वरोनिस डैशबोर्ड में 7 प्रमुख सक्रिय निर्देशिका जोखिम संकेतक

एक हमलावर को आपके नेटवर्क में सेंध लगाने के लिए बस समय और प्रेरणा की आवश्यकता होती है। लेकिन हमारा काम उसे ऐसा करने से रोकना है, या कम से कम इस कार्य को यथासंभव कठिन बनाना है। आपको सक्रिय निर्देशिका (बाद में AD के रूप में संदर्भित) में कमजोरियों की पहचान करके शुरुआत करने की आवश्यकता है, जिसका उपयोग एक हमलावर बिना पता लगाए नेटवर्क तक पहुंचने और घूमने के लिए कर सकता है। आज इस लेख में हम उदाहरण के तौर पर एडी वरोनिस डैशबोर्ड का उपयोग करते हुए जोखिम संकेतकों पर गौर करेंगे जो आपके संगठन की साइबर रक्षा में मौजूदा कमजोरियों को दर्शाते हैं।

हमलावर डोमेन में कुछ कॉन्फ़िगरेशन का उपयोग करते हैं

कॉर्पोरेट नेटवर्क में घुसपैठ करने और विशेषाधिकारों को बढ़ाने के लिए हमलावर विभिन्न प्रकार की चतुर तकनीकों और कमजोरियों का उपयोग करते हैं। इनमें से कुछ कमजोरियाँ डोमेन कॉन्फ़िगरेशन सेटिंग्स हैं जिन्हें पहचाने जाने के बाद आसानी से बदला जा सकता है।

यदि आपने (या आपके सिस्टम प्रशासकों ने) पिछले महीने में केआरबीटीजीटी पासवर्ड नहीं बदला है, या यदि किसी ने डिफ़ॉल्ट अंतर्निहित प्रशासक खाते से प्रमाणित किया है तो एडी डैशबोर्ड आपको तुरंत सचेत कर देगा। ये दोनों खाते आपके नेटवर्क तक असीमित पहुंच प्रदान करते हैं: हमलावर विशेषाधिकारों और पहुंच अनुमतियों में किसी भी प्रतिबंध को आसानी से बायपास करने के लिए उन तक पहुंच प्राप्त करने का प्रयास करेंगे। और, परिणामस्वरूप, उन्हें किसी भी डेटा तक पहुंच प्राप्त होती है जिसमें उनकी रुचि होती है।

बेशक, आप इन कमजोरियों को स्वयं खोज सकते हैं: उदाहरण के लिए, इस जानकारी को एकत्र करने के लिए पावरशेल स्क्रिप्ट को जांचने या चलाने के लिए एक कैलेंडर अनुस्मारक सेट करें।

वरोनिस डैशबोर्ड को अपडेट किया जा रहा है स्वचालित रूप से संभावित कमजोरियों को उजागर करने वाले प्रमुख मैट्रिक्स की त्वरित दृश्यता और विश्लेषण प्रदान करना ताकि आप उन्हें संबोधित करने के लिए तत्काल कार्रवाई कर सकें।

3 प्रमुख डोमेन स्तर जोखिम संकेतक

नीचे वरोनिस डैशबोर्ड पर कई विजेट उपलब्ध हैं, जिनके उपयोग से समग्र रूप से कॉर्पोरेट नेटवर्क और आईटी बुनियादी ढांचे की सुरक्षा में उल्लेखनीय वृद्धि होगी।

1. उन डोमेन की संख्या जिनके लिए कर्बेरोस खाते का पासवर्ड काफी समय से नहीं बदला गया है

केआरबीटीजीटी खाता एडी में एक विशेष खाता है जो हर चीज पर हस्ताक्षर करता है केर्बरोस टिकट . जो हमलावर डोमेन नियंत्रक (डीसी) तक पहुंच प्राप्त करते हैं, वे इस खाते का उपयोग बनाने के लिए कर सकते हैं सुनहरा अवसर, जो उन्हें कॉर्पोरेट नेटवर्क पर लगभग किसी भी सिस्टम तक असीमित पहुंच प्रदान करेगा। हमें एक ऐसी स्थिति का सामना करना पड़ा, जहां सफलतापूर्वक गोल्डन टिकट प्राप्त करने के बाद, एक हमलावर के पास दो साल तक संगठन के नेटवर्क तक पहुंच थी। यदि आपकी कंपनी में केआरबीटीजीटी खाते का पासवर्ड पिछले चालीस दिनों में नहीं बदला गया है, तो विजेट आपको इसके बारे में सूचित करेगा।

किसी हमलावर के लिए नेटवर्क तक पहुंच प्राप्त करने के लिए चालीस दिन का समय पर्याप्त से अधिक है। हालाँकि, यदि आप नियमित आधार पर इस पासवर्ड को बदलने की प्रक्रिया को लागू और मानकीकृत करते हैं, तो इससे किसी हमलावर के लिए आपके कॉर्पोरेट नेटवर्क में सेंध लगाना और अधिक कठिन हो जाएगा।

याद रखें कि Microsoft के Kerberos प्रोटोकॉल के कार्यान्वयन के अनुसार, आपको अवश्य करना चाहिए पासवर्ड दो बार बदलें केआरबीटीजीटी.

