{"id":37173,"date":"2019-10-31T22:16:11","date_gmt":"2019-10-31T19:16:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/7-klyuchevyh-indikatorov-riska-active-directory-na-paneli-monitoringa-varonis\/"},"modified":"2019-10-31T22:16:11","modified_gmt":"2019-10-31T19:16:11","slug":"7-klyuchevyh-indikatorov-riska-active-directory-na-paneli-monitoringa-varonis","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/7-klyuchevyh-indikatorov-riska-active-directory-na-paneli-monitoringa-varonis","title":{"rendered":"7 indicatori chiave di rischio di Active Directory nel pannello di controllo Varonis","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"7
\n
\nTutto ci\u00f2 di cui ha bisogno un attaccante \u00e8 tempo e motivazione per infiltrarsi nella tua rete. Ma il nostro lavoro consiste nel non permettergli di farlo o, almeno, nel rendere il compito il pi\u00f9 difficile possibile. Dobbiamo iniziare identificando le vulnerabilit\u00e0 in Active Directory (di seguito, AD) che un attaccante potrebbe sfruttare per ottenere accesso e muoversi nella rete senza essere rilevato. Oggi nell'articolo esamineremo gli indicatori di rischio che riflettono le vulnerabilit\u00e0 esistenti nella sicurezza informatica della tua organizzazione, utilizzando come esempio il pannello di controllo AD di Varonis.
\n<\/a><\/noindex><\/p>\n

Gli attaccanti sfruttano configurazioni specifiche nel dominio<\/h2>\n

\nGli attaccanti utilizzano una serie di trucchi e vulnerabilit\u00e0 per infiltrarsi nella rete aziendale e aumentare i privilegi. Alcune di queste vulnerabilit\u00e0 sono parametri di configurazione del dominio che possono essere facilmente modificati una volta identificati.<\/p>\n

Il pannello di controllo AD ti avviser\u00e0 immediatamente se tu (o i tuoi amministratori di sistema) non hai cambiato la password di KRBTGT nel mese scorso, o se qualcuno si \u00e8 autenticato con l'account amministratore incorporato predefinito (Administrator). Questi due account forniscono accesso illimitato alla tua rete: gli attaccanti cercheranno di accedervi per superare senza ostacoli qualsiasi restrizione sui privilegi e sulle autorizzazioni. E, come risultato, \u2013 ottenere accesso a qualsiasi dato di loro interesse.<\/p>\n

Certo, puoi scoprire queste vulnerabilit\u00e0 da solo: ad esempio, impostando un promemoria nel calendario per il controllo o eseguendo uno script PowerShell per raccogliere queste informazioni. <\/p>\n

Il pannello di controllo Varonis si aggiorna installati automaticamente <\/strong>, per garantire una rapida visualizzazione e analisi dei principali indicatori che evidenziano le potenziali vulnerabilit\u00e0, cos\u00ec puoi immediatamente prendere provvedimenti per risolverle.<\/p>\n

3 indicatori chiave di rischio a livello di dominio<\/h3>\n

\nDi seguito \u00e8 riportato un elenco di widget disponibili nel pannello di controllo Varonis, il cui utilizzo rafforzer\u00e0 notevolmente la sicurezza della rete aziendale e dell'infrastruttura IT nel suo insieme.<\/p>\n

1. Numero di domini per i quali la password dell'account Kerberos non \u00e8 stata cambiata da un tempo significativo <\/strong><\/p>\n

L'account KRBTGT \u00e8 un account speciale in AD che firma tutti i biglietti Kerberos <\/a><\/noindex>. Gli aggressori che hanno accesso al controller di dominio (DC) possono utilizzare questo account per creare Golden ticket<\/a><\/noindex>, che dar\u00e0 loro accesso illimitato a praticamente qualsiasi sistema all'interno della rete aziendale. Ci siamo trovati di fronte a situazioni in cui, dopo aver ottenuto con successo il Golden Ticket, l'aggressore ha avuto accesso alla rete dell'organizzazione per due anni. Se la password dell'account KRBTGT nella vostra azienda non \u00e8 stata cambiata negli ultimi quaranta giorni, il widget avviser\u00e0 al riguardo. <\/p>\n

Quarantadue giorni sono pi\u00f9 che sufficienti per un aggressore per ottenere accesso alla rete. Tuttavia, se garantite e standardizzate il processo di cambio di questa password su base regolare, ci\u00f2 render\u00e0 molto pi\u00f9 difficile per un aggressore penetrare nella rete aziendale. <\/p>\n

\"7
\nRicordate che, secondo l'implementazione del protocollo Kerberos da parte di Microsoft, \u00e8 necessario cambiare la password<\/a><\/noindex> KRBTGT.<\/p>\n

In seguito, questo widget AD ricorder\u00e0 quando sar\u00e0 il momento di cambiare nuovamente la password KRBTGT per tutti i domini nella vostra rete.<\/p>\n

2. Numero dei domini in cui \u00e8 stata recentemente utilizzata l'account amministratore integrato (Administrator) <\/strong><\/p>\n

