Tutto ciò di cui ha bisogno un attaccante è tempo e motivazione per infiltrarsi nella tua rete. Il nostro compito è impedire che ciò accada o, almeno, rendere questa operazione il più difficile possibile. È fondamentale cominciare identificando i punti deboli in Active Directory (di seguito – AD) che un attaccante potrebbe sfruttare per ottenere accesso e muoversi all'interno della rete senza farsi notare. Oggi, nell'articolo, esamineremo gli indicatori di rischio che riflettono le vulnerabilità esistenti nella cybersicurezza della tua organizzazione, utilizzando come esempio il pannello di monitoraggio AD Varonis.
Gli attaccanti utilizzano configurazioni specifiche nel dominio.
Gli attaccanti impiegano numerosi trucchi e vulnerabilità per infiltrarsi nelle reti aziendali e aumentare i privilegi. Alcune di queste vulnerabilità riguardano le impostazioni di configurazione del dominio, che possono essere facilmente modificate una volta identificate.
Il pannello di monitoraggio AD ti avviserà immediatamente se tu (o i tuoi amministratori di sistema) non hanno cambiato la password KRBTGT nel mese precedente, o se qualcuno si è autenticato utilizzando l'account amministratore predefinito (Administrator). Questi due account forniscono accesso illimitato alla tua rete: gli aggressori cercheranno di accedervi per eludere qualsiasi separazione di privilegi e autorizzazioni. Di conseguenza, avranno accesso a qualsiasi dato di loro interesse.
Certo, puoi rilevare queste vulnerabilità da solo: ad esempio, impostando un promemoria nel calendario per un controllo o eseguendo uno script PowerShell per raccogliere queste informazioni.
Il pannello di monitoraggio Varonis si aggiorna automaticamente , per fornire una rapida panoramica e analisi delle metriche chiave che evidenziano potenziali vulnerabilità, in modo che tu possa intraprendere immediatamente le misure necessarie per risolverle.
3 indicatori chiave di rischio a livello di dominio
Di seguito è riportata una serie di widget disponibili nel pannello di controllo di Varonis, il cui utilizzo rafforzerà significativamente la protezione della rete aziendale e dell'infrastruttura IT nel suo complesso.
1. Il numero di domini per i quali la password dell'account Kerberos non è stata cambiata da tempo significativo.
L'account KRBTGT è un'account speciale in AD che firma tutti i . Gli aggressori che hanno accesso al controller di dominio (DC) possono utilizzare questo account per creare un , che fornirà loro accesso illimitato a praticamente qualsiasi sistema nella rete aziendale. Abbiamo affrontato situazioni in cui, dopo aver ottenuto con successo un Golden Ticket, l'aggressore ha avuto accesso alla rete dell'organizzazione per due anni. Se la password dell'account KRBTGT nella tua azienda non è stata cambiata negli ultimi quaranta giorni, il widget ti avviserà.
Quaranta giorni sono più che sufficienti per un aggressore per ottenere accesso alla rete. Tuttavia, se standardizzi e garantisci il processo di cambio di questa password su base regolare, renderai molto più difficile per l'aggressore penetrare nella rete aziendale.
Ricordate che, secondo l'implementazione del protocollo Kerberos da parte di Microsoft, è necessario KRBTGT.
In seguito, questo widget AD vi ricorderà quando sarà il momento di cambiare nuovamente la password KRBTGT per tutti i domini nella vostra rete.
2. Il numero di domini in cui è stata recentemente utilizzata l'account amministrativo incorporato (Administrator)
Secondo — agli amministratori di sistema vengono fornite due account: il primo è per l'uso quotidiano, il secondo per i lavori amministrativi programmati. Ciò significa che nessuno dovrebbe utilizzare l'account amministratore predefinito.
L'account amministrativo integrato è spesso utilizzato per semplificare il processo di amministrazione di sistema. Questo può diventare un'abitudine negativa, il cui risultato sarà un'intrusione. Se nella vostra organizzazione ciò accade, sarà difficile distinguere l'uso legittimo di questo account da un accesso potenzialmente dannoso.
