વરોનિસ ડેશબોર્ડમાં 7 મુખ્ય સક્રિય નિર્દેશિકા જોખમ સૂચકાંકો

હુમલાખોરને તમારા નેટવર્કમાં પ્રવેશવા માટે સમય અને પ્રેરણાની જરૂર હોય છે. પરંતુ અમારું કામ તેને આ કરતા અટકાવવાનું છે, અથવા ઓછામાં ઓછું આ કાર્ય શક્ય તેટલું મુશ્કેલ બનાવવાનું છે. તમારે એક્ટિવ ડાયરેક્ટરી (ત્યારબાદ AD તરીકે ઓળખવામાં આવે છે) માં નબળાઈઓને ઓળખીને પ્રારંભ કરવાની જરૂર છે જેનો ઉપયોગ હુમલાખોર ઍક્સેસ મેળવવા અને શોધ્યા વિના નેટવર્કની આસપાસ ફરવા માટે કરી શકે છે. આજે આ લેખમાં અમે ઉદાહરણ તરીકે AD Varonis ડેશબોર્ડનો ઉપયોગ કરીને તમારી સંસ્થાના સાયબર સંરક્ષણમાં અસ્તિત્વમાં રહેલી નબળાઈઓને પ્રતિબિંબિત કરતા જોખમ સૂચકાંકોને જોઈશું.

હુમલાખોરો ડોમેનમાં ચોક્કસ ગોઠવણીનો ઉપયોગ કરે છે

હુમલાખોરો કોર્પોરેટ નેટવર્કમાં પ્રવેશ કરવા અને વિશેષાધિકારો વધારવા માટે વિવિધ પ્રકારની હોંશિયાર તકનીકો અને નબળાઈઓનો ઉપયોગ કરે છે. આમાંની કેટલીક નબળાઈઓ ડોમેન રૂપરેખાંકન સેટિંગ્સ છે જે ઓળખી લીધા પછી સરળતાથી બદલી શકાય છે.

જો તમે (અથવા તમારા સિસ્ટમ એડમિનિસ્ટ્રેટર્સ) છેલ્લા મહિનામાં KRBTGT પાસવર્ડ બદલ્યો ન હોય અથવા કોઈએ ડિફોલ્ટ બિલ્ટ-ઇન એડમિનિસ્ટ્રેટર એકાઉન્ટ સાથે પ્રમાણિત કર્યું હોય તો AD ડેશબોર્ડ તમને તરત જ ચેતવણી આપશે. આ બે એકાઉન્ટ્સ તમારા નેટવર્કની અમર્યાદિત ઍક્સેસ પ્રદાન કરે છે: હુમલાખોરો વિશેષાધિકારો અને ઍક્સેસ પરવાનગીઓમાં કોઈપણ પ્રતિબંધોને સરળતાથી બાયપાસ કરવા માટે તેમની ઍક્સેસ મેળવવાનો પ્રયાસ કરશે. અને, પરિણામે, તેઓને રુચિ હોય તેવા કોઈપણ ડેટાની ઍક્સેસ મળે છે.

અલબત્ત, તમે આ નબળાઈઓ જાતે શોધી શકો છો: ઉદાહરણ તરીકે, આ માહિતી એકત્રિત કરવા માટે પાવરશેલ સ્ક્રિપ્ટને તપાસવા અથવા ચલાવવા માટે કેલેન્ડર રીમાઇન્ડર સેટ કરો.

Varonis ડેશબોર્ડ અપડેટ કરવામાં આવી રહ્યું છે આપમેળે સંભવિત નબળાઈઓને હાઈલાઈટ કરતા કી મેટ્રિક્સની ઝડપી દૃશ્યતા અને વિશ્લેષણ પ્રદાન કરવા માટે જેથી તમે તેમને સંબોધવા માટે તાત્કાલિક પગલાં લઈ શકો.

3 કી ડોમેન સ્તર જોખમ સૂચકાંકો

નીચે વરોનિસ ડેશબોર્ડ પર ઉપલબ્ધ સંખ્યાબંધ વિજેટ્સ છે, જેનો ઉપયોગ કોર્પોરેટ નેટવર્ક અને સમગ્ર IT ઈન્ફ્રાસ્ટ્રક્ચરની સુરક્ષામાં નોંધપાત્ર વધારો કરશે.

