Alles, was ein Angreifer braucht, sind Zeit und Motivation, um in Ihr Netzwerk einzudringen. Doch unsere Aufgabe besteht darin, ihm diese zu verwehren oder zumindest die Aufgabe so schwierig wie möglich zu machen. Wir müssen mit der Ermittlung von Schwachstellen in Active Directory (nachfolgend – AD) beginnen, die ein Angreifer nutzen könnte, um Zugriff zu erlangen und sich unbemerkt im Netzwerk zu bewegen. In diesem Artikel betrachten wir die Risikoinidikatoren, die die vorhandenen Schwachstellen in der Cybersicherheit Ihrer Organisation widerspiegeln, am Beispiel des Varonis AD-Dashboards.
Angreifer verwenden bestimmte Konfigurationen im Domänenbereich.
Angreifer setzen eine Vielzahl von raffinierten Methoden und Schwachstellen ein, um in die Unternehmensnetzwerke einzudringen und Privilegien zu erhöhen. Einige dieser Schwachstellen sind Konfigurationsparameter der Domäne, die nach ihrer Identifizierung leicht geändert werden können.
Das AD-Dashboard wird Sie sofort benachrichtigen, wenn Sie (oder Ihre Systemadministratoren) das KRBTGT-Passwort im letzten Monat nicht geändert haben oder wenn sich jemand mit dem integrierten Standard-Administrator-Konto (Administrator) authentifiziert hat. Diese beiden Konten bieten uneingeschränkten Zugriff auf Ihr Netzwerk: Angreifer werden versuchen, Zugriff darauf zu erlangen, um beliebige Privilegien- und Zugriffsgrenzen zu umgehen. Das Ergebnis ist der Zugriff auf alle Daten, die sie interessieren.
Natürlich können Sie diese Schwachstellen selbst entdecken: Zum Beispiel indem Sie eine Erinnerung in Ihrem Kalender erstellen, um nachzusehen, oder ein PowerShell-Skript ausführen, um diese Informationen zu sammeln.
Das Varonis-Dashboard wird aktualisiert automatisch , um Ihnen einen schnellen Überblick und eine Analyse der wichtigsten Kennzahlen zu bieten, die potenzielle Schwachstellen hervorheben, damit Sie umgehend Maßnahmen zu deren Behebung ergreifen können.
3 Schlüsselrisikoinidikatoren auf Domänenebene
Im Folgenden finden Sie eine Reihe von Widgets, die im Varonis-Dashboard verfügbar sind und deren Nutzung den Schutz des Unternehmensnetzwerks und der IT-Infrastruktur insgesamt erheblich verstärken wird.
1. Anzahl der Domänen, für die das Passwort des Kerberos-Kontos längere Zeit nicht geändert wurde.
Das KRBTGT-Konto ist ein spezielles Konto in AD, das alle . Angreifer, die Zugang zum Domain-Controller (DC) erhalten haben, können dieses Konto verwenden, um , das ihnen unbegrenzten Zugriff auf praktisch jedes System im Unternehmensnetzwerk gewährt. Wir haben Fälle erlebt, in denen ein Angreifer nach dem erfolgreichen Erhalt eines Golden Tickets über zwei Jahre Zugang zum Netzwerk der Organisation hatte. Wenn das Passwort des KRBTGT-Kontos in Ihrem Unternehmen in den letzten vierzig Tagen nicht geändert wurde, wird das Widget darauf hinweisen.
Vierzig Tage sind mehr als ausreichend für einen Angreifer, um Zugang zum Netzwerk zu erhalten. Wenn Sie jedoch den Prozess zur regelmäßigen Änderung dieses Passworts sichern und standardisieren, wird es für den Angreifer erheblich schwieriger, in das Unternehmensnetzwerk einzudringen.
Bitte denken Sie daran, dass Sie gemäß der Implementierung des Kerberos-Protokolls durch Microsoft KRBTGT
zweimal ändern müssen. In der Folge wird dieses AD-Widget daran erinnern, wann es Zeit ist, das KRBTGT-Passwort für alle Domänen in Ihrem Netzwerk erneut zu ändern.
2. Anzahl der Domänen, in denen das integrierte Administratorkonto (Administrator) kürzlich verwendet wurde
Laut — Systemadministratoren stehen zwei Konten zur Verfügung: das erste für die tägliche Nutzung und das zweite für geplante Administrationsarbeiten. Das bedeutet, dass niemand das Standard-Administratorkonto verwenden sollte.
Das integrierte Administratorkonto wird häufig verwendet, um den Prozess der Systemadministration zu erleichtern. Dies kann zu einer schlechten Gewohnheit werden, die zu einem Sicherheitsvorfall führt. Wenn dies in Ihrer Organisation häufig vorkommt, wird es schwierig sein, die legitime Verwendung dieses Kontos von potenziell böswilligem Zugriff zu unterscheiden.
