सक्रिय निर्देशिका में डेटा गोपनीयता समस्या

मैंने इसका उपयोग करके प्रवेश परीक्षण किया है पावर व्यू और इसका उपयोग सक्रिय निर्देशिका (इसके बाद AD के रूप में संदर्भित) से उपयोगकर्ता जानकारी पुनर्प्राप्त करने के लिए किया। उस समय, मेरा जोर सुरक्षा समूह सदस्यता जानकारी एकत्र करने और फिर नेटवर्क को नेविगेट करने के लिए उस जानकारी का उपयोग करने पर था। किसी भी तरह से, एडी में संवेदनशील कर्मचारी डेटा होता है, जिनमें से कुछ वास्तव में संगठन में हर किसी के लिए पहुंच योग्य नहीं होना चाहिए। वास्तव में, विंडोज़ फ़ाइल सिस्टम में एक समतुल्य है "हर कोई" समस्या, जिसका उपयोग आंतरिक और बाहरी दोनों हमलावरों द्वारा भी किया जा सकता है।

लेकिन इससे पहले कि हम गोपनीयता के मुद्दों और उन्हें ठीक करने के बारे में बात करें, आइए AD में संग्रहीत डेटा पर एक नज़र डालें।

एक्टिव डायरेक्ट्री कॉर्पोरेट फेसबुक है

लेकिन इस मामले में, आप पहले ही सभी से दोस्ती कर चुके हैं! आप अपने सहकर्मियों की पसंदीदा फिल्मों, किताबों या रेस्तरां के बारे में नहीं जानते होंगे, लेकिन AD में संवेदनशील संपर्क जानकारी होती है।
डेटा और अन्य फ़ील्ड जिनका उपयोग हैकर्स और यहां तक ​​कि विशेष तकनीकी कौशल के बिना अंदरूनी सूत्रों द्वारा भी किया जा सकता है।

सिस्टम प्रशासक निश्चित रूप से नीचे दिए गए स्क्रीनशॉट से परिचित हैं। यह सक्रिय निर्देशिका उपयोगकर्ता और कंप्यूटर (एडीयूसी) इंटरफ़ेस है जहां वे उपयोगकर्ता जानकारी सेट और संपादित करते हैं और उपयोगकर्ताओं को उचित समूहों में असाइन करते हैं।

AD में कर्मचारी का नाम, पता और फोन नंबर के लिए फ़ील्ड होते हैं, इसलिए यह एक टेलीफोन निर्देशिका के समान है। लेकिन और भी बहुत कुछ है! अन्य टैब में ईमेल और वेब पता, लाइन मैनेजर और नोट्स भी शामिल हैं।

क्या संगठन में हर किसी को यह जानकारी देखने की ज़रूरत है, खासकर एक युग में OSINT, जब प्रत्येक नया विवरण अधिक जानकारी की खोज को और भी आसान बना देता है?

बिल्कुल नहीं! समस्या तब और बढ़ जाती है जब किसी कंपनी के शीर्ष प्रबंधन का डेटा सभी कर्मचारियों के लिए उपलब्ध हो।

सभी के लिए पॉवरव्यू

यहीं पर PowerView चलन में आता है। यह AD तक पहुंचने वाले अंतर्निहित (और भ्रमित करने वाले) Win32 फ़ंक्शंस के लिए एक बहुत ही उपयोगकर्ता-अनुकूल PowerShell इंटरफ़ेस प्रदान करता है। संक्षेप में:
इससे AD फ़ील्ड पुनर्प्राप्त करना एक बहुत ही छोटे cmdlet को टाइप करने जितना आसान हो जाता है।

आइए क्रुएला डेविल के एक कर्मचारी के बारे में जानकारी एकत्र करने का एक उदाहरण लें, जो कंपनी के नेताओं में से एक है। ऐसा करने के लिए, PowerView get-NetUser cmdlet का उपयोग करें:

PowerView स्थापित करना कोई गंभीर समस्या नहीं है - पृष्ठ पर स्वयं देखें GitHub. और इससे भी महत्वपूर्ण बात यह है कि आपको get-NetUser जैसे कई PowerView कमांड चलाने के लिए उन्नत विशेषाधिकारों की आवश्यकता नहीं है। इस तरह, एक प्रेरित लेकिन बहुत तकनीक-प्रेमी कर्मचारी बिना अधिक प्रयास के एडी के साथ छेड़छाड़ शुरू कर सकता है।

उपरोक्त स्क्रीनशॉट से, आप देख सकते हैं कि एक अंदरूनी सूत्र क्रुएला के बारे में बहुत कुछ जान सकता है। क्या आपने यह भी देखा है कि "जानकारी" फ़ील्ड उपयोगकर्ता की व्यक्तिगत आदतों और पासवर्ड के बारे में जानकारी प्रकट करती है?

