7 peamist riskiindikaatorit Active Directory jaoks Varonis'i juhtpaneelil

Kõik, mida küberkurjategijal on vaja, on aeg ja motivatsioon teie võrku sisenemiseks. Kuid meie ülesanne on takistada teda seda tegemast või vähemalt muuta seda võimalikult keeruliseks. Tuleb alustada nõrkade kohtade määratlemisega Active Directory's (edaspidi AD), mida ründajad saavad kasutada ligipääsuks ja võrgus liikumiseks, jäädes samas märkamatuks. Täna vaatame artiklis riskiindikaatoreid, mis peegeldavad teie organisatsiooni küberturvalisuse haavatavusi, kasutades Varonis AD jälgimispaneeli näidet.

Küberkurjategijad kasutavad domeenis teatud konfigureerimisi

Küberkurjategijad kasutavad mitmeid nutikaid trikke ja haavatavusi, et siseneda ettevõtte võrku ja tõsta oma privileege. Mõned neist haavatavustest on domeeni konfiguratsiooni parameetrid, mida on lihtne muuta pärast nende tuvastamist.

AD jälgimispaneel teavitab teid kohe, kui te (või teie süsteemiadministraatorid) ei ole KRBTGT parooli eelmisel kuul muutnud, või kui keegi on autentinud vaikimisi administraatori sisseehitatud konto (Administrator). Need kaks kontot annavad piiramatu ligipääsu teie võrgule: küberkurjategijad püüavad nendele juurde pääseda, et vabalt ringi liikuda mis tahes privileegide ja ligipääsu piirangute vahel. Ja tulemuseks - pääseda juurde mis tahes andmetele, mis neid huvitavad.

Muidugi võite need haavatavused ise avastada: näiteks seadistada kalender, et meelde tuletada kontrollimist või käivitada PowerShelli skript, et koguda seda teavet.

Varonis jälgimispaneel uuendatakse automaatne , et tagada kiire ülevaade ja analüüs peamistest näitajatest, mis rõhutavad potentsiaalseid haavatavusi, et saaksite kohe meetmeid nende kõrvaldamiseks võtta.

3 peamist riskiindikaatorit domeenitasandil

Allpool on rida vidinaid, mis on saadaval Varonis jälgimispaneelil ja mille kasutamine tugevdab oluliselt ettevõtte võrgu ja IT-infrastruktuuri kaitset tervikuna.

1. Domeenide arv, mille KRBTGT konto parooli ei ole pikka aega muutunud

KRBTGT konto on AD-s erikonto, mis allkirjastab kõik Kerberos-tokenid . Küberneetilised ründajad, kes on saanud juurdepääsu domeini kontrollerile (DC), saavad seda konto kasutada, et luua kuldpilet, mis annab neile piiramatu juurdepääsu praktiliselt igale süsteemile ettevõtte võrgus. Oleme kokku puutunud olukordadega, kus pärast edukat kuldpileti saamist oli ründajal juurdepääs organisatsiooni võrgule kahe aasta jooksul. Kui teie ettevõtte KRBTGT konto parool ei ole viimase neljakümne päeva jooksul muudetud, teavitab sellest vidin.

Neljakümmend päeva on rohkem kui piisav aeg, et küberneetiline ründaja pääseks võrgule juurde. Siiski, kui tagate ja standardiseerite parooli regulaarse muutmise protsessi, muudab see ründaja jaoks ettevõtte võrgule juurdepääsu oluliselt keerulisemaks.

Pidage meeles, et vastavalt Microsofti Kerberos protokolli rakendusele peate parooli muutma kaks korda KRBTGT.

Edasi, see AD-vidin tuletab meelde, kui on aeg taas muuta KRBTGT parooli kõigis teie võrgus olevates domeenides.

2. Domeenide arv, kus on hiljuti kasutatud sissehitatud administraatori kontot (Administrator)

Vastavalt minimaalse privileegide põhimõttest — süsteemiadministraatoritele antakse kaks kontot: esimene on igapäevaseks kasutamiseks ja teine on planeeritud haldustööde jaoks. See tähendab, et keegi ei peaks vaikimisi administraatori kontot kasutama.

Sisseboomitud administraatori konto kasutada lihtsustamiseks võib muutuda halvaks harjumuseks, mille tulemuseks on häkkimine. Kui teie organisatsioonis see toimub, on teil raske eristada selle konto õiget kasutamist potentsiaalsest pahatahtlikust juurdepääsust.

