията на потребители с криптиране RC4.

Този уиджет ще демонстрира, ако в някаква област на организацията липсва такава група, за да можете да я коригирате, т.е. да включите групата на защитените потребители и да я използвате за защита на инфраструктурата.

Лесни цели за нападатели

Потребителските акаунти са цел номер едно за злоумышленици – от първоначални опити за проникване до продължаваща ескалация на привилегиите и прикриване на своите действия. Злоупотребителите търсят прости цели в мрежата ви, използвайки основни команди PowerShell, които често е трудно да бъдат открити. Премахнете възможно най-много такива лесни цели от AD.

Злоумышлениците търсят потребители с неограничен срок на действие на паролите (или на които не се изискват пароли), технологични акаунти, които са администратори, и акаунти, използващи старото шифриране RC4.

Всяка от тези акаунти е или тривиална за достъп, или по принцип не е под мониторинг. Злоумышлениците могат да завладеят тези акаунти и свободно да се движат в рамките на вашата инфраструктура.

След като злоумышлениците пробият периметъра на сигурността, те вероятно ще получат достъп до поне една счетоводна запис. Можете ли да им попречите да получат достъп до конфиденциални данни, преди да откриете и ликвидирате атаката?

Контролното табло Varonis AD ще покаже уязвимите потребителски акаунти, за да можете да разрешите проблемите предварително. Колкото по-трудно е да проникнете в мрежата ви, толкова по-високи са шансовете ви да неутрализирате атакуващия, преди да нанесе сериозни щети.

4 ключови индикатора за риск за потребителски акаунти

По-долу са примери за джаджи на контролното табло Varonis AD, които показват най-уязвимите потребителски акаунти.

1. Брой активни потребители с пароли, чийто срок на валидност никога не изтича

За всеки злоумышленик получаването на достъп до такъв акаунт е винаги голяма победа. Тъй като срокът на валидност на паролата никога не изтича, злоумышленикът получава постоянна опора в мрежата, която след това може да се използва за повишаване на привилегиите или движение в рамките на инфраструктурата.
Неправилните лица разполагат със списъци с милиони комбинации "потребител-парола", които използват в атаки с подмяна на идентификационни данни, и вероятността комбинацията за потребител с "вечна" парола да бъде в един от тези списъци е значително по-голяма от нула.
Комбинацията за потребители с "вечни" пароли е много по-вероятно да присъства в тези списъци.

Акаунтите с неистекащи пароли са удобни за управление, но не са безопасни. Използвайте този уиджет, за да намерите всички акаунти с такива пароли. Променете тази настройка и актуализирайте паролата.

След като стойността на този уиджет стане нула, всякакви нови акаунти, създадени с такава парола, ще се появяват на контролния панел.

2. Броят на административните акаунти с SPN

SPN (Service Principal Name) – е уникален идентификатор на инстанция на услуга (служба). Този уиджет показва колко сервисни акаунти имат пълни административни права. Стойността на уиджета трябва да е равна на нула. SPN с администраторски права възниква, тъй като предоставянето на такива права е удобно за доставчиците на софтуер и администраторите на приложения, но представлява заплаха за сигурността.

Предоставянето на права за администратор на сервисна сметка позволява на злонамерени лица да получат пълен достъп до акаунта, който не се използва. Това означава, че злонамерени потребители с достъп до SPN-акаунти могат да действат свободно в инфраструктурата и да избегнат мониторинга на своите действия.

Може да се реши този проблем, като се променят разрешенията за сервисните акаунти. Тези акаунти трябва да се подчиняват на принципа на минималните привилегии и да имат само достъпа, който наистина е необходим за тяхната работа.

С помощта на този виджет ще можете да откривате всички SPN с администраторски права, да отстранявате такива привилегии, а в бъдеще да контролирате SPN, ръководейки се от същия принцип на минимални привилегии.

Новопоявяващите се SPN ще се показват на таблото за управление, и вие ще можете да контролирате този процес.

3. Броят на потребителите, на които не е необходимо предварително удостоверяване по Kerberos

В идеалния случай, Kerberos криптира сертификата за удостоверяване с помощта на AES-256, който засега остава несломим.

Въпреки това, по-старите версии на Kerberos използваха изтинането RC4, което вече може да бъде счупено за минути. Този виджет показва кои потребителски профили все още използват RC4. Microsoft все още поддържа RC4 за обратна съвместимост, но това не означава, че трябва да го използвате в AD.

След като откриете такива профили, трябва да отмените отметката "не е необходимо предварително удостоверяване на Kerberos" в AD, за да използват профилите по-сложно криптиране.

Самостоятелното откриване на тези акаунти, без контролния панел Varonis AD, отнема много време. В реалността да бъдеш навременен с информация за всички акаунти, които са модифицирани да използват шифроване RC4, е още по-сложна задача.

Ако стойността на виджета се променя, това може да свидетелства за незаконни действия.

4. Брой на потребителите без парола

Злоумышлениците използват основни команди на PowerShell, за да прочетат от AD флага „PASSWD_NOTREQD“ в свойствата на акаунта. Използването на този флаг означава, че няма изисквания за наличие или сложност на паролата.
Колко лесно е да се открадне акаунт с проста или празна парола? А сега си представете, че един от тези акаунти е администратор.

Какво, ако един от хиляди конфиденциални файлове, отворени за всички, е предстоящ финансов отчет?

Игнорирането на задължителното изискване за въвеждане на парола е още едно съкращение за системно администриране, което често е било използвано в миналото, но днес е недопустимо и небезопасно.

Отстранете този проблем, актуализирайки паролите за тези акаунти.

Наблюдението на този уиджет в бъдеще ще ви помогне да избегнете появата на акаунти без парола.

Varonis изравнява шансовете

В миналото работата по събиране и анализ на метриките, споменати в статията, отнемаше много часове и изискваше дълбоки знания по PowerShell: специалистите по безопасност трябваше да отделят ресурси за подобни задачи всяка седмица или месец. Но ръчното събиране и обработка на тази информация даваше предимство на злонамерените лица за проникване и кражба на данни.

С Varonis ще прекарате един ден в разгръщане на контролния панел на AD и допълнителни компоненти, за да съберете всички разгледани и много други уязвимости. В по-късните етапи по време на експлоатация контролният панел автоматично ще се обновява с промените в инфраструктурата.

Извършването на кибератаки е винаги състезание между атакуващите и защитниците, стремеж на злонамерените лица да откраднат данни преди специалистите по сигурност да успеят да ограничат достъпа до тях. Ранното откритие на злонамерени дейности, в комбинация със силна киберсигурност, е ключът към защитата на вашите данни.

Източник: habr.com