Secondo principio del minimo privilegio <\/a><\/noindex> \u2014 agli amministratori di sistema vengono forniti due account: il primo \u00e8 per l'uso quotidiano, e il secondo \u00e8 per attivit\u00e0 di amministrazione pianificate. Ci\u00f2 significa che nessuno dovrebbe utilizzare l'account amministratore per impostazione predefinita. <\/p>\n

L'account amministratore integrato viene spesso utilizzato per semplificare il processo di amministrazione del sistema. Questo pu\u00f2 diventare un'abitudine negativa, il cui risultato sar\u00e0 un attacco. Se nella vostra organizzazione ci\u00f2 avviene, vi sar\u00e0 difficile distinguere l'uso corretto di questo account da un accesso potenzialmente dannoso.<\/p>\n

\"7
\nSe il widget mostra qualcosa di diverso da zero, significa che qualcuno sta gestendo in modo errato le credenziali amministrative. In tal caso, \u00e8 necessario intraprendere azioni correttive e limitare l'accesso all'account amministratore integrato.
\nDopo aver raggiunto il valore zero del widget e una volta che gli amministratori di sistema non utilizzano pi\u00f9 questo account per il loro lavoro, qualsiasi ulteriore modifica indicher\u00e0 un potenziale attacco informatico.<\/p>\n

3. Il numero di domini in cui \u00e8 assente un gruppo di Utenti Protetti (Protected Users) <\/strong><\/p>\n

Le versioni pi\u00f9 vecchie di AD supportavano un tipo di crittografia debole: RC4. Gli hacker hanno craccato RC4 molti anni fa, e ora \u00e8 un compito piuttosto triviale per un malintenzionato compromettere un account che utilizza ancora RC4. Nella versione di Active Directory presentata in Windows Server 2012, \u00e8 stato introdotto un nuovo tipo di gruppo di utenti chiamato Gruppo di Utenti Protetti (Protected Users). Questo fornisce strumenti di protezione aggiuntivi e impedisce l'autenticazione degli utenti tramite crittografia RC4.<\/p>\n

Questo widget mostrer\u00e0 se in qualche dominio dell'organizzazione \u00e8 assente tale gruppo, cos\u00ec che tu possa risolverlo, ossia attivare il gruppo di utenti protetti e utilizzarlo per proteggere l'infrastruttura.<\/p>\n

\"7<\/p>\n

Obiettivi facili per gli attaccanti<\/h2>\n

\nGli account degli utenti sono l'obiettivo numero uno per i malintenzionati \u2013 dalle prime tentazioni di accesso all'escalation delle autorizzazioni e alla mascheratura delle proprie azioni. I malintenzionati cercando obiettivi semplici nella tua rete, utilizzando comandi PowerShell di base che spesso sono difficili da rilevare. Rimuovi da AD il maggior numero possibile di questi obiettivi facili.<\/p>\n

I malintenzionati cercano utenti con password indefinite (o a cui non \u00e8 richiesta una password), account tecnici che siano amministratori e account che utilizzano la vecchia crittografia RC4. <\/p>\n

Qualsiasi di questi account \u00e8 sia triviale da accedere, sia di solito non monitorati. I malintenzionati possono catturare questi account e muoversi liberamente all'interno della tua infrastruttura.<\/p>\n

Una volta che i malintenzionati riescono a superare il perimetro di sicurezza, \u00e8 probabile che ottengano accesso ad almeno un account. Riuscirai a impedire loro di accedere ai dati riservati prima di rilevare e neutralizzare l'attacco?<\/p>\n

Il pannello di controllo Varonis AD evidenzier\u00e0 gli account utente vulnerabili, consentendoti di risolvere i problemi in anticipo. Pi\u00f9 difficile sar\u00e0 infiltrarsi nella tua rete, maggiori saranno le possibilit\u00e0 di neutralizzare l'attaccante prima che causi danni seri.<\/p>\n

4 indicatori chiave di rischio per gli account utente<\/h3>\n

\nDi seguito sono riportati esempi di widget nel pannello di controllo Varonis AD che indicano gli account utente pi\u00f9 vulnerabili.<\/p>\n

1. Numero di utenti attivi con password che non scadono mai <\/strong><\/p>\n

Per qualsiasi aggressore, ottenere l'accesso a tale account \u00e8 sempre una grande opportunit\u00e0. Poich\u00e9 la scadenza della password non \u00e8 mai impostata, l'aggressore ottiene un punto di ancoraggio permanente all'interno della rete, che pu\u00f2 poi essere utilizzato per elevare i privilegi <\/a><\/noindex>o muoversi all'interno dell'infrastruttura.
\nGli aggressori dispongono di elenchi con milioni di combinazioni \"utente-password\" che utilizzano negli attacchi di credential stuffing e la probabilit\u00e0 che
\nla combinazione per un utente con una password \"eterna\" si trovi in uno di questi elenchi \u00e8 ben superiore a zero.<\/p>\n