भविष्य में, यह AD विजेट आपको याद दिलाएगा कि आपके नेटवर्क पर सभी डोमेन के लिए KRBTGT पासवर्ड को फिर से बदलने का समय कब आएगा।

2. उन डोमेन की संख्या जहां अंतर्निहित प्रशासक खाते का हाल ही में उपयोग किया गया था

के अनुसार न्यूनतम विशेषाधिकार का सिद्धांत — सिस्टम प्रशासकों को दो खाते प्रदान किए जाते हैं: पहला रोजमर्रा के उपयोग के लिए एक खाता है, और दूसरा नियोजित प्रशासनिक कार्य के लिए है। इसका मतलब यह है कि किसी को भी डिफ़ॉल्ट व्यवस्थापक खाते का उपयोग नहीं करना चाहिए।

अंतर्निहित व्यवस्थापक खाते का उपयोग अक्सर सिस्टम प्रशासन प्रक्रिया को सरल बनाने के लिए किया जाता है। यह एक बुरी आदत बन सकती है, जिसके परिणामस्वरूप हैकिंग हो सकती है। यदि आपके संगठन में ऐसा होता है, तो आपको इस खाते के उचित उपयोग और संभावित दुर्भावनापूर्ण पहुंच के बीच अंतर करने में कठिनाई होगी।

यदि विजेट शून्य के अलावा कुछ भी दिखाता है, तो इसका मतलब है कि कोई व्यक्ति प्रशासनिक खातों के साथ सही ढंग से काम नहीं कर रहा है। इस मामले में, आपको अंतर्निहित व्यवस्थापक खाते तक पहुंच को सही करने और सीमित करने के लिए कदम उठाने होंगे।
एक बार जब आप शून्य का विजेट मान प्राप्त कर लेते हैं और सिस्टम प्रशासक अब अपने काम के लिए इस खाते का उपयोग नहीं करते हैं, तो भविष्य में, इसमें कोई भी बदलाव संभावित साइबर हमले का संकेत देगा।

3. उन डोमेन की संख्या जिनमें संरक्षित उपयोगकर्ताओं का समूह नहीं है

AD के पुराने संस्करण कमजोर एन्क्रिप्शन प्रकार - RC4 का समर्थन करते हैं। हैकर्स ने कई साल पहले RC4 को हैक कर लिया था, और अब किसी हमलावर के लिए उस खाते को हैक करना बहुत मामूली काम है जो अभी भी RC4 का उपयोग कर रहा है। Windows Server 2012 में पेश सक्रिय निर्देशिका के संस्करण ने एक नए प्रकार का उपयोगकर्ता समूह पेश किया जिसे संरक्षित उपयोगकर्ता समूह कहा जाता है। यह अतिरिक्त सुरक्षा उपकरण प्रदान करता है और RC4 एन्क्रिप्शन का उपयोग करके उपयोगकर्ता प्रमाणीकरण को रोकता है।

यह विजेट प्रदर्शित करेगा कि क्या संगठन के किसी डोमेन में ऐसे समूह की कमी है ताकि आप इसे ठीक कर सकें, यानी। संरक्षित उपयोगकर्ताओं के एक समूह को सक्षम करें और बुनियादी ढांचे की सुरक्षा के लिए इसका उपयोग करें।

हमलावरों के लिए आसान लक्ष्य

प्रारंभिक घुसपैठ के प्रयासों से लेकर विशेषाधिकारों में निरंतर वृद्धि और उनकी गतिविधियों को छिपाने तक, उपयोगकर्ता खाते हमलावरों के लिए नंबर एक लक्ष्य हैं। हमलावर बुनियादी पावरशेल कमांड का उपयोग करके आपके नेटवर्क पर सरल लक्ष्य ढूंढते हैं जिनका पता लगाना अक्सर मुश्किल होता है। जितना संभव हो सके AD से इनमें से अधिक से अधिक आसान लक्ष्य हटाएँ।

हमलावर ऐसे उपयोगकर्ताओं की तलाश कर रहे हैं जिनके पासवर्ड कभी समाप्त नहीं होते (या जिन्हें पासवर्ड की आवश्यकता नहीं है), प्रौद्योगिकी खाते जो प्रशासक हैं, और ऐसे खाते जो विरासत आरसी 4 एन्क्रिप्शन का उपयोग करते हैं।

इनमें से किसी भी खाते तक पहुंच या तो आसान है या आम तौर पर उसकी निगरानी नहीं की जाती है। हमलावर इन खातों पर कब्ज़ा कर सकते हैं और आपके बुनियादी ढांचे के भीतर स्वतंत्र रूप से घूम सकते हैं।

एक बार जब हमलावर सुरक्षा परिधि में प्रवेश कर जाते हैं, तो संभवतः उन्हें कम से कम एक खाते तक पहुंच प्राप्त हो जाएगी। क्या आप हमले का पता चलने और उस पर काबू पाने से पहले उन्हें संवेदनशील डेटा तक पहुंच प्राप्त करने से रोक सकते हैं?

