সক্রিয় ডিরেক্টরিতে ডেটা গোপনীয়তার সমস্যা

আমি ব্যবহার করে পেনিট্রেশন টেস্টিং করেছি পাওয়ারভিউ এবং সক্রিয় ডিরেক্টরি থেকে ব্যবহারকারীর তথ্য পুনরুদ্ধার করতে এটি ব্যবহার করে (এর পরে AD হিসাবে উল্লেখ করা হয়েছে)। সেই সময়ে, আমার জোর ছিল নিরাপত্তা গোষ্ঠীর সদস্যতার তথ্য সংগ্রহ করা এবং তারপর নেটওয়ার্ক নেভিগেট করার জন্য সেই তথ্য ব্যবহার করার উপর। যেভাবেই হোক, AD সংবেদনশীল কর্মচারী ডেটা ধারণ করে, যার মধ্যে কিছু সত্যিই সংস্থার প্রত্যেকের কাছে অ্যাক্সেসযোগ্য হওয়া উচিত নয়। আসলে, উইন্ডোজ ফাইল সিস্টেমে একটি সমতুল্য আছে "সবাই" সমস্যা, যা অভ্যন্তরীণ এবং বহিরাগত আক্রমণকারী উভয়ই ব্যবহার করতে পারে।

কিন্তু আমরা গোপনীয়তার সমস্যাগুলি এবং কীভাবে সেগুলি ঠিক করব সে সম্পর্কে কথা বলার আগে, আসুন AD এ সংরক্ষিত ডেটা একবার দেখে নেওয়া যাক৷

সক্রিয় ডিরেক্টরি হল কর্পোরেট ফেসবুক

কিন্তু এই ক্ষেত্রে, আপনি ইতিমধ্যে সবার সাথে বন্ধুত্ব করেছেন! আপনি হয়তো আপনার সহকর্মীদের প্রিয় সিনেমা, বই, বা রেস্তোরাঁ সম্পর্কে জানেন না, কিন্তু AD-তে সংবেদনশীল যোগাযোগের তথ্য রয়েছে।
ডেটা এবং অন্যান্য ক্ষেত্র যা হ্যাকার এবং এমনকি অভ্যন্তরীণ ব্যক্তিরা বিশেষ প্রযুক্তিগত দক্ষতা ছাড়াই ব্যবহার করতে পারে।

সিস্টেম অ্যাডমিনিস্ট্রেটররা অবশ্যই নীচের স্ক্রিনশটের সাথে পরিচিত। এটি হল অ্যাক্টিভ ডিরেক্টরি ইউজারস অ্যান্ড কম্পিউটারস (ADUC) ইন্টারফেস যেখানে তারা ব্যবহারকারীর তথ্য সেট ও সম্পাদনা করে এবং ব্যবহারকারীদের উপযুক্ত গোষ্ঠীতে বরাদ্দ করে।

AD-তে কর্মচারীর নাম, ঠিকানা এবং ফোন নম্বরের ক্ষেত্র রয়েছে, তাই এটি একটি টেলিফোন ডিরেক্টরির মতো। কিন্তু আরো অনেক কিছু আছে! অন্যান্য ট্যাবে ইমেল এবং ওয়েব ঠিকানা, লাইন ম্যানেজার এবং নোট অন্তর্ভুক্ত রয়েছে।

প্রতিষ্ঠানের প্রত্যেকের কি এই তথ্য দেখতে হবে, বিশেষ করে একটি যুগে ওএসআইএনটি, যখন প্রতিটি নতুন বিশদ আরও তথ্য অনুসন্ধান করা আরও সহজ করে তোলে?

অবশ্যই না! একটি কোম্পানির শীর্ষ ব্যবস্থাপনা থেকে সমস্ত কর্মচারীদের কাছে ডেটা উপলব্ধ হলে সমস্যাটি আরও জটিল হয়৷

প্রত্যেকের জন্য পাওয়ারভিউ

এখানেই পাওয়ারভিউ খেলায় আসে। এটি AD অ্যাক্সেস করে এমন অন্তর্নিহিত (এবং বিভ্রান্তিকর) Win32 ফাংশনগুলির জন্য একটি খুব ব্যবহারকারী-বান্ধব PowerShell ইন্টারফেস প্রদান করে। সংক্ষেপে:
এটি একটি খুব ছোট cmdlet টাইপ করার মতোই AD ক্ষেত্রগুলি পুনরুদ্ধার করা সহজ করে তোলে।

আসুন ক্রুয়েলা ডেভিলের একজন কর্মচারী সম্পর্কে তথ্য সংগ্রহের একটি উদাহরণ নেওয়া যাক, যিনি কোম্পানির অন্যতম নেতা। এটি করার জন্য, PowerView get-NetUser cmdlet ব্যবহার করুন:

পাওয়ারভিউ ইনস্টল করা একটি গুরুতর সমস্যা নয় - পৃষ্ঠায় নিজের জন্য দেখুন GitHub. এবং আরও গুরুত্বপূর্ণ, আপনার অনেক পাওয়ারভিউ কমান্ড চালানোর জন্য উন্নত বিশেষাধিকারের প্রয়োজন নেই, যেমন get-NetUser। এইভাবে, একজন অনুপ্রাণিত কিন্তু খুব টেক-স্যাভি নয় এমন কর্মচারী খুব বেশি প্রচেষ্টা ছাড়াই AD-এর সাথে টিঙ্কারিং শুরু করতে পারেন।

উপরের স্ক্রিনশট থেকে, আপনি দেখতে পাচ্ছেন যে একজন অভ্যন্তরীণ ব্যক্তি দ্রুত ক্রুয়েলা সম্পর্কে অনেক কিছু শিখতে পারে। আপনি কি লক্ষ্য করেছেন যে "তথ্য" ক্ষেত্র ব্যবহারকারীর ব্যক্তিগত অভ্যাস এবং পাসওয়ার্ড সম্পর্কে তথ্য প্রকাশ করে?

