Mi sono occupato di test di penetrazione utilizzando e l'ho utilizzato per estrarre informazioni sugli utenti da Active Directory (AD). In quel periodo mi sono concentrato sulla raccolta di informazioni sui membri dei gruppi di sicurezza e poi ho utilizzato queste informazioni per muovermi all'interno della rete. In ogni caso, AD contiene dati riservati sui dipendenti, alcuni dei quali non dovrebbero realmente essere accessibili a tutti nell'organizzazione. In effetti, nei sistemi di file di Windows esiste un problema equivalente con , che può essere sfruttato sia da attaccanti interni che esterni.
Ma prima di parlare dei problemi di privacy e delle modalità per affrontarli, diamo un'occhiata ai dati conservati in AD.
Active Directory è un Facebook aziendale
Ma in questo caso hai già stretto amicizia con tutti! Potresti non conoscere i film, i libri e i ristoranti preferiti dei tuoi colleghi, ma AD contiene dati di contatto sensibili
e altri campi che possono essere utilizzati da hacker e persino da insider senza particolari competenze tecniche.
Gli amministratori di sistema conoscono bene lo screenshot qui sotto. Si tratta dell'interfaccia Active Directory Users and Computers (ADUC), dove impostano e modificano le informazioni sugli utenti e li assegnano ai gruppi appropriati.
AD contiene campi con il nome del dipendente, l'indirizzo e il numero di telefono, quindi è simile a una rubrica telefonica. Ma c'è molto di più! Nelle altre schede ci sono anche l'indirizzo email e il sito web, il supervisore diretto e annotazioni.
Tutti in un'organizzazione dovrebbero vedere queste informazioni, specialmente nell'era , quando ogni nuovo dettaglio rende la ricerca di informazioni aggiuntive ancora più semplice?
Certo che no! Il problema si aggrava quando i dati dei dirigenti dell'azienda sono accessibili a tutti i dipendenti.
PowerView per tutti
Qui entra in gioco PowerView. Fornisce un'interfaccia PowerShell molto utile per le funzioni Win32 sottostanti (e complicate) che interagiscono con AD. In breve:
rende l'ottenimento dei campi AD facile come digitare un breve cmdlet.
Prendiamo ad esempio la raccolta di informazioni su un dipendente, Cruella Deville, che è uno dei dirigenti dell'azienda. Per questo utilizzeremo il cmdlet PowerView get-NetUser:
L'installazione di PowerView non è un problema serio: verificate voi stessi sulla pagina . E cosa più importante, non sono necessari privilegi elevati per eseguire molti comandi PowerView, come get-NetUser. Così, un dipendente motivato ma non particolarmente tecnico può iniziare a esplorare l'AD senza troppi sforzi.
Dal screenshot sopra riportato, è chiaro che un insider può rapidamente apprendere molte cose nuove su Cruella. Avete notato anche voi che nel campo 'info' vengono rivelate informazioni sulle abitudini personali e sulla password dell'utente?
Non si tratta di una probabilità teorica. Da ho appreso che scansionano l'AD alla ricerca di password in chiaro, e spesso questi tentativi, purtroppo, hanno successo. Sanno che le aziende trascurano le informazioni nell'AD e, in generale, non sono a conoscenza del tema successivo: le autorizzazioni nell'AD.
In Active Directory ci sono le proprie ACL
L'interfaccia AD Users and Computers consente di impostare permessi per gli oggetti AD. In AD esistono le ACL, e gli amministratori possono concedere o negare l'accesso tramite esse. È necessario fare clic su «Advanced» nel menu di visualizzazione ADUC, e poi, quando si apre l'utente, si vedrà la scheda «Security», dove si impostano le ACL.
Nel mio scenario con Cruella, non volevo che tutti gli utenti autenticati potessero vedere le sue informazioni personali, quindi ho negato loro l'accesso in lettura:
E ora un utente normale vedrà questo se prova a usare Get-NetUser in PowerView:
Sono riuscito a nascondere informazioni potenzialmente utili agli estranei. Per mantenere l'accesso per gli utenti rilevanti, ho creato un'altra ACL per consentire ai membri del gruppo VIP (Cruella e altri suoi colleghi di alto rango) di accedere a questi dati confidenziali. In altre parole, ho implementato permessi AD basati su un modello di ruolo, rendendo i dati sensibili inaccessibili alla maggior parte dei dipendenti, compresi gli insider.
Tuttavia, puoi rendere invisibile l'appartenenza al gruppo per gli utenti impostando correttamente l'ACL per l'oggetto gruppo in AD. Questo aiuterà in termini di privacy e sicurezza.
Nella mia ho mostrato come muoversi nel sistema esplorando l'appartenenza ai gruppi utilizzando il comando Get-NetGroupMember di PowerView. Nel mio scenario, ho limitato l'accesso in lettura all'appartenenza a un gruppo specifico. Ecco il risultato dell'esecuzione del comando prima e dopo le modifiche:
Sono riuscito a nascondere l'appartenenza di Cruella e Monty Burns al gruppo VIP, rendendo più difficile per gli hacker e gli insider l'esplorazione dell'infrastruttura.
Questo post era destinato a motivarti a esaminare più attentamente i campi
di AD e le relative autorizzazioni. AD è una risorsa eccellente, ma pensa a come
vorresti condividere informazioni riservate e dati personali, soprattutto,
quando si tratta dei dirigenti della tua organizzazione.
Fonte: habr.com