वरोनिस एडी डैशबोर्ड कमजोर उपयोगकर्ता खातों को इंगित करेगा ताकि आप समस्याओं का सक्रिय रूप से निवारण कर सकें। आपके नेटवर्क में घुसना जितना कठिन होगा, किसी हमलावर को गंभीर क्षति पहुंचाने से पहले उसे निष्क्रिय करने की संभावना उतनी ही बेहतर होगी।

उपयोगकर्ता खातों के लिए 4 प्रमुख जोखिम संकेतक

नीचे वरोनिस एडी डैशबोर्ड विजेट के उदाहरण दिए गए हैं जो सबसे कमजोर उपयोगकर्ता खातों को उजागर करते हैं।

1. ऐसे सक्रिय उपयोगकर्ताओं की संख्या जिनके पासवर्ड कभी समाप्त नहीं होते

किसी भी हमलावर के लिए ऐसे खाते तक पहुंच प्राप्त करना हमेशा एक बड़ी सफलता होती है। चूँकि पासवर्ड कभी समाप्त नहीं होता है, हमलावर के पास नेटवर्क के भीतर एक स्थायी पैठ होती है, जिसका उपयोग तब किया जा सकता है विशेषाधिकार वृद्धि या बुनियादी ढांचे के भीतर गतिविधियां।
हमलावरों के पास लाखों उपयोगकर्ता-पासवर्ड संयोजनों की सूची होती है जिनका उपयोग वे क्रेडेंशियल स्टफिंग हमलों में करते हैं, और संभावना यह है कि
उपयोगकर्ता के लिए "अनन्त" पासवर्ड का संयोजन इन सूचियों में से एक में है, जो शून्य से कहीं अधिक है।

समाप्त न होने वाले पासवर्ड वाले खातों को प्रबंधित करना आसान है, लेकिन वे सुरक्षित नहीं हैं। ऐसे पासवर्ड वाले सभी खातों को ढूंढने के लिए इस विजेट का उपयोग करें। इस सेटिंग को बदलें और अपना पासवर्ड अपडेट करें.

एक बार जब इस विजेट का मान शून्य पर सेट हो जाता है, तो उस पासवर्ड से बनाया गया कोई भी नया खाता डैशबोर्ड में दिखाई देगा।

2. एसपीएन के साथ प्रशासनिक खातों की संख्या

एसपीएन (सेवा प्रिंसिपल नाम) एक सेवा उदाहरण का एक विशिष्ट पहचानकर्ता है। यह विजेट दिखाता है कि कितने सेवा खातों के पास पूर्ण व्यवस्थापक अधिकार हैं। विजेट पर मान शून्य होना चाहिए. प्रशासनिक अधिकारों के साथ एसपीएन इसलिए होता है क्योंकि ऐसे अधिकार देना सॉफ्टवेयर विक्रेताओं और एप्लिकेशन प्रशासकों के लिए सुविधाजनक है, लेकिन इससे सुरक्षा जोखिम पैदा होता है।

सेवा खाते को प्रशासनिक अधिकार देने से हमलावर को उस खाते तक पूर्ण पहुंच प्राप्त करने की अनुमति मिलती है जो उपयोग में नहीं है। इसका मतलब यह है कि एसपीएन खातों तक पहुंच रखने वाले हमलावर अपनी गतिविधियों की निगरानी किए बिना बुनियादी ढांचे के भीतर स्वतंत्र रूप से काम कर सकते हैं।

आप सेवा खातों पर अनुमतियाँ बदलकर इस समस्या का समाधान कर सकते हैं। ऐसे खाते कम से कम विशेषाधिकार के सिद्धांत के अधीन होने चाहिए और केवल वही पहुंच होनी चाहिए जो उनके संचालन के लिए वास्तव में आवश्यक है।

इस विजेट का उपयोग करके, आप उन सभी एसपीएन का पता लगा सकते हैं जिनके पास प्रशासनिक अधिकार हैं, ऐसे विशेषाधिकार हटा सकते हैं, और फिर कम से कम विशेषाधिकार प्राप्त पहुंच के समान सिद्धांत का उपयोग करके एसपीएन की निगरानी कर सकते हैं।