1. ડોમેન્સની સંખ્યા કે જેના માટે કર્બરોસ એકાઉન્ટ પાસવર્ડ નોંધપાત્ર સમયગાળા માટે બદલાયો નથી

KRBTGT એકાઉન્ટ એ AD માં એક વિશેષ ખાતું છે જે દરેક વસ્તુ પર સહી કરે છે કર્બેરોસ ટિકિટ . ડોમેન કંટ્રોલર (DC) ની ઍક્સેસ મેળવનારા હુમલાખોરો આ એકાઉન્ટ બનાવવા માટે ઉપયોગ કરી શકે છે ગોલ્ડન ટિકિટ, જે તેમને કોર્પોરેટ નેટવર્ક પર લગભગ કોઈપણ સિસ્ટમમાં અમર્યાદિત ઍક્સેસ આપશે. અમે એવી પરિસ્થિતિનો સામનો કર્યો કે જ્યાં, સફળતાપૂર્વક ગોલ્ડન ટિકિટ પ્રાપ્ત કર્યા પછી, હુમલાખોરને બે વર્ષ સુધી સંસ્થાના નેટવર્કની ઍક્સેસ હતી. જો છેલ્લા ચાલીસ દિવસમાં તમારી કંપનીમાં KRBTGT એકાઉન્ટનો પાસવર્ડ બદલાયો નથી, તો વિજેટ તમને આ વિશે જાણ કરશે.

હુમલાખોરને નેટવર્કની ઍક્સેસ મેળવવા માટે ચાલીસ દિવસ પૂરતા સમય કરતાં વધુ છે. જો કે, જો તમે નિયમિત ધોરણે આ પાસવર્ડ બદલવાની પ્રક્રિયાને લાગુ અને પ્રમાણિત કરો છો, તો તે હુમલાખોર માટે તમારા કોર્પોરેટ નેટવર્કમાં પ્રવેશવું વધુ મુશ્કેલ બનાવશે.

યાદ રાખો કે માઈક્રોસોફ્ટના કર્બેરોસ પ્રોટોકોલના અમલીકરણ મુજબ, તમારે આવશ્યક છે બે વાર પાસવર્ડ બદલો KRBTGT.

ભવિષ્યમાં, તમારા નેટવર્ક પરના તમામ ડોમેન્સ માટે KRBTGT પાસવર્ડ ફરીથી બદલવાનો સમય આવે ત્યારે આ AD વિજેટ તમને યાદ કરાવશે.

2. ડોમેન્સની સંખ્યા જ્યાં બિલ્ટ-ઇન એડમિનિસ્ટ્રેટર એકાઉન્ટ તાજેતરમાં ઉપયોગમાં લેવાયું હતું

અનુસાર ઓછામાં ઓછા વિશેષાધિકારનો સિદ્ધાંત - સિસ્ટમ એડમિનિસ્ટ્રેટર્સને બે એકાઉન્ટ્સ પ્રદાન કરવામાં આવે છે: પ્રથમ રોજિંદા ઉપયોગ માટેનું એકાઉન્ટ છે, અને બીજું આયોજિત વહીવટી કાર્ય માટે છે. આનો અર્થ એ છે કે કોઈએ ડિફોલ્ટ એડમિનિસ્ટ્રેટર એકાઉન્ટનો ઉપયોગ કરવો જોઈએ નહીં.

બિલ્ટ-ઇન એડમિનિસ્ટ્રેટર એકાઉન્ટનો ઉપયોગ ઘણીવાર સિસ્ટમ એડમિનિસ્ટ્રેશન પ્રક્રિયાને સરળ બનાવવા માટે થાય છે. આ એક ખરાબ આદત બની શકે છે, પરિણામે હેકિંગ થઈ શકે છે. જો તમારી સંસ્થામાં આવું થાય, તો તમને આ એકાઉન્ટના યોગ્ય ઉપયોગ અને સંભવિત દૂષિત ઍક્સેસ વચ્ચે તફાવત કરવામાં મુશ્કેલી પડશે.