Wenn das Widget etwas anderes als Null anzeigt, bedeutet dies, dass jemand unsachgemäß mit Administratorkonten arbeitet. In diesem Fall müssen Maßnahmen ergriffen werden, um den Zugriff auf das integrierte Administratorkonto zu überprüfen und zu beschränken.
Nachdem Sie einen Nullwert für das Widget erreicht haben und die Systemadministratoren dieses Konto nicht mehr für ihre Arbeit verwenden, wird jede weitere Änderung auf einen potenziellen Cyberangriff hinweisen.
3. Anzahl der Domänen, in denen keine Gruppe geschützter Benutzer (Protected Users) vorhanden ist.
Ältere Versionen von AD unterstützten einen schwachen Verschlüsselungstyp – RC4. Hacker haben RC4 vor vielen Jahren gehackt, und für einen Angreifer ist es jetzt eine ziemlich triviale Aufgabe, ein Konto zu hacken, das immer noch RC4 verwendet. In der Active Directory-Version, die mit Windows Server 2012 eingeführt wurde, entstand eine neue Benutzergruppe namens Gruppe geschützter Benutzer (Protected Users). Diese bietet zusätzliche Schutzmaßnahmen und verhindert die Authentifizierung von Benutzern mit RC4-Verschlüsselung.
Dieses Widget zeigt an, wenn in einer Domäne der Organisation eine solche Gruppe fehlt, damit Sie dies korrigieren können, d.h. die Gruppe geschützter Benutzer aktivieren und sie zum Schutz der Infrastruktur verwenden.
Einfache Ziele für Angreifer
Benutzerkonten sind das Hauptziel für Angreifer – von den ersten Eindringversuchen bis zur anhaltenden Eskalation von Rechten und dem Verbergen ihrer Aktivitäten. Angreifer suchen nach einfachen Zielen in Ihrem Netzwerk und verwenden grundlegende PowerShell-Befehle, die oft schwer zu erkennen sind. Entfernen Sie so viele dieser einfachen Ziele wie möglich aus AD.
Angreifer suchen nach Benutzern mit unbegrenzter Passwortgültigkeit (oder bei denen keine Passwörter erforderlich sind), technischen Konten, die Administratoren sind, und Konten, die RC4-Verschlüsselung verwenden.
Jedes dieser Konten ist entweder trivially erreichbar oder wird normalerweise nicht überwacht. Angreifer können diese Konten übernehmen und sich ungehindert in Ihrer Infrastruktur bewegen.
Sobald Angreifer in den Sicherheitsperimeter eingedrungen sind, erhalten sie wahrscheinlich Zugang zu mindestens einem Konto. Können Sie verhindern, dass sie auf vertrauliche Daten zugreifen, bevor Sie den Angriff entdecken und neutralisieren?
Das Varonis AD-Dashboard zeigt verwundbare Benutzerkonten an, sodass Sie Probleme frühzeitig lösen können. Je schwieriger es ist, in Ihr Netzwerk einzudringen, desto höher sind Ihre Chancen, den Angreifer zu neutralisieren, bevor er erheblichen Schaden anrichten kann.
4 Schlüsselrisikoindikatoren für Benutzerkonten
Nachfolgend finden Sie Beispiele für Widgets im Varonis AD-Dashboard, die die verletzlichsten Benutzerkonten anzeigen.
1. Anzahl der aktiven Benutzer mit Passwörtern, die nie ablaufen
Für jeden Angreifer ist der Zugriff auf ein solches Konto immer ein großer Gewinn. Da das Passwort niemals abläuft, erhält der Angreifer einen dauerhaften Halt innerhalb des Netzwerks, den er dann verwenden kann, um oder sich innerhalb der Infrastruktur zu bewegen.
Angreifer verfügen über Listen mit Millionen von Kombinationen von "Benutzer-Passwort", die sie in Angriffen mit Passwortinhalt verwenden, und die Wahrscheinlichkeit,
dass die Kombination für einen Benutzer mit einem "ewigen" Passwort in einer solchen Liste enthalten ist, ist deutlich höher als null.
Konten mit nie ablaufenden Passwörtern sind zwar einfach zu verwalten, aber sie sind nicht sicher. Verwenden Sie dieses Widget, um alle Konten mit solchen Passwörtern zu finden. Ändern Sie diese Einstellung und aktualisieren Sie das Passwort.
Sobald der Wert dieses Widgets null erreicht, werden alle neuen Konten, die mit einem solchen Passwort erstellt werden, im Dashboard angezeigt.
2. Anzahl der administrativen Konten mit SPN
SPN (Service Principal Name) ist eine eindeutige Kennung für eine Dienstinstanz. Dieses Widget zeigt, wie viele Dienstkonten über vollständige Administratorrechte verfügen. Der Wert im Widget sollte null sein. SPNs mit Administratorrechten kommen häufig vor, da die Bereitstellung solcher Rechte für Softwareanbieter und Anwendungsadministratoren praktisch ist, wobei dies jedoch eine Sicherheitsbedrohung darstellt.