Gli account con password che non scadono sono facili da gestire, ma non sono sicuri. Utilizza questo widget per trovare tutti gli account che hanno tali password. Modifica questa impostazione e aggiorna la password.<\/p>\n

\"7
\nUna volta che il valore di questo widget diventa zero, qualsiasi nuovo account creato con tale password apparir\u00e0 nel pannello di controllo.<\/p>\n

2. Numero di account amministrativi con SPN <\/strong><\/p>\n

SPN (Service Principal Name) \u00e8 un identificatore unico per l'istanza di un servizio. Questo widget mostra quante account di servizio hanno pieni diritti di amministratore. Il valore sul widget dovrebbe essere zero. Gli SPN con diritti di amministratore nascono perch\u00e9 concedere tali diritti \u00e8 conveniente per i fornitori di software e gli amministratori delle applicazioni, ma rappresenta una minaccia per la sicurezza.<\/p>\n

La fornitura di un account di servizio con diritti di amministratore consente a un attaccante di ottenere accesso completo a un account non utilizzato. Ci\u00f2 significa che gli aggressori con accesso agli account SPN possono agire liberamente all'interno dell'infrastruttura, evitando nel contempo il monitoraggio delle loro azioni. <\/p>\n

Per risolvere questo problema, \u00e8 possibile modificare le autorizzazioni per gli account di servizio. Questi account devono rispettare il principio del minimo privilegio e avere solo l'accesso realmente necessario per le loro operazioni.<\/p>\n

\"7
\nCon questo widget, sar\u00e0 possibile individuare tutti gli SPN che hanno diritti di amministratore, rimuovere tali privilegi e in futuro controllare gli SPN, seguendo lo stesso principio di accesso con privilegi minimi.<\/p>\n

I nuovi SPN appariranno nel pannello di monitoraggio e sar\u00e0 possibile controllare questo processo.<\/p>\n

3. Numero di utenti che non richiedono una verifica dell'autenticit\u00e0 Kerberos <\/strong><\/p>\n

In teoria, Kerberos cripta il ticket di autenticazione utilizzando la crittografia AES-256, che \u00e8 rimasta inviolata fino ad oggi.<\/p>\n

Tuttavia, le versioni pi\u00f9 vecchie di Kerberos utilizzavano la crittografia RC4, che ora pu\u00f2 essere decifrata in pochi minuti. Questo widget mostra quali account utente continuano a utilizzare RC4. Microsoft supporta ancora RC4 per la compatibilit\u00e0 retroattiva, ma ci\u00f2 non significa che tu debba utilizzarlo nel tuo AD.<\/p>\n

\"7
\nDopo aver individuato tali account, \u00e8 necessario deselezionare l'opzione \"non \u00e8 necessaria la pre-autenticazione Kerberos\" nell'AD, affinch\u00e9 gli account utilizzino una crittografia pi\u00f9 complessa.<\/p>\n

Individuare autonomamente questi account, senza il pannello di monitoraggio Varonis AD, richiede molto tempo. In realt\u00e0, essere tempestivamente informati su tutti gli account modificati per utilizzare la crittografia RC4 \u00e8 un compito ancora pi\u00f9 complesso.<\/p>\n

Se il valore nel widget cambia, potrebbe indicare attivit\u00e0 illecite.<\/p>\n

4. Numero di utenti senza password <\/strong><\/p>\n

I malintenzionati utilizzano comandi base di PowerShell per leggere dal AD il flag \"PASSWD_NOTREQD\" nelle propriet\u00e0 dell'account. L'uso di questo flag significa che non ci sono requisiti per la presenza o complessit\u00e0 della password.
\nQuanto \u00e8 facile rubare un account con una password semplice o vuota? E ora immagina che uno di questi account sia un amministratore.<\/p>\n

\"7
\nE se uno dei migliaia di file riservati, accessibili a tutti, fosse un imminente rapporto finanziario? <\/p>\n

Ignorare il requisito obbligatorio per l'inserimento della password \u00e8 una scorciatoia per l'amministrazione di sistema, spesso utilizzata in passato, ma oggi \u00e8 inaccettabile e non sicura.<\/p>\n

Risolvi questo problema aggiornando le password per questi account.<\/p>\n

Monitorare questo widget in futuro ti aiuter\u00e0 a evitare la creazione di account senza password.<\/p>\n

Varonis livella le possibilit\u00e0<\/h2>\n

\nIn passato, il lavoro di raccolta e analisi delle metriche riportate nell'articolo richiedeva molte ore e una profonda conoscenza di PowerShell: i professionisti della sicurezza dovevano dedicare risorse a tali attivit\u00e0 ogni settimana o mese. Ma la raccolta e l'elaborazione manuale di queste informazioni offre ai malintenzionati un vantaggio per l'intrusione e il furto di dati.<\/p>\n

C Varonis <\/a><\/noindex>dedicherai un giorno a distribuire il pannello di monitoraggio AD e i componenti aggiuntivi, raccogliendo tutte le vulnerabilit\u00e0 esaminate e molte altre. In seguito, durante l'operativit\u00