Mi sono occupato di test di penetrazione utilizzando e l'ho usato per estrarre informazioni sugli utenti da Active Directory (da qui in avanti – AD). In quel periodo mi sono concentrato sulla raccolta di informazioni sui membri dei gruppi di sicurezza, per poi utilizzare tali informazioni per muovermi nella rete. In ogni caso, AD contiene dati riservati sui dipendenti, alcuni dei quali non dovrebbero essere accessibili a tutti nell'organizzazione. Infatti, nei file system Windows esiste un equivalente , che può essere utilizzato sia da aggressori interni che esterni.
Ma prima di parlare dei problemi di riservatezza e delle modalità per risolverli, diamo un'occhiata ai dati memorizzati in AD.
Active Directory è come un Facebook aziendale
Ma in questo caso hai già fatto amicizia con tutti! Potresti non sapere quali sono i film, i libri e i ristoranti preferiti dai tuoi colleghi, ma AD contiene informazioni di contatto sensibili
e altri campi che possono essere utilizzati da hacker e anche da insider senza particolari competenze tecniche.
Gli amministratori di sistema, ovviamente, sono familiari con lo screenshot qui sotto. Questo è l'interfaccia di Active Directory Users and Computers (ADUC), dove impostano e modificano le informazioni sugli utenti e assegnano gli utenti ai gruppi appropriati.
AD contiene campi con nome del dipendente, indirizzo e numero di telefono, quindi è simile a un elenco telefonico. Ma c'è molto di più! Nelle altre schede ci sono anche email e indirizzo web, superiore diretto e note.
Tutti in organizzazione devono vedere queste informazioni, specialmente nell'era , in cui ogni nuovo dettaglio rende la ricerca di informazioni aggiuntive ancora più semplice?
Certo che no! Il problema si aggrava quando i dati della dirigenza dell'azienda sono accessibili a tutti i dipendenti.
PowerView per tutti
Qui entra in gioco PowerView. Fornisce un'interfaccia PowerShell molto conveniente per le funzionalità sottostanti (e complesse) di Win32 che accedono ad AD. In breve:
rende l'ottenimento dei campi AD semplice come digitare un comodo comando molto breve.
Prendiamo ad esempio la raccolta di informazioni sulla dipendente Cruella Deville, che è una delle direttrici dell'azienda. A tal fine utilizziamo il cmdlet PowerView get-NetUser:
L'installazione di PowerView non è un problema serio – verificatelo voi stessi sulla pagina . E cosa ancora più importante, non sono necessarie autorizzazioni elevate per eseguire molti comandi di PowerView, come get-NetUser. Pertanto, un dipendente motivato ma non molto competente dal punto di vista tecnico può iniziare a esplorare l'AD senza particolari sforzi.
Dallo screenshot sopra riportato, è chiaro che un insider può rapidamente scoprire molte informazioni su Cruella. Avete notato anche voi che nel campo "info" viene rivelata informazioni sulle abitudini personali e sulla password dell'utente?
Non si tratta di una probabilità teorica. Da ho appreso che eseguono scan dell'AD per cercare password in chiaro, e spesso questi tentativi, sfortunatamente, hanno successo. Sanno che le aziende trascurano le informazioni nell'AD e, di norma, non sono consapevoli del tema successivo: le autorizzazioni nell'AD.
In Active Directory ci sono le proprie ACL
L'interfaccia AD Users and Computers consente di impostare autorizzazioni per gli oggetti AD. Ci sono ACL nell'AD, e gli amministratori possono concedere o negare l'accesso tramite esse. È necessario fare clic su "Advanced" nel menu Visualizza di ADUC, e poi, quando aprite l'utente, vedrete la scheda "Security", in cui impostate l'ACL.
Nel mio scenario con Cruella non volevo che tutti gli utenti autenticati potessero vedere le sue informazioni personali, quindi ho negato loro l'accesso in lettura:
E ora un utente normale vedrà questo, se tenterà Get-NetUser in PowerView:
Sono riuscito a nascondere informazioni potenzialmente utili da occhi indiscreti. Per mantenere l'accesso a queste informazioni per utenti rilevanti, ho creato un'altra ACL per consentire ai membri del gruppo VIP (Cruella e altri suoi alti funzionari) di accedere a questi dati riservati. In altre parole, ho implementato le autorizzazioni AD basate su un modello di ruolo, rendendo i dati sensibili non accessibili alla maggior parte dei dipendenti, compresi gli insider.
Tuttavia, è possibile rendere invisibile l'appartenenza al gruppo per gli utenti impostando opportunamente le ACL per l'oggetto gruppo nell'AD. Questo aiuterà dal punto di vista della riservatezza e della sicurezza.
Nel suo Ho dimostrato come è possibile navigare nel sistema studiando l'appartenenza ai gruppi utilizzando PowerViews Get-NetGroupMember. Nel mio scenario, ho limitato l'accesso in sola lettura all'appartenenza a un gruppo specifico. Puoi vedere il risultato dell'esecuzione del comando prima e dopo le modifiche:
Sono riuscito a nascondere l'appartenenza di Cruella e Monty Burns al gruppo VIP, rendendo più difficile per hacker e insider svolgere operazioni di ricognizione sull'infrastruttura.
Questo post era destinato a motivarti a esaminare più attentamente i campi
AD e i relativi permessi. AD è una risorsa eccellente, ma ti invitiamo a riflettere su come vorresti
condividere informazioni riservate e dati personali, soprattutto
quando si parla dei vertici della tua organizzazione.
Fonte: habr.com