এটি একটি তাত্ত্বিক সম্ভাবনা নয়। থেকে অন্যান্য পেন্টেস্টারদের সাথে কথোপকথন আমি শিখেছি যে তারা প্লেইনটেক্সট পাসওয়ার্ড খুঁজতে AD স্ক্যান করে, এবং প্রায়শই এই প্রচেষ্টাগুলি দুর্ভাগ্যবশত সফল হয়। তারা জানে যে কোম্পানীগুলি AD-তে তথ্যের সাথে অসতর্ক, এবং তারা পরবর্তী বিষয় সম্পর্কে অবগত থাকে না: AD অনুমতি।

সক্রিয় ডিরেক্টরির নিজস্ব ACL আছে

AD ব্যবহারকারী এবং কম্পিউটার ইন্টারফেস আপনাকে AD বস্তুতে অনুমতি সেট করতে দেয়। AD এর ACL আছে এবং প্রশাসকরা তাদের মাধ্যমে অ্যাক্সেস মঞ্জুর বা অস্বীকার করতে পারেন। আপনাকে ADUC ভিউ মেনুতে "উন্নত" ক্লিক করতে হবে এবং তারপরে আপনি যখন ব্যবহারকারী খুলবেন তখন আপনি "নিরাপত্তা" ট্যাব দেখতে পাবেন যেখানে আপনি ACL সেট করেছেন৷

আমার ক্রুয়েলা দৃশ্যকল্পে, আমি চাইনি যে সমস্ত প্রমাণীকৃত ব্যবহারকারীরা তার ব্যক্তিগত তথ্য দেখতে পাবে, তাই আমি তাদের পড়ার অ্যাক্সেস অস্বীকার করেছি:

এবং এখন একজন সাধারণ ব্যবহারকারী এটি দেখতে পাবে যদি তারা PowerView এ Get-NetUser চেষ্টা করে:

আমি চোখ থেকে স্পষ্টতই দরকারী তথ্য লুকিয়ে রাখতে পেরেছি। এটি প্রাসঙ্গিক ব্যবহারকারীদের কাছে অ্যাক্সেসযোগ্য রাখতে, আমি ভিআইপি গ্রুপের সদস্যদের (ক্রুয়েলা এবং তার অন্যান্য উচ্চ-র্যাঙ্কিং সহকর্মী) এই সংবেদনশীল ডেটা অ্যাক্সেস করার অনুমতি দেওয়ার জন্য আরেকটি ACL তৈরি করেছি। অন্য কথায়, আমি একটি রোল মডেলের উপর ভিত্তি করে AD অনুমতিগুলি প্রয়োগ করেছি, যা অভ্যন্তরীণ সহ বেশিরভাগ কর্মচারীদের কাছে সংবেদনশীল ডেটা অ্যাক্সেসযোগ্য করে তুলেছে।

যাইহোক, আপনি সেই অনুযায়ী AD তে গ্রুপ অবজেক্টে ACL সেট করে ব্যবহারকারীদের কাছে গ্রুপ সদস্যতা অদৃশ্য করতে পারেন। এটি গোপনীয়তা এবং নিরাপত্তার ক্ষেত্রে সাহায্য করবে।

এটার ভিতর মহাকাব্য পেন্টেস্টের সিরিজ আমি দেখিয়েছি কিভাবে আপনি PowerViews Get-NetGroupMember ব্যবহার করে গ্রুপ সদস্যতা পরীক্ষা করে সিস্টেমটি নেভিগেট করতে পারেন। আমার স্ক্রিপ্টে, আমি একটি নির্দিষ্ট গোষ্ঠীতে সদস্যপদ পড়ার অ্যাক্সেস সীমাবদ্ধ করেছি। আপনি পরিবর্তনের আগে এবং পরে কমান্ড চালানোর ফলাফল দেখতে পারেন:

আমি ভিআইপি গ্রুপে ক্রুয়েলা এবং মন্টি বার্নসের সদস্যতা লুকিয়ে রাখতে সক্ষম হয়েছিলাম, যার ফলে হ্যাকার এবং অভ্যন্তরীণ ব্যক্তিদের জন্য পরিকাঠামো খুঁজে বের করা কঠিন হয়ে পড়ে।

এই পোস্টটি ক্ষেত্রগুলি ঘনিষ্ঠভাবে দেখতে আপনাকে অনুপ্রাণিত করার উদ্দেশ্যে করা হয়েছিল৷
AD এবং সম্পর্কিত অনুমতি। AD একটি মহান সম্পদ, কিন্তু আপনি কিভাবে হবে চিন্তা করুন
গোপনীয় তথ্য এবং ব্যক্তিগত তথ্য ভাগ করতে চেয়েছিলেন, বিশেষ করে
যখন আপনার প্রতিষ্ঠানের শীর্ষ কর্মকর্তাদের কথা আসে।  

উত্স: www.habr.com