જો વિજેટ શૂન્ય સિવાય બીજું કંઈપણ બતાવે છે, તો કોઈ વ્યક્તિ વહીવટી એકાઉન્ટ્સ સાથે યોગ્ય રીતે કામ કરી રહ્યું નથી. આ કિસ્સામાં, તમારે બિલ્ટ-ઇન એડમિનિસ્ટ્રેટર એકાઉન્ટની ઍક્સેસને સુધારવા અને મર્યાદિત કરવા માટે પગલાં લેવા આવશ્યક છે.
એકવાર તમે શૂન્યનું વિજેટ મૂલ્ય પ્રાપ્ત કરી લો અને સિસ્ટમ એડમિનિસ્ટ્રેટર્સ હવે તેમના કાર્ય માટે આ એકાઉન્ટનો ઉપયોગ કરશે નહીં, પછી ભવિષ્યમાં, તેમાં કોઈપણ ફેરફાર સંભવિત સાયબર હુમલાનો સંકેત આપશે.

3. ડોમેન્સની સંખ્યા કે જેમાં સંરક્ષિત વપરાશકર્તાઓનું જૂથ નથી

AD ના જૂના સંસ્કરણો નબળા એન્ક્રિપ્શન પ્રકાર - RC4 ને સપોર્ટ કરે છે. હેકર્સે ઘણા વર્ષો પહેલા RC4 ને હેક કર્યું હતું, અને હવે હુમલાખોર માટે RC4 નો ઉપયોગ કરતા એકાઉન્ટને હેક કરવું ખૂબ જ નાનું કામ છે. વિન્ડોઝ સર્વર 2012 માં રજૂ કરાયેલ એક્ટિવ ડાયરેક્ટરીનું વર્ઝન પ્રોટેક્ટેડ યુઝર્સ ગ્રૂપ તરીકે ઓળખાતા નવા પ્રકારના વપરાશકર્તા જૂથને રજૂ કરે છે. તે વધારાના સુરક્ષા સાધનો પૂરા પાડે છે અને RC4 એન્ક્રિપ્શનનો ઉપયોગ કરીને વપરાશકર્તા પ્રમાણીકરણને અટકાવે છે.

આ વિજેટ પ્રદર્શિત કરશે કે જો સંસ્થાના કોઈપણ ડોમેનમાં આવા જૂથ ખૂટે છે જેથી કરીને તમે તેને ઠીક કરી શકો, એટલે કે. સંરક્ષિત વપરાશકર્તાઓના જૂથને સક્ષમ કરો અને ઇન્ફ્રાસ્ટ્રક્ચરને સુરક્ષિત કરવા માટે તેનો ઉપયોગ કરો.

હુમલાખોરો માટે સરળ લક્ષ્યો

યુઝર એકાઉન્ટ્સ હુમલાખોરો માટે નંબર વન લક્ષ્ય છે, વિશેષાધિકારોના સતત વધારા અને તેમની પ્રવૃત્તિઓ છુપાવવાના પ્રારંભિક ઘૂસણખોરીના પ્રયાસોથી. હુમલાખોરો મૂળભૂત પાવરશેલ આદેશોનો ઉપયોગ કરીને તમારા નેટવર્ક પર સરળ લક્ષ્યો શોધે છે જેને શોધવાનું ઘણીવાર મુશ્કેલ હોય છે. AD માંથી શક્ય તેટલા આ સરળ લક્ષ્યો દૂર કરો.

હુમલાખોરો ક્યારેય સમાપ્ત ન થતા પાસવર્ડ્સ (અથવા જેમને પાસવર્ડની જરૂર નથી), ટેક્નોલોજી એકાઉન્ટ્સ કે જે એડમિનિસ્ટ્રેટર્સ છે અને લેગસી RC4 એન્ક્રિપ્શનનો ઉપયોગ કરતા હોય તેવા એકાઉન્ટ્સ ધરાવતા વપરાશકર્તાઓને શોધી રહ્યાં છે.

