Проблем с поверителността на данните в Active Directory

Направих тестове за проникване с помощта на Power View и го използвах, за да извличам потребителска информация от Active Directory (наричана по-долу AD). По това време се фокусирах върху събирането на информация за членство в групи за сигурност и след това върху използването на тази информация за навигиране в мрежата. AD съдържа чувствителни данни за служителите, някои от които наистина не би трябвало да са достъпни за всички в организацията. По същество файловите системи Windows има еквивалент Проблемът на "всички"., който също може да се използва от вътрешни и външни нападатели.

Но преди да говорим за проблеми с поверителността и как да ги коригираме, нека да разгледаме данните, съхранявани в AD.

Active Directory е корпоративният Facebook

Но в този случай вече сте се сприятелили с всички! Може да не знаете за любимите филми, книги или ресторанти на вашите колеги, но AD съдържа чувствителна информация за контакт.
данни и други полета, които могат да бъдат използвани от хакери и дори вътрешни хора без специални технически умения.

Системните администратори, разбира се, са запознати с екранната снимка по-долу. Това е интерфейсът за потребители и компютри на Active Directory (ADUC), където те задават и редактират потребителска информация и присвояват потребителите на подходящи групи.

AD съдържа полета за име, адрес и телефонен номер на служител, така че е подобен на телефонен указател. Но има много повече! Други раздели също включват имейл и уеб адрес, пряк мениджър и бележки.

Трябва ли всеки в организацията да вижда тази информация, особено в епоха OSINT, когато всеки нов детайл прави намирането на повече информация още по-лесно?

Разбира се, че не! Проблемът се усложнява, когато данните от висшето ръководство на компанията са достъпни за всички служители.

PowerView за всички

Тук PowerView влиза в действие. Той предоставя много удобен за потребителя интерфейс на PowerShell към основните (и объркващи) функции на Win32, които имат достъп до AD. Накратко:
това прави извличането на AD полета толкова лесно, колкото въвеждането на много кратък cmdlet.

Да вземем пример за събиране на информация за служител на Cruella Deville, който е един от лидерите на компанията. За да направите това, използвайте командата PowerView get-NetUser:

Инсталирането на PowerView не е сериозен проблем - вижте сами на страницата GitHub. И което е по-важно, не се нуждаете от повишени привилегии, за да изпълнявате много команди на PowerView, като get-NetUser. По този начин един мотивиран, но не много разбиращ в технологиите служител може да започне да се занимава с AD без много усилия.

От горната екранна снимка можете да видите, че вътрешен човек може бързо да научи много за Cruella. Забелязали ли сте също, че полето „информация“ разкрива информация за личните навици и паролата на потребителя?

Това не е теоретична възможност. от диалози с други пентестъри Научих, че сканират AD, за да намерят пароли в обикновен текст и често тези опити за съжаление са успешни. Те знаят, че компаниите са небрежни с информацията в AD и са склонни да не знаят за следващата тема: AD разрешенията.

Active Directory има свои собствени ACL

Интерфейсът AD потребители и компютри ви позволява да задавате разрешения за AD обекти. AD има ACL и администраторите могат да предоставят или отказват достъп чрез тях. Трябва да щракнете върху „Разширени“ в менюто ADUC View и след това, когато отворите потребителя, ще видите раздела „Защита“, където задавате ACL.

В моя сценарий с Cruella не исках всички удостоверени потребители да могат да виждат нейната лична информация, така че им отказах достъп за четене:

И сега нормален потребител ще види това, ако опита Get-NetUser в PowerView:

Успях да скрия очевидно полезна информация от любопитни очи. За да го поддържам достъпен за съответните потребители, създадох друг ACL, за да позволя на членовете на VIP групата (Круела и другите й високопоставени колеги) да имат достъп до тези чувствителни данни. С други думи, внедрих AD разрешения въз основа на модел за подражание, което направи чувствителните данни недостъпни за повечето служители, включително Insiders.

Можете обаче да направите груповото членство невидимо за потребителите, като зададете съответно ACL на груповия обект в AD. Това ще помогне по отношение на поверителността и сигурността.

В своята серия от епични пентести Показах как можете да навигирате в системата, като изследвате членството в група с помощта на PowerViews Get-NetGroupMember. В моя скрипт ограничих достъпа за четене до членство в конкретна група. Можете да видите резултата от изпълнението на командата преди и след промените:

Успях да скрия членството на Круела и Монти Бърнс във VIP групата, което затрудни хакерите и вътрешните лица да проучват инфраструктурата.

Тази публикация имаше за цел да ви мотивира да разгледате по-отблизо полетата
AD и свързаните с него разрешения. AD е страхотен ресурс, но помислете как бихте го направили
искаше да споделя поверителна информация и лични данни, особено
когато става дума за висши служители на вашата организация.  

Източник: www.habr.com