Kui vidin näitab midagi, mis on erinev nullist, tähendab see, et keegi töötab vale enamike administraatori kontotega. Sellisel juhul tuleb võtta meetmeid selle parandamiseks ja juurdepääsu piiramiseks sissehitatud administraatori kontole.
Kui olete saavutanud vidina nullväärtuse ja süsteemiadministraatorid ei kasuta enam seda kontot oma tööks, siis edasine muudatus viitab potentsiaalsele küberrünnakule.

3. Domeenide arv, kus puudub kaitstud kasutajate grupp (Protected Users)

Vanad AD versioonid toetasid nõrka krüpteerimistüüpi - RC4. Häkkerid on RC4 juba aastaid tagajooksnud, ja nüüd on ründajatele üsna triviaalne ülesanne murda konto, mis endiselt kasutab RC4-d. Windows Server 2012 esitatud Active Directory versioonis tutvustati uut tüüpi kasutajate gruppi, mis kannab nime Kaitstud kasutajad (Protected Users). See annab täiendavaid kaitsevahendeid ja takistab kasutajate autentimist, kasutades RC4 krüpteerimist.

See vidin näitab, kui mõnes organisatsiooni domeenis puudub selline grupp, nii et saaksite selle parandada, st aktiveerida kaitstud kasutajate grupi ja kasutada seda oma infrastruktuuri kaitsmiseks.

Ründajatele lihtsad sihtmärgid

Kasutajakontod on ründajate peamine sihtmärk – alates esimestest sissetungi katsetest kuni pideva privileegide tõstmise ja oma tegevuse varjamiseni. Ründajad otsivad teie võrgus lihtsaid sihtmärke, kasutades baas PowerShelli käske, mida on sageli raske tuvastada. Eemaldage AD-st võimalikult palju selliseid lihtsaid sihtmärke.

Ründajad otsivad kasutajaid, kellel on piiramatud paroolide kehtivusajad (või kellelt ei nõuta paroole), tehnoloogia kontosid, mis on administraatorid, ja kontosid, mis kasutavad vananenud RC4 krüpteerimist.

Igaüks neist kontodest on kas triviaalne juurde pääseda või tavaliselt ei ole nad jälgimise all. Ründajad võivad need kontod hõivata ja liikuda teie infrastruktuuris takistamatult.

Kui ründajad on pääsenud turvapiirangust läbi, saavad nad tõenäoliselt ligipääsu vähemalt ühe kontole. Kas suudate takistada neid pääsemast konfidentsiaalsetele andmetele, enne kui tuvastate ja likvideerite rünnaku?

Varonis AD jälgimisplaat näitab haavatavaid kasutajakontosid, et saaksite probleemid varakult lahendada. Mida keerulisem on sissetungimine teie võrgusse, seda suuremad on teie võimalused elukutseid ennetada, enne kui nad tõsist kahju tekitavad.

4 peamist riskiindikaatorit kasutajakontodele

Allpool on näited Varonis AD jälgimisplaadi vidinatest, mis näitavad kõige haavatavamaid kasutajakontosid.

1. Aktiivsete kasutajate arv, kellel on paroolid, mille aegumine ei ole kunagi määratud

Iga pahatahtlikule isikule on sellise kontole juurdepääs alati suur õnn. Kuna parooli aegumine ei ole kunagi määratud, omandab ründaja pideva tugipunkti võrgus, mida saab seejärel kasutada privileegide tõstmiseks või infrastruktuuris liiklemiseks.
Ründajad omavad loendeid miljonitest 'kasutaja-parool' kombinatsioonidest, mida nad kasutavad kontoandmete vahetuse rünnakuteks, ja tõenäosus, et
kombinatsioon kasutajale, kellel on 'igavene' parool, on mõnes sellises loendis, on kaugel nullist.

Kontod, millel on kehtetud paroolid, on lihtsalt hallatavad, kuid need ei ole turvalised. Kasutage seda vidinat, et leida kõik kontod, millel on sellised paroolid. Muutke seda parameetrit ja värskendage parooli.

Kuna selle vidina väärtus jõuab nulli, ilmuvad kõik uued kontod, mis on loodud sellise parooliga, jälgimisplaadile.