આમાંનું કોઈપણ એકાઉન્ટ ઍક્સેસ કરવા માટે તુચ્છ છે અથવા સામાન્ય રીતે મોનિટર કરવામાં આવતું નથી. હુમલાખોરો આ એકાઉન્ટ્સ પર કબજો કરી શકે છે અને તમારા ઈન્ફ્રાસ્ટ્રક્ચરમાં મુક્તપણે ફરી શકે છે.

એકવાર હુમલાખોરો સુરક્ષા પરિમિતિમાં ઘૂસી જાય, પછી તેઓ ઓછામાં ઓછા એક એકાઉન્ટની ઍક્સેસ મેળવશે. શું તમે હુમલાની શોધ અને સમાવિષ્ટ થાય તે પહેલાં તેમને સંવેદનશીલ ડેટાની ઍક્સેસ મેળવવાથી રોકી શકો છો?

Varonis AD ડેશબોર્ડ સંવેદનશીલ વપરાશકર્તા એકાઉન્ટ્સને નિર્દેશિત કરશે જેથી તમે સમસ્યાનું નિવારણ સક્રિય રીતે કરી શકો. તમારા નેટવર્કમાં પ્રવેશવું જેટલું મુશ્કેલ છે, હુમલાખોરને ગંભીર નુકસાન થાય તે પહેલાં તેને નિષ્ક્રિય કરવાની તમારી તકો વધુ સારી છે.

વપરાશકર્તા ખાતાઓ માટે 4 મુખ્ય જોખમ સૂચકાંકો

નીચે Varonis AD ડેશબોર્ડ વિજેટ્સના ઉદાહરણો છે જે સૌથી વધુ સંવેદનશીલ વપરાશકર્તા એકાઉન્ટ્સને પ્રકાશિત કરે છે.

1. પાસવર્ડ સાથે સક્રિય વપરાશકર્તાઓની સંખ્યા જે ક્યારેય સમાપ્ત થતા નથી

કોઈપણ હુમલાખોર માટે આવા એકાઉન્ટની ઍક્સેસ મેળવવી હંમેશા મોટી સફળતા છે. પાસવર્ડ ક્યારેય સમાપ્ત થતો ન હોવાથી, હુમલાખોર નેટવર્કમાં કાયમી પગ ધરાવે છે, જેનો ઉપયોગ પછી કરી શકાય છે વિશેષાધિકાર વૃદ્ધિ અથવા ઇન્ફ્રાસ્ટ્રક્ચરની અંદર હલનચલન.
હુમલાખોરો પાસે લાખો વપરાશકર્તા-પાસવર્ડ સંયોજનોની સૂચિ છે જેનો તેઓ ઓળખપત્ર ભરણના હુમલામાં ઉપયોગ કરે છે, અને સંભાવના એ છે કે
કે વપરાશકર્તા માટે "શાશ્વત" પાસવર્ડ સાથેનું સંયોજન આ સૂચિમાંની એકમાં છે, જે શૂન્ય કરતાં ઘણું વધારે છે.

નોન-એક્સપાયર થતા પાસવર્ડવાળા એકાઉન્ટ્સનું સંચાલન કરવું સરળ છે, પરંતુ તે સુરક્ષિત નથી. આવા પાસવર્ડ ધરાવતા તમામ એકાઉન્ટ્સ શોધવા માટે આ વિજેટનો ઉપયોગ કરો. આ સેટિંગ બદલો અને તમારો પાસવર્ડ અપડેટ કરો.

એકવાર આ વિજેટની કિંમત શૂન્ય પર સેટ થઈ જાય પછી, તે પાસવર્ડ વડે બનાવેલ કોઈપણ નવા એકાઉન્ટ ડેશબોર્ડમાં દેખાશે.

