સક્રિય ડિરેક્ટરીમાં ડેટા ગોપનીયતા સમસ્યા

નો ઉપયોગ કરીને મેં પેનિટ્રેશન ટેસ્ટિંગ કર્યું છે પાવરવ્યુ અને તેનો ઉપયોગ સક્રિય ડિરેક્ટરી (ત્યારબાદ AD તરીકે ઓળખવામાં આવે છે) માંથી વપરાશકર્તા માહિતી પુનઃપ્રાપ્ત કરવા માટે કરે છે. તે સમયે, મારો ભાર સુરક્ષા જૂથ સભ્યપદની માહિતી એકત્રિત કરવા અને પછી નેટવર્ક નેવિગેટ કરવા માટે તે માહિતીનો ઉપયોગ કરવા પર હતો. કોઈપણ રીતે, AD સંવેદનશીલ કર્મચારી ડેટા ધરાવે છે, જેમાંથી કેટલાક ખરેખર સંસ્થામાં દરેક માટે સુલભ ન હોવા જોઈએ. હકીકતમાં, વિન્ડોઝ ફાઇલ સિસ્ટમ્સમાં એક સમકક્ષ છે "દરેક" સમસ્યા, જેનો ઉપયોગ આંતરિક અને બાહ્ય હુમલાખોરો દ્વારા પણ થઈ શકે છે.

પરંતુ આપણે ગોપનીયતા સમસ્યાઓ અને તેને કેવી રીતે ઠીક કરવી તે વિશે વાત કરીએ તે પહેલાં, ચાલો AD માં સંગ્રહિત ડેટા પર એક નજર કરીએ.

એક્ટિવ ડિરેક્ટરી કોર્પોરેટ ફેસબુક છે

પરંતુ આ કિસ્સામાં, તમે પહેલાથી જ દરેક સાથે મિત્રતા કરી લીધી છે! તમે તમારા સહકાર્યકરોની મનપસંદ મૂવીઝ, પુસ્તકો અથવા રેસ્ટોરન્ટ વિશે જાણતા નથી, પરંતુ AD સંવેદનશીલ સંપર્ક માહિતી ધરાવે છે.
ડેટા અને અન્ય ફીલ્ડ કે જેનો ઉપયોગ હેકર્સ દ્વારા અને ખાસ ટેકનિકલ કૌશલ્યો વિના અંદરના લોકો દ્વારા પણ કરી શકાય છે.

સિસ્ટમ સંચાલકો અલબત્ત નીચેના સ્ક્રીનશોટથી પરિચિત છે. આ એક્ટિવ ડિરેક્ટરી યુઝર્સ એન્ડ કોમ્પ્યુટર્સ (ADUC) ઈન્ટરફેસ છે જ્યાં તેઓ વપરાશકર્તાની માહિતી સેટ કરે છે અને તેમાં ફેરફાર કરે છે અને વપરાશકર્તાઓને યોગ્ય જૂથોને સોંપે છે.

AD એ કર્મચારીનું નામ, સરનામું અને ફોન નંબર માટે ફીલ્ડ ધરાવે છે, તેથી તે ટેલિફોન ડિરેક્ટરી જેવું જ છે. પરંતુ ત્યાં ઘણું બધું છે! અન્ય ટેબમાં ઈમેલ અને વેબ સરનામું, લાઇન મેનેજર અને નોંધો પણ સામેલ છે.

શું સંસ્થામાં દરેક વ્યક્તિએ આ માહિતી જોવાની જરૂર છે, ખાસ કરીને યુગમાં OSINT, જ્યારે દરેક નવી વિગત વધુ માહિતી શોધવાનું વધુ સરળ બનાવે છે?

અલબત્ત નહીં! જ્યારે કંપનીના ટોચના મેનેજમેન્ટનો ડેટા તમામ કર્મચારીઓ માટે ઉપલબ્ધ હોય ત્યારે સમસ્યા વધી જાય છે.

દરેક માટે પાવર વ્યૂ

આ તે છે જ્યાં પાવર વ્યૂ રમતમાં આવે છે. તે AD ને ઍક્સેસ કરતા અંતર્ગત (અને ગૂંચવણમાં મૂકે તેવા) Win32 ફંક્શન માટે ખૂબ જ વપરાશકર્તા-મૈત્રીપૂર્ણ પાવરશેલ ઇન્ટરફેસ પ્રદાન કરે છે. ટૂંક માં:
આ AD ફીલ્ડ્સને પુનઃપ્રાપ્ત કરવાનું ખૂબ જ ટૂંકા cmdlet ટાઇપ કરવા જેટલું સરળ બનાવે છે.

ચાલો ક્રુએલા ડેવિલના કર્મચારી વિશે માહિતી એકત્રિત કરવાનું ઉદાહરણ લઈએ, જે કંપનીના નેતાઓમાંના એક છે. આ કરવા માટે, PowerView get-NetUser cmdlet નો ઉપયોગ કરો:

પાવરવ્યુ ઇન્સ્ટોલ કરવું એ ગંભીર સમસ્યા નથી - પૃષ્ઠ પર તમારા માટે જુઓ GitHub. અને વધુ અગત્યનું, તમને ઘણા પાવરવ્યુ આદેશો ચલાવવા માટે એલિવેટેડ વિશેષાધિકારોની જરૂર નથી, જેમ કે get-NetUser. આ રીતે, પ્રેરિત પરંતુ ખૂબ જ ટેક-સેવી ન હોય તેવા કર્મચારી ખૂબ પ્રયત્નો કર્યા વિના AD સાથે ટિંકરિંગ શરૂ કરી શકે છે.