2. Administratiivsete kontode arv, millel on SPN

SPN (Teenuse peamine nimi) on teenuse (teenuse) eksemplari ainulaadne identifikaator. See vidin näitab, kui palju teenusekontosid on täielike administraatoriõigustega. Vidina väärtus peaks olema null. Administratiivsete õigustega SPN-de andmine on mugav tarkvaratootjatele ja rakenduste halduritele, kuid see toob kaasa turvariski.

Teenuse administraatori konto andmine võimaldab ründajal saada täieliku juurdepääsu kontole, mida ei kasutata. See tähendab, et ründajad, kellel on juurdepääs SPN kontodele, saavad infrastruktuuris vabalt tegutseda ja samal ajal vältida oma tegevuse jälgimist.

Selle probleemi lahendamiseks tuleks muuta teenusekontode õigusi. Need kontod peaksid järgima võimalikult väikeste privileegide põhimõtet ja omama ainult neid õigusi, mis on nende tööks tõeliselt vajalikud.

Selle vidina abil saate avastada kõik SPN-id, kellel on administraatori õigused, eemaldada sellised õigused ja hiljem jälgida SPN-e, järgides sama minimaalse juurdepääsu põhimõtet.

Uued SPN-id kuvatakse juhtpaneelil ja saate seda protsessi jälgida.

3. Kasutajate arv, kellel ei ole vaja Kerberose autentimise eelkontrolli.

Ideaalis krüpteerib Kerberos autentimise pileti AES-256 krüpteerimisega, mis ei ole siiani purustatud.

Kuid vanemad Kerberose versioonid kasutasid RC4 krüpteerimist, mille saab nüüd minutitega murda. See vidin näitab, millised kasutajakontod kasutavad endiselt RC4. Microsoft toetab endiselt RC4 tagurpidi ühilduvuse tõttu, kuid see ei tähenda, et te peaksite seda oma AD-s kasutama.

Pärast selliste kontode tuvastamist peate AD-s eemaldama märgi "Kerberose eelkontrolli autoriseerimine ei ole nõutav", et kontod kasutaksid keerukamat krüpteerimist.

Nende kontode iseseisev tuvastamine, ilma Varonis AD juhtpaneelita, võtab palju aega. Tegelikult on aeganõudvam olla õigeaegselt kursis kõigi kontode osas, mis on muudetud kasutama RC4 krüpteerimist.

Kui vidina väärtus muutub, võib see viidata ebaseaduslikule tegevusele.

4. Kasutajate arv, kellel ei ole parooli.

Kurjategijad kasutavad PowerShelli baaskäsklusi AD-st lipu „PASSWD_NOTREQD“ lugemiseks, kasutajakonto omadustes. Selle lipu kasutamine tähendab, et parooli olemasolu või keerukuse nõudeid ei ole.
Kui lihtne on varastada konto, millel on lihtne või tühi parool? Ja nüüd kujutage ette, et üks neist kontodest on administraator.

Mis siis, kui üks tuhandest konfidentsiaalsest failist, mis on avatud kõigile, on tulevane finantsaruanne?

Paroolita sisestuse kohustusliku nõude ignoreerimine on veel üks lühike tee süsteemi haldamises, mida on sageli varem kasutatud, kuid täna on see lubamatu ja ebasoovitav.

Lahendage see probleem, uuendades selliste kontode paroole.

Selle vidina jälgimine tulevikus aitab teil vältida paroolita kontode tekkimist.

Varonis tasakaalustab võimalused

Varem võttis artiklis käsitletud näitajate kogumine ja analüüsimine palju aega ning nõudis sügavat PowerShelli teadmiste alust: turvaspetsialistid pidid selliste ülesannete jaoks ressursse eraldama iga nädala või kuu tagant. Kuid käsitsi teabe kogumine ja töötlemine annab kurjategijatele eelise andmete varguseks.

A Varonis veedate ühe päeva AD juhtpaneeli ja lisakomponentide üles seadmiseks, et koguda kõik käsitletud ja palju teisi haavatavusi. Edasi, eksploiteerimise käigus, uuendatakse juhtpaneeli automaatselt vastavalt infrastruktuuri seisundi muutumisele.

Küberrünnakud on alati võidujooks ründajate ja kaitsjate vahel, kurjategija püüab andmeid varastada, enne kui turvaspetsialistid suudavad neile juurdepääsu sulgeda. Varajane tuvastamine kurjategijatelt ja nende ebaseaduslikest tegevustest, koos tugeva küberkaitsega, on teie andmete turvalisuse tagamise võti.

Allikas: habr.com