नया दिखने वाला एसपीएन डैशबोर्ड पर प्रदर्शित होगा, और आप इस प्रक्रिया की निगरानी कर पाएंगे।

3. उन उपयोगकर्ताओं की संख्या जिन्हें Kerberos पूर्व-प्रमाणीकरण की आवश्यकता नहीं है

आदर्श रूप से, Kerberos AES-256 एन्क्रिप्शन का उपयोग करके प्रमाणीकरण टिकट को एन्क्रिप्ट करता है, जो आज तक अटूट है।

हालाँकि, Kerberos के पुराने संस्करणों में RC4 एन्क्रिप्शन का उपयोग किया गया था, जिसे अब मिनटों में तोड़ा जा सकता है। यह विजेट दिखाता है कि कौन से उपयोगकर्ता खाते अभी भी RC4 का उपयोग कर रहे हैं। Microsoft अभी भी बैकवर्ड संगतता के लिए RC4 का समर्थन करता है, लेकिन इसका मतलब यह नहीं है कि आपको इसे अपने AD में उपयोग करना चाहिए।

एक बार जब आप ऐसे खातों की पहचान कर लेते हैं, तो आपको खातों को अधिक परिष्कृत एन्क्रिप्शन का उपयोग करने के लिए बाध्य करने के लिए AD में "Kerberos पूर्व-प्राधिकरण की आवश्यकता नहीं है" चेकबॉक्स को अनचेक करना होगा।

वरोनिस एडी डैशबोर्ड के बिना, इन खातों को स्वयं खोजने में बहुत समय लगता है। वास्तव में, RC4 एन्क्रिप्शन का उपयोग करने के लिए संपादित किए गए सभी खातों के बारे में जागरूक होना और भी अधिक कठिन कार्य है।

यदि विजेट पर मान बदलता है, तो यह अवैध गतिविधि का संकेत हो सकता है।

4. बिना पासवर्ड वाले उपयोगकर्ताओं की संख्या

खाता गुणों में AD से "PASSWD_NOTREQD" ध्वज को पढ़ने के लिए हमलावर बुनियादी पावरशेल कमांड का उपयोग करते हैं। इस ध्वज का उपयोग इंगित करता है कि कोई पासवर्ड आवश्यकताएँ या जटिलता आवश्यकताएँ नहीं हैं।
एक साधारण या खाली पासवर्ड से किसी खाते को चुराना कितना आसान है? अब कल्पना करें कि इनमें से एक खाता व्यवस्थापक है।

क्या होगा यदि सभी के लिए खुली हजारों गोपनीय फाइलों में से एक आगामी वित्तीय रिपोर्ट हो?

अनिवार्य पासवर्ड आवश्यकता को अनदेखा करना एक और सिस्टम प्रशासन शॉर्टकट है जिसका उपयोग अतीत में अक्सर किया जाता था, लेकिन आज यह न तो स्वीकार्य है और न ही सुरक्षित है।

इन खातों के पासवर्ड अपडेट करके इस समस्या को ठीक करें।

भविष्य में इस विजेट की निगरानी करने से आपको बिना पासवर्ड वाले खातों से बचने में मदद मिलेगी।

वरोनिस बाधाओं को बराबर करता है

अतीत में, इस लेख में वर्णित मेट्रिक्स को इकट्ठा करने और उनका विश्लेषण करने के काम में कई घंटे लगते थे और पावरशेल के गहन ज्ञान की आवश्यकता होती थी, जिससे सुरक्षा टीमों को हर हफ्ते या महीने में ऐसे कार्यों के लिए संसाधन आवंटित करने की आवश्यकता होती थी। लेकिन इस जानकारी के मैन्युअल संग्रह और प्रसंस्करण से हमलावरों को घुसपैठ करने और डेटा चोरी करने का मौका मिलता है।

С Varonis आप एडी डैशबोर्ड और अतिरिक्त घटकों को तैनात करने, चर्चा की गई सभी कमजोरियों को इकट्ठा करने और बहुत कुछ करने में एक दिन बिताएंगे। भविष्य में, ऑपरेशन के दौरान, बुनियादी ढांचे की स्थिति बदलते ही मॉनिटरिंग पैनल स्वचालित रूप से अपडेट हो जाएगा।

साइबर हमलों को अंजाम देना हमेशा हमलावरों और रक्षकों के बीच की दौड़ होती है, सुरक्षा विशेषज्ञों द्वारा उस तक पहुंच को अवरुद्ध करने से पहले हमलावर की डेटा चोरी करने की इच्छा होती है। हमलावरों और उनकी अवैध गतिविधियों का शीघ्र पता लगाना, मजबूत साइबर सुरक्षा के साथ मिलकर, आपके डेटा को सुरक्षित रखने की कुंजी है।

स्रोत: www.habr.com