2. SPN સાથે વહીવટી ખાતાઓની સંખ્યા

SPN (સર્વિસ પ્રિન્સિપલ નેમ) એ સર્વિસ ઇન્સ્ટન્સનું અનન્ય ઓળખકર્તા છે. આ વિજેટ બતાવે છે કે કેટલા સર્વિસ એકાઉન્ટમાં સંપૂર્ણ એડમિનિસ્ટ્રેટર અધિકારો છે. વિજેટ પરનું મૂલ્ય શૂન્ય હોવું આવશ્યક છે. વહીવટી અધિકારો સાથે SPN થાય છે કારણ કે આવા અધિકારો આપવા એ સોફ્ટવેર વિક્રેતાઓ અને એપ્લિકેશન એડમિનિસ્ટ્રેટર્સ માટે અનુકૂળ છે, પરંતુ તે સુરક્ષા જોખમ ઊભું કરે છે.

સેવા ખાતાના વહીવટી અધિકારો આપવાથી હુમલાખોરને એવા એકાઉન્ટની સંપૂર્ણ ઍક્સેસ મેળવવાની મંજૂરી મળે છે જે ઉપયોગમાં નથી. આનો અર્થ એ છે કે SPN એકાઉન્ટ્સની ઍક્સેસ ધરાવતા હુમલાખોરો તેમની પ્રવૃત્તિઓનું નિરીક્ષણ કર્યા વિના ઈન્ફ્રાસ્ટ્રક્ચરમાં મુક્તપણે કાર્ય કરી શકે છે.

તમે સર્વિસ એકાઉન્ટ્સ પર પરવાનગીઓ બદલીને આ સમસ્યાને હલ કરી શકો છો. આવા એકાઉન્ટ્સ ઓછામાં ઓછા વિશેષાધિકારના સિદ્ધાંતને આધીન હોવા જોઈએ અને તેમની પાસે ફક્ત તે જ ઍક્સેસ હોવી જોઈએ જે ખરેખર તેમના સંચાલન માટે જરૂરી છે.

આ વિજેટનો ઉપયોગ કરીને, તમે વહીવટી અધિકારો ધરાવતા તમામ SPN શોધી શકો છો, આવા વિશેષાધિકારો દૂર કરી શકો છો અને પછી ઓછામાં ઓછા વિશેષાધિકૃત ઍક્સેસના સમાન સિદ્ધાંતનો ઉપયોગ કરીને SPN ને મોનિટર કરી શકો છો.

નવા દેખાતા SPN ડેશબોર્ડ પર પ્રદર્શિત થશે, અને તમે આ પ્રક્રિયાને મોનિટર કરી શકશો.

3. એવા વપરાશકર્તાઓની સંખ્યા કે જેમને Kerberos પ્રી-ઓથેન્ટિકેશનની જરૂર નથી

આદર્શ રીતે, કર્બેરોસ AES-256 એન્ક્રિપ્શનનો ઉપયોગ કરીને પ્રમાણીકરણ ટિકિટને એન્ક્રિપ્ટ કરે છે, જે આજ સુધી અતૂટ છે.

જો કે, કર્બરોસના જૂના વર્ઝનમાં RC4 એન્ક્રિપ્શનનો ઉપયોગ થતો હતો, જે હવે મિનિટોમાં તોડી શકાય છે. આ વિજેટ બતાવે છે કે કયા વપરાશકર્તા ખાતા હજુ પણ RC4 નો ઉપયોગ કરી રહ્યા છે. માઈક્રોસોફ્ટ હજુ પણ પાછળની સુસંગતતા માટે RC4 ને સપોર્ટ કરે છે, પરંતુ તેનો અર્થ એ નથી કે તમારે તમારા AD માં તેનો ઉપયોગ કરવો જોઈએ.

એકવાર તમે આવા એકાઉન્ટ્સને ઓળખી લો તે પછી, તમારે વધુ જટિલ એન્ક્રિપ્શનનો ઉપયોગ કરવા માટે એકાઉન્ટ્સને દબાણ કરવા માટે AD માં "Kerberos પૂર્વ-અધિકૃતતાની જરૂર નથી" ચેકબોક્સને અનચેક કરવાની જરૂર છે.

Varonis AD ડેશબોર્ડ વિના, તમારા પોતાના પર આ એકાઉન્ટ્સ શોધવામાં ઘણો સમય લાગે છે. વાસ્તવમાં, RC4 એન્ક્રિપ્શનનો ઉપયોગ કરવા માટે સંપાદિત કરાયેલા તમામ એકાઉન્ટ્સથી વાકેફ રહેવું એ વધુ મુશ્કેલ કાર્ય છે.