Se il widget mostra qualcosa di diverso da zero, significa che qualcuno sta gestendo in modo errato gli account amministrativi. In tal caso, è necessario adottare misure correttive e limitare l'accesso all'account amministrativo incorporato.
Una volta raggiunto il valore zero del widget e gli amministratori di sistema non utilizzano più questo account per il loro lavoro, ogni successiva modifica indicherà un potenziale attacco informatico.
3. Numero di domini senza il gruppo di Utenti Protetti (Protected Users)
Le versioni precedenti di AD supportavano un tipo di crittografia debole — RC4. Gli hacker hanno compromesso RC4 molti anni fa, e per un malintenzionato, compromettere un account che utilizza ancora RC4 è un compito piuttosto semplice. Nella versione di Active Directory introdotta in Windows Server 2012, è stato creato un nuovo tipo di gruppo utente chiamato Gruppo di Utenti Protetti (Protected Users). Questo fornisce strumenti di protezione aggiuntivi e impedisce l'autenticazione degli utenti utilizzando la crittografia RC4.
Questo widget mostrerà se in uno qualsiasi dei domini dell'organizzazione manca un gruppo, in modo da poterlo correggere, ad esempio abilitando il gruppo degli utenti protetti e utilizzandolo per proteggere l'infrastruttura.
Obiettivi facili per gli attaccanti
Gli account utente sono il bersaglio numero uno per i criminali informatici, dai primi tentativi di intrusione all'escalation continua dei privilegi e alla copertura delle proprie azioni. I criminali cercano obiettivi semplici nella vostra rete, utilizzando comandi PowerShell di base, spesso difficili da rilevare. Rimuovete dalla AD il maggior numero possibile di questi obiettivi facili.
I criminali informatici cercano utenti con scadenze di password illimitate (o che non richiedono password), account tecnologici che sono amministratori, e account che utilizzano la vecchia crittografia RC4.
Qualsiasi di questi account è o facilmente accessibile, o solitamente non monitorato. I criminali possono prendere possesso di questi account e muoversi liberamente all'interno della vostra infrastruttura.
Una volta che i malintenzionati superano il perimetro di sicurezza, è probabile che ottengano accesso ad almeno un account. Riuscirete a impedire loro di accedere ai dati sensibili prima che scopriate e neutralizziate l'attacco?
Il pannello di monitoraggio Varonis AD evidenzierà gli account utente vulnerabili, permettendovi di risolvere i problemi in anticipo. Più difficile sarà l'accesso alla vostra rete, maggiori saranno le possibilità di neutralizzare l'attaccante prima che possa causare danni significativi.
4 indicatori chiave di rischio per gli account utente
Di seguito sono riportati esempi di widget nel pannello di monitoraggio Varonis AD, che evidenziano gli account utente più vulnerabili.
1. Numero di utenti attivi con password che non scadono mai
Per qualsiasi malintenzionato, ottenere accesso a un tale account è sempre una grande fortuna. Poiché la password non scade mai, l'attaccante ottiene un punto d'appoggio permanente all'interno della rete, che può utilizzare per o muoversi all'interno dell'infrastruttura.
Gli aggressori hanno a disposizione elenchi con milioni di combinazioni "utente-password" che utilizzano negli attacchi di phishing, e la possibilità che una combinazione per un utente con una password "eterna" si trovi in una di queste liste è molto maggiore di zero.
Le account con password non scadute sono comode da gestire, ma non sono sicure. Utilizza questo widget per trovare tutte le account che hanno tali password. Modifica questa impostazione e aggiorna la password.
Non appena il valore di questo widget diventa zero, qualsiasi nuovo account creato con tale password apparirà nel pannello di controllo.
2. Numero di account amministrativi con SPN
2. Numero di account amministrativi con SPN
SPN (Service Principal Name) – è un identificatore unico per un'istanza di servizio. Questo widget mostra il numero di account di servizio che hanno diritti di amministrazione completi. Il valore del widget dovrebbe essere zero. Gli SPN con diritti di amministratore si verificano perché concedere tali diritti è comodo per i fornitori di software e gli amministratori delle applicazioni, ma questo rappresenta una vulnerabilità per la sicurezza.
