એક્સચેન્જ નબળાઈ: ડોમેન એડમિનિસ્ટ્રેટર માટે વિશેષાધિકારની ઉન્નતિ કેવી રીતે શોધવી

આ વર્ષે શોધાયેલ એક્સચેન્જમાં નબળાઈ કોઈપણ ડોમેન વપરાશકર્તાને ડોમેન એડમિનિસ્ટ્રેટર અધિકારો મેળવવા અને એક્ટિવ ડિરેક્ટરી (AD) અને અન્ય કનેક્ટેડ હોસ્ટ્સ સાથે સમાધાન કરવાની મંજૂરી આપે છે. આજે અમે તમને જણાવીશું કે આ હુમલો કેવી રીતે કામ કરે છે અને તેને કેવી રીતે શોધી શકાય.

આ હુમલો કેવી રીતે કાર્ય કરે છે તે અહીં છે:

1. એક્સચેન્જના પુશ નોટિફિકેશન ફીચર પર સબ્સ્ક્રાઇબ કરવા માટે હુમલાખોર સક્રિય મેઇલબોક્સ સાથેના કોઈપણ ડોમેન યુઝરના એકાઉન્ટ પર કબજો કરી લે છે.
2. હુમલાખોર એક્સચેન્જ સર્વરને છેતરવા માટે NTLM રિલેનો ઉપયોગ કરે છે: પરિણામે, એક્સચેન્જ સર્વર NTLM ઓવર HTTP પદ્ધતિનો ઉપયોગ કરીને ચેડા થયેલા વપરાશકર્તાના કમ્પ્યુટર સાથે જોડાય છે, જેનો ઉપયોગ હુમલાખોર પછી એક્સચેન્જ એકાઉન્ટ ઓળખપત્રો સાથે LDAP મારફતે ડોમેન નિયંત્રકને પ્રમાણિત કરવા માટે કરે છે.
3. હુમલાખોર તેમના વિશેષાધિકારોને વધારવા માટે આ એક્સચેન્જ એકાઉન્ટ ઓળખપત્રોનો ઉપયોગ કરીને સમાપ્ત થાય છે. આ છેલ્લું પગલું પ્રતિકૂળ એડમિનિસ્ટ્રેટર દ્વારા પણ કરી શકાય છે જેની પાસે જરૂરી પરવાનગી ફેરફાર કરવા માટે પહેલેથી જ કાયદેસરની ઍક્સેસ છે. આ પ્રવૃત્તિને શોધવા માટે એક નિયમ બનાવીને, તમે આ અને તેના જેવા હુમલાઓથી સુરક્ષિત રહેશો.

ત્યારબાદ, હુમલાખોર, ઉદાહરણ તરીકે, ડોમેનમાંના તમામ વપરાશકર્તાઓના હેશ કરેલા પાસવર્ડ્સ મેળવવા માટે DCSync ચલાવી શકે છે. આ તેને વિવિધ પ્રકારના હુમલાઓ અમલમાં મૂકવાની મંજૂરી આપશે - ગોલ્ડન ટિકિટ એટેકથી લઈને હેશ ટ્રાન્સમિશન સુધી.

વારોનિસ સંશોધન ટીમે આ હુમલા વેક્ટરનો વિગતવાર અભ્યાસ કર્યો છે અને અમારા ગ્રાહકો માટે તેને શોધવા માટે માર્ગદર્શિકા તૈયાર કરી છે અને તે જ સમયે તપાસો કે તેમની સાથે પહેલેથી જ ચેડા કરવામાં આવ્યા છે કે કેમ.

ડોમેન પ્રિવિલેજ એસ્કેલેશન ડિટેક્શન

В ડેટા એલર્ટ ઑબ્જેક્ટ પર ચોક્કસ પરવાનગીઓમાં ફેરફારોને ટ્રૅક કરવા માટે કસ્ટમ નિયમ બનાવો. ડોમેનમાં રસ ધરાવતા ઑબ્જેક્ટ પર અધિકારો અને પરવાનગીઓ ઉમેરતી વખતે તે ટ્રિગર થશે:

1. નિયમનું નામ સ્પષ્ટ કરો
2. શ્રેણી "વિશેષાધિકારની ઉન્નતિ" પર સેટ કરો
3. સંસાધન પ્રકારને "તમામ સંસાધન પ્રકારો" પર સેટ કરો
4. ફાઇલ સર્વર = ડિરેક્ટરી સેવાઓ
5. તમને રુચિ છે તે ડોમેનનો ઉલ્લેખ કરો, ઉદાહરણ તરીકે, નામ દ્વારા
6. AD ઑબ્જેક્ટ પર પરવાનગીઓ ઉમેરવા માટે ફિલ્ટર ઉમેરો
7. અને "સર્ચ ઇન ચાઇલ્ડ ઑબ્જેક્ટ્સ" વિકલ્પને પસંદ કર્યા વિના છોડવાનું ભૂલશો નહીં.

અને હવે રિપોર્ટ: ડોમેન ઑબ્જેક્ટના અધિકારોમાં ફેરફારોની શોધ

AD ઑબ્જેક્ટ પર પરવાનગીઓમાં ફેરફાર ખૂબ જ દુર્લભ છે, તેથી જે કંઈપણ આ ચેતવણીને ટ્રિગર કરે છે તેની તપાસ થવી જોઈએ અને થવી જોઈએ. નિયમને યુદ્ધમાં લૉન્ચ કરતા પહેલા રિપોર્ટના દેખાવ અને સામગ્રીનું પરીક્ષણ કરવું પણ એક સારો વિચાર હશે.

આ રિપોર્ટ એ પણ બતાવશે કે શું તમે પહેલાથી જ આ હુમલાથી ચેડા કરી ચૂક્યા છો:

એકવાર નિયમ સક્રિય થઈ જાય, પછી તમે DatAlert વેબ ઈન્ટરફેસનો ઉપયોગ કરીને અન્ય તમામ વિશેષાધિકાર એસ્કેલેશન ઇવેન્ટ્સની તપાસ કરી શકો છો:

એકવાર તમે આ નિયમને ગોઠવી લો તે પછી, તમે આ અને સમાન પ્રકારની સુરક્ષા નબળાઈઓ સામે દેખરેખ રાખી શકો છો અને રક્ષણ કરી શકો છો, AD ડિરેક્ટરી સેવાઓ ઑબ્જેક્ટ્સ સાથે ઇવેન્ટ્સની તપાસ કરી શકો છો અને તપાસ કરી શકો છો કે શું તમે આ નિર્ણાયક નબળાઈ માટે સંવેદનશીલ છો.

સોર્સ: www.habr.com