જો વિજેટ પરની કિંમત બદલાય છે, તો આ ગેરકાયદેસર પ્રવૃત્તિ સૂચવી શકે છે.

4. પાસવર્ડ વિના વપરાશકર્તાઓની સંખ્યા

હુમલાખોરો એકાઉન્ટ પ્રોપર્ટીઝમાં AD થી "PASSWD_NOTREQD" ફ્લેગ વાંચવા માટે મૂળભૂત પાવરશેલ આદેશોનો ઉપયોગ કરે છે. આ ધ્વજનો ઉપયોગ સૂચવે છે કે ત્યાં કોઈ પાસવર્ડ આવશ્યકતાઓ અથવા જટિલતા આવશ્યકતાઓ નથી.
સાદા અથવા ખાલી પાસવર્ડથી એકાઉન્ટની ચોરી કરવી કેટલું સરળ છે? હવે કલ્પના કરો કે આ એકાઉન્ટ્સમાંથી એક એડમિનિસ્ટ્રેટર છે.

જો દરેક માટે ખુલ્લી હજારો ગોપનીય ફાઈલોમાંથી એક આગામી નાણાકીય અહેવાલ હોય તો શું?

ફરજિયાત પાસવર્ડની જરૂરિયાતને અવગણવી એ અન્ય સિસ્ટમ એડમિનિસ્ટ્રેશન શોર્ટકટ છે જેનો ઉપયોગ ભૂતકાળમાં થતો હતો, પરંતુ આજે સ્વીકાર્ય કે સલામત નથી.

આ એકાઉન્ટ્સ માટે પાસવર્ડ અપડેટ કરીને આ સમસ્યાને ઠીક કરો.

ભવિષ્યમાં આ વિજેટનું મોનિટરિંગ તમને પાસવર્ડ વગરના એકાઉન્ટ્સને ટાળવામાં મદદ કરશે.

વારોનિસ મતભેદને સરખા કરે છે

ભૂતકાળમાં, આ લેખમાં વર્ણવેલ મેટ્રિક્સને એકત્રિત કરવા અને તેનું વિશ્લેષણ કરવાના કાર્યમાં ઘણા કલાકો લાગ્યા હતા અને પાવરશેલના ઊંડા જ્ઞાનની જરૂર હતી, સુરક્ષા ટીમોને દર અઠવાડિયે કે મહિને આવા કાર્યો માટે સંસાધનો ફાળવવાની જરૂર હતી. પરંતુ આ માહિતીનું મેન્યુઅલ એકત્રીકરણ અને પ્રક્રિયા હુમલાખોરોને ડેટાની ઘૂસણખોરી અને ચોરી કરવાની શરૂઆત આપે છે.

С વેરોનિસ તમે AD ડેશબોર્ડ અને વધારાના ઘટકોનો ઉપયોગ કરવા માટે એક દિવસ પસાર કરશો, ચર્ચા કરેલી બધી નબળાઈઓને એકત્રિત કરો અને ઘણું બધું. ભવિષ્યમાં, ઓપરેશન દરમિયાન, ઇન્ફ્રાસ્ટ્રક્ચરની સ્થિતિ બદલાતા મોનિટરિંગ પેનલ આપમેળે અપડેટ થશે.

સાયબર હુમલાઓ હાથ ધરવા એ હંમેશા હુમલાખોરો અને બચાવકર્તાઓ વચ્ચેની સ્પર્ધા હોય છે, સુરક્ષા નિષ્ણાતો તેની ઍક્સેસને અવરોધિત કરી શકે તે પહેલાં હુમલાખોરની ડેટા ચોરી કરવાની ઇચ્છા. હુમલાખોરો અને તેમની ગેરકાયદેસર પ્રવૃત્તિઓની વહેલી શોધ, મજબૂત સાયબર સંરક્ષણ સાથે, તમારા ડેટાને સુરક્ષિત રાખવાની ચાવી છે.

સોર્સ: www.habr.com