Concedere a un account di servizio i diritti di amministratore consente a un aggressore di ottenere accesso completo a un account che non è in uso. Ciò significa che gli aggressori con accesso agli account SPN possono agire liberamente all'interno dell'infrastruttura, evitando di essere monitorati nelle loro azioni.
È possibile risolvere questo problema modificando le autorizzazioni per gli account di servizio. Tali account devono seguire il principio del minimo privilegio e avere solo l'accesso necessario per il loro funzionamento.
Con questo widget potrai individuare tutti gli SPN con diritti di amministratore, rimuovere tali privilegi e successivamente monitorare gli SPN seguendo lo stesso principio di accesso con il minimo privilegio.
I nuovi SPN appariranno sul pannello di monitoraggio, e potrai controllare questo processo.
3. Numero di utenti che non necessitano di una verifica preventiva dell'autenticità Kerberos
In ideale, Kerberos cripta il ticket di autenticazione utilizzando la crittografia AES-256, che è ancora considerata inviolabile fino ad ora.
Tuttavia, le versioni più vecchie di Kerberos utilizzavano la crittografia RC4, che ora può essere violata in pochi minuti. Questo widget mostra quali account utente utilizzano ancora RC4. Microsoft continua a supportare RC4 per la retrocompatibilità, ma ciò non significa che tu debba usarlo nel tuo AD.
Dopo aver individuato tali account, è necessario deselezionare la casella "non è necessaria la verifica preventiva dell'autenticità Kerberos" nell'AD affinché gli account utilizzino una crittografia più robusta.
La scoperta autonoma di questi account, senza il pannello di monitoraggio Varonis AD, richiede molto tempo. In realtà, rimanere tempestivamente informati su tutti gli account modificati per utilizzare la crittografia RC4 è un compito ancora più complesso.
Se il valore nel widget cambia, potrebbe indicare attività illecite.
4. Numero di utenti senza password
Gli aggressori utilizzano comandi PowerShell di base per leggere il flag 'PASSWD_NOTREQD' nelle proprietà dell'account in AD. L'uso di questo flag significa che non ci sono requisiti per la presenza o la complessità della password.
Quanto è facile rubare un account con una password semplice o vuota? E ora immagina che uno di questi account sia un amministratore.
E se uno dei migliaia di file riservati, aperti a tutti, fosse un imminente rapporto finanziario?
Ignorare l'obbligo di inserire una password è un altro segnale per l'amministrazione del sistema, spesso utilizzato in passato, ma oggi è inaccettabile e non sicuro.
Risolvi questo problema aggiornando le credenziali per questi account.
Monitorare questo widget in futuro ti aiuterà a prevenire la creazione di account senza password.
Varonis livella il campo di gioco
In passato, raccogliere e analizzare i metri riportati nell'articolo richiedeva molte ore e una profonda conoscenza di PowerShell: gli esperti di sicurezza dovevano dedicare risorse a tali compiti ogni settimana o mese. Tuttavia, la raccolta e l'elaborazione manuale di queste informazioni offrono agli aggressori un vantaggio per infiltrarsi e rubare dati.
C Dedicherai un giorno a implementare il dashboard AD e componenti aggiuntivi, raccogliendo tutte le vulnerabilità discusse e molte altre. In seguito, durante il funzionamento, il dashboard verrà automaticamente aggiornato man mano che lo stato dell'infrastruttura cambia.
Le attacchi informatici sono sempre una corsa tra chi attacca e chi difende, con l'intento del malintenzionato di rubare dati prima che gli esperti di sicurezza possano chiudere l'accesso. L'individuazione precoce degli attaccanti e delle loro azioni illecite, combinata con una forte cyber difesa, è la chiave per garantire la sicurezza dei tuoi dati.
Fonte: habr.com
