Sel aastal avastatud võimaldab igal domeeni kasutajal saada domeeni administraatori õigusi ning kompromiteerida Active Directory't (AD) ja teisi ühendatud hoste. Täna räägime, kuidas see rünnak toimib ja kuidas seda avastada.
Nii see rünnak toimib:
- Kurjategija omandab aktiveeritud postkasti väärt kontot, et tellida Exchange'i push-teateid.
- Kurjategija kasutab NTLM-i edastamist Exchange'i serveri petmiseks: tulemuseks on see, et Exchange'i server ühendub kompromiteeritud kasutaja arvutiga NTLM over HTTP meetodi abil, mida kurjategija seejärel kasutab domeeni kontrolleri autentimisprotseduuri läbimiseks LDAP abil Exchange'i konto andmetega.
- Kokkuvõttes kasutab pahatahtlik isik neid Exchange'i konto õigusi oma privileegide tõstmiseks. Viimane samm võib samuti olla tehtud pahatahtlikult seadistatud administraatori poolt, kes omab juba seaduslikku ligipääsu, et teha vajalik õiguste muudatus. Luues reegli selle tegevuse tuvastamiseks, kaitsete end selle ja teiste sarnaste rünnakute eest.
Seejärel võib pahatahtlik isik näiteks käivitada DCSync'i, et saada kõikide domeeni kasutajate hashed-paroolid. See võimaldab tal teostada erinevaid rünnakute tüüpe — alates golden ticket rünnakutest kuni hash'i edastamiseni.
Varonise uurimisrühm uuris seda rünnaku vektorit põhjalikult ja koostas meie klientidele juhendi selle tuvastamiseks ning samal ajal kontrollimiseks, kas nad on juba kompromiteeritud.
Privileegide tõstmise tuvastamine domeenis
V looge kohandatud reegel teatud objektide õiguste muudatuste jälgimiseks. See aktiveerub huvipakkuva objekti õiguste ja lubade lisamisel domeenis:
- Määrake reegli nimi
- Määrake kategooria 'Privileegide tõstmine'
- Määrake väärtus ressursitüübile „Kõik ressursitüübid“
- Failiserver = DirectoryServices
- Määrake domeen, mis teid huvitab, näiteks nime järgi
- Lisage filter õiguste lisamiseks AD-objekti jaoks
- Ja ärge unustage jätta mittevalitud valik „Otsi alamobjektides“
Ja nüüd aruanne: domeeni objekti õiguste muutuste tuvastamine
Muudatused AD-objekti õigustes on üsna haruldased, seetõttu tuleb kõike, mis kutsus esile selle hoiatuse, uurida. Samuti tasub testida aruande välimust ja sisu enne reegli käiku laskmist.
See aruanne näitab ka, kas olete juba selle rünnaku käes kannatanud:
Pärast reegli aktiveerimist saab uurida kõiki muid privileegide tõstmise sündmusi DatAlerti veebiliidese abil:
Pärast selle reegli seadistamist saate jälgida ja kaitsta end nende ja sarnaste turvaprobleemide eest, uurida sündmusi AD katalooge puudutavate objektidega ning kontrollida, kas olete selle kriitilise haavatavuse all.
Allikas: habr.com