Die Bereitstellung eines Servicekontos mit Administratorrechten ermöglicht es Angreifern, vollständigen Zugriff auf ein Konto zu erhalten, das nicht verwendet wird. Das bedeutet, dass Angreifer mit Zugriff auf SPN-Konten innerhalb der Infrastruktur frei agieren können und dabei eine Überwachung ihrer Aktivitäten vermeiden.
Dieses Problem kann behoben werden, indem die Berechtigungen für Servicekonten geändert werden. Diese Konten sollten dem Prinzip der geringsten Privilegien unterliegen und nur den Zugriff haben, der tatsächlich für ihre Arbeit erforderlich ist.
Mit diesem Widget können Sie alle SPNs entdecken, die über Administratorrechte verfügen, diese Privilegien entfernen und künftig SPNs überwachen, indem Sie dasselbe Prinzip der geringsten Privilegien anwenden.
Neu auftauchende SPNs werden im Dashboard angezeigt, und Sie können diesen Prozess überwachen.
3. Anzahl der Benutzer, die keine vorherige Kerberos-Authentifizierung benötigen
Idealerweise verschlüsselt Kerberos das Authentifizierungsticket mit AES-256-Verschlüsselung, die bis jetzt nicht geknackt werden konnte.
Ältere Versionen von Kerberos verwendeten jedoch RC4-Verschlüsselung, die inzwischen in wenigen Minuten geknackt werden kann. Dieses Widget zeigt, welche Benutzerkonten immer noch RC4 verwenden. Microsoft unterstützt RC4 weiterhin zur Rückwärtskompatibilität, aber das bedeutet nicht, dass Sie es in Ihrem AD verwenden sollten.
Nachdem Sie solche Konten entdeckt haben, müssen Sie das Kontrollkästchen „Kerberos-Vorabgenehmigung nicht erforderlich“ im AD deaktivieren, damit die Konten komplexere Verschlüsselung verwenden.
Das eigenständige Entdecken dieser Konten ohne das Varonis AD-Dashboard dauert viel Zeit. In der Realität ist es noch schwieriger, zu jeder Zeit über alle Konten informiert zu sein, die so bearbeitet wurden, dass sie RC4-Verschlüsselung verwenden.
Wenn der Wert im Widget sich ändert, könnte das auf rechtswidriges Verhalten hindeuten.
4. Anzahl der Benutzer ohne Passwort
Angreifer nutzen grundlegende PowerShell-Befehle, um das Attribut „PASSWD_NOTREQD“ aus AD auszulesen, das in den Kontoeigenschaften enthalten ist. Die Verwendung dieses Attributs bedeutet, dass es keine Anforderungen an die Existenz oder Komplexität eines Passworts gibt.
Wie einfach ist es, ein Konto mit einem einfachen oder gar keinem Passwort zu stehlen? Und stellen Sie sich vor, eines dieser Konten ist ein Administrator.
Was wäre, wenn eine der tausend vertraulichen Dateien, die für alle zugänglich sind, ein bevorstehender Finanzbericht ist?
Das Ignorieren der obligatorischen Eingabeaufforderung für ein Passwort ist eine weitere Abkürzung im Systemmanagement, die in der Vergangenheit oft verwendet wurde, heute jedoch inakzeptabel und unsicher ist.
Beheben Sie dieses Problem, indem Sie die Passwörter für solche Konten aktualisieren.
Die Überwachung dieses Widgets in der Zukunft wird Ihnen helfen, die Entstehung von Konten ohne Passwort zu verhindern.
Varonis gleicht die Chancen aus
Früher benötigte die Arbeit zur Erfassung und Analyse der in dem Artikel genannten Metriken viele Stunden und tiefgehende Kenntnisse in PowerShell: Sicherheitsexperten mussten wöchentlich oder monatlich Ressourcen für solche Aufgaben bereitstellen. Doch die manuelle Erfassung und Verarbeitung dieser Informationen gibt Angreifern einen Vorteil für das Eindringen und den Datendiebstahl.
C Sie werden einen Tag benötigen, um das AD-Dashboard und zusätzliche Komponenten bereitzustellen, alle besprochenen und viele weitere Schwachstellen zu sammeln. In Zukunft wird das Dashboard automatisch aktualisiert, während sich der Zustand der Infrastruktur ändert.
Cyberangriffe sind immer ein Wettlauf zwischen Angreifern und Verteidigern, wobei Angreifer versuchen, Daten zu stehlen, bevor Sicherheitsexperten den Zugriff darauf schließen können. Ein frühes Erkennen von Angreifern und deren kriminellen Handlungen, kombiniert mit einem starken Cyberschutz, ist der Schlüssel zur Sicherheit Ihrer Daten.
Quelle: habr.com
