Уязвимост на Exchange: как да откриете повишаване на привилегиите до администратор на домейна

Откритата тази година уязвимост в Exchange позволява на всеки потребител на домейна да получи права на администратор на домейна и да компрометира Active Directory (AD) и други свързани хостове. Днес ще ви разкажем как работи тази атака и как да я откриете.

Ето как работи тази атака:

1. Злоумышленикът получава достъп до профила на всеки домейнов потребител с активен имейл акаунт, за да се абонира за функцията за push известия от Exchange
2. Злоумышленикът използва NTLM relay, за да измами сървъра Exchange: в резултат сървърът Exchange се свързва с компютъра на компрометирания потребител чрез метода NTLM over HTTP, който злонамереното лице след това използва за преминаване на процедурата за удостоверяване на домейн контролера по LDAP с данните на акаунта на Exchange
3. В крайна сметка злонамереното лице използва тези права на акаунта на Exchange, за да повиши своите привилегии. Тази последна стъпка може също да бъде извършена от злонамерен администратор, който вече има легитимен достъп, за да направи необходимата промяна в правата. Създавайки правило за откриване на тази активност, вие ще бъдете защитени от тази и подобни атаки.

След това злонамереното лице може, например, да стартира DCSync, за да получи хешираните пароли на всички потребители в домейна. Това ще му позволи да реализира различни видове атаки — от атаки с golden ticket до предаване на хеш.

Изследователският екип на Varonis подробно проучи този вектор на атака и подготви ръководство за нашите клиенти, за да го открият и да проверят дали вече са били компрометирани.

Откриване на повишаване на привилегиите в домейн

В DatAlert създайте персонализирано правило за проследяване на промените в определени разрешения на обект. То ще се активира при добавяне на права и разрешения на интересуващия обект в домейна:

1. Посочете името на правилото
2. Настройте категорията като "Повишаване на привилегиите"
3. Задайте стойност за типа ресурс "Всички типове ресурси"
4. Файлов сървър = DirectoryServices
5. Задайте интересуващия ви домейн, например по име
6. Добавете филтър за добавяне на разрешения на обекта AD
7. И не забравяйте да оставите опцията "Търсене в дъщерни обекти" необозначена

А сега отчет: откриване на промяна в правата на домейн обект

Промените на разрешения в AD обект са рядко явление, затова всичко, което е довело до това предупреждение, трябва да бъде разследвано. Също така е добре да се тества вида и съдържанието на доклада преди да се пусне самото правило в действие.

Този доклад също така ще покаже, дали вече сте били компрометирани от тази атака:

След активиране на правилото, можете да разследвате всички останали събития на повишаване на привилегии, използвайки уеб интерфейса на DatAlert:

След настройка на това правило ще можете да следите и защитавате от тези и подобни типове уязвимости за сигурност, да разследвате събития с обекти на AD каталожни услуги и да проверите, дали сте уязвими на тази критична уязвимост.

Източник: habr.com