यह कोई सैद्धांतिक संभावना नहीं है. से अन्य पेन्टेस्टर्स के साथ संवाद मुझे पता चला कि वे प्लेनटेक्स्ट पासवर्ड खोजने के लिए AD को स्कैन करते हैं, और अक्सर ये प्रयास दुर्भाग्य से सफल होते हैं। वे जानते हैं कि कंपनियाँ AD में जानकारी को लेकर लापरवाह हैं, और वे अगले विषय से अनभिज्ञ हैं: AD अनुमतियाँ।

सक्रिय निर्देशिका की अपनी ACL हैं

AD उपयोगकर्ता और कंप्यूटर इंटरफ़ेस आपको AD ऑब्जेक्ट पर अनुमतियाँ सेट करने की अनुमति देता है। AD के पास ACL हैं और प्रशासक उनके माध्यम से पहुंच प्रदान या अस्वीकार कर सकते हैं। आपको एडीयूसी व्यू मेनू में "उन्नत" पर क्लिक करना होगा और फिर जब आप उपयोगकर्ता खोलेंगे तो आपको "सुरक्षा" टैब दिखाई देगा जहां आप एसीएल सेट करते हैं।

मेरे क्रुएला परिदृश्य में, मैं नहीं चाहता था कि सभी प्रमाणित उपयोगकर्ता उसकी व्यक्तिगत जानकारी देख सकें, इसलिए मैंने उन्हें पढ़ने की पहुंच से वंचित कर दिया:

और अब एक सामान्य उपयोगकर्ता इसे तब देखेगा जब वह PowerView में Get-NetUser आज़माएगा:

मैं स्पष्ट रूप से उपयोगी जानकारी को चुभती नज़रों से छिपाने में कामयाब रहा। प्रासंगिक उपयोगकर्ताओं के लिए इसे सुलभ बनाए रखने के लिए, मैंने वीआईपी समूह के सदस्यों (क्रुएला और उनके अन्य उच्च-रैंकिंग सहयोगियों) को इस संवेदनशील डेटा तक पहुंचने की अनुमति देने के लिए एक और एसीएल बनाया। दूसरे शब्दों में, मैंने एक रोल मॉडल के आधार पर AD अनुमतियाँ लागू कीं, जिससे अंदरूनी सूत्रों सहित अधिकांश कर्मचारियों के लिए संवेदनशील डेटा अप्राप्य हो गया।

हालाँकि, आप तदनुसार AD में समूह ऑब्जेक्ट पर ACL सेट करके समूह सदस्यता को उपयोगकर्ताओं के लिए अदृश्य बना सकते हैं। इससे गोपनीयता और सुरक्षा के लिहाज से मदद मिलेगी.

में उसकी महाकाव्य पंचकोणों की श्रृंखला मैंने दिखाया कि आप PowerViews Get-NetGroupMember का उपयोग करके समूह सदस्यता की जांच करके सिस्टम को कैसे नेविगेट कर सकते हैं। अपनी स्क्रिप्ट में, मैंने एक विशिष्ट समूह में सदस्यता के लिए पढ़ने की पहुंच को प्रतिबंधित कर दिया है। आप परिवर्तनों से पहले और बाद में कमांड चलाने का परिणाम देख सकते हैं:

मैं वीआईपी समूह में क्रुएला और मोंटी बर्न्स की सदस्यता को छिपाने में सक्षम था, जिससे हैकर्स और अंदरूनी लोगों के लिए बुनियादी ढांचे का पता लगाना मुश्किल हो गया।

इस पोस्ट का उद्देश्य आपको खेतों को करीब से देखने के लिए प्रेरित करना था
AD और संबंधित अनुमतियाँ. AD एक महान संसाधन है, लेकिन सोचें कि आप कैसे करेंगे
विशेष रूप से गोपनीय जानकारी और व्यक्तिगत डेटा साझा करना चाहता था
जब आपके संगठन के शीर्ष अधिकारियों की बात आती है।  

स्रोत: www.habr.com