ઉપરોક્ત સ્ક્રીનશૉટમાંથી, તમે જોઈ શકો છો કે આંતરિક વ્યક્તિ ઝડપથી ક્રુએલા વિશે ઘણું શીખી શકે છે. શું તમે એ પણ નોંધ્યું છે કે "માહિતી" ફીલ્ડ વપરાશકર્તાની વ્યક્તિગત ટેવો અને પાસવર્ડ વિશેની માહિતી દર્શાવે છે?

આ કોઈ સૈદ્ધાંતિક શક્યતા નથી. થી અન્ય પેન્ટેસ્ટર સાથે સંવાદો મેં શીખ્યા કે તેઓ સાદા લખાણ પાસવર્ડ્સ શોધવા માટે AD સ્કેન કરે છે, અને ઘણીવાર આ પ્રયાસો કમનસીબે સફળ થાય છે. તેઓ જાણે છે કે કંપનીઓ AD માં માહિતી પ્રત્યે બેદરકાર છે, અને તેઓ આગામી વિષય: AD પરવાનગીઓથી અજાણ હોવાનું વલણ ધરાવે છે.

સક્રિય નિર્દેશિકાની પોતાની ACL છે

AD વપરાશકર્તાઓ અને કમ્પ્યુટર્સ ઇન્ટરફેસ તમને AD ઑબ્જેક્ટ્સ પર પરવાનગીઓ સેટ કરવાની મંજૂરી આપે છે. AD પાસે ACL છે અને સંચાલકો તેમના દ્વારા ઍક્સેસ આપી શકે છે અથવા નકારી શકે છે. તમારે ADUC વ્યુ મેનૂમાં "એડવાન્સ્ડ" પર ક્લિક કરવાની જરૂર છે અને પછી જ્યારે તમે વપરાશકર્તાને ખોલશો ત્યારે તમને "સુરક્ષા" ટેબ દેખાશે જ્યાં તમે ACL સેટ કર્યું છે.

મારા ક્રુએલા દૃશ્યમાં, હું ઇચ્છતો ન હતો કે બધા પ્રમાણિત વપરાશકર્તાઓ તેણીની વ્યક્તિગત માહિતી જોઈ શકે, તેથી મેં તેમને વાંચવાની ઍક્સેસ નકારી છે:

અને હવે સામાન્ય વપરાશકર્તા આ જોશે જો તેઓ PowerView માં Get-NetUser અજમાવશે:

હું દેખીતી રીતે ઉપયોગી માહિતીને આંખોથી છુપાવવામાં સફળ રહ્યો. તેને સંબંધિત વપરાશકર્તાઓ માટે સુલભ રાખવા માટે, મેં VIP જૂથના સભ્યો (ક્રુએલા અને તેના અન્ય ઉચ્ચ-ક્રમાંકિત સાથીદારો)ને આ સંવેદનશીલ ડેટાને ઍક્સેસ કરવાની મંજૂરી આપવા માટે બીજું ACL બનાવ્યું છે. બીજા શબ્દોમાં કહીએ તો, મેં રોલ મોડલના આધારે AD પરવાનગીઓ અમલમાં મૂકી છે, જેણે ઇન્સાઇડર્સ સહિત મોટાભાગના કર્મચારીઓ માટે સંવેદનશીલ ડેટાને અપ્રાપ્ય બનાવ્યો છે.

જો કે, તમે એડીમાં ગ્રુપ ઑબ્જેક્ટ પર ACL સેટ કરીને વપરાશકર્તાઓ માટે જૂથ સભ્યપદને અદ્રશ્ય બનાવી શકો છો. આ ગોપનીયતા અને સુરક્ષાના સંદર્ભમાં મદદ કરશે.

તેના માં મહાકાવ્ય પેન્ટેસ્ટની શ્રેણી મેં બતાવ્યું કે તમે PowerViews Get-NetGroupMember નો ઉપયોગ કરીને જૂથ સભ્યપદની તપાસ કરીને સિસ્ટમને કેવી રીતે નેવિગેટ કરી શકો છો. મારી સ્ક્રિપ્ટમાં, મેં ચોક્કસ જૂથમાં સભ્યપદની વાંચન ઍક્સેસને પ્રતિબંધિત કરી છે. તમે ફેરફારો પહેલાં અને પછી આદેશ ચલાવવાનું પરિણામ જોઈ શકો છો:

હું VIP જૂથમાં ક્રુએલા અને મોન્ટી બર્ન્સની સદસ્યતાને છુપાવવામાં સક્ષમ હતો, જેના કારણે હેકર્સ અને અંદરના લોકો માટે ઈન્ફ્રાસ્ટ્રક્ચરની તપાસ કરવાનું મુશ્કેલ બન્યું.

આ પોસ્ટનો હેતુ તમને ક્ષેત્રોને નજીકથી જોવા માટે પ્રોત્સાહિત કરવાનો હતો
એડી અને સંબંધિત પરવાનગીઓ. AD એ એક મહાન સંસાધન છે, પરંતુ તમે કેવી રીતે કરશો તે વિશે વિચારો
ખાસ કરીને ગોપનીય માહિતી અને વ્યક્તિગત ડેટા શેર કરવા માંગે છે
જ્યારે તમારી સંસ્થાના ઉચ્ચ અધિકારીઓની વાત આવે છે.  

સોર્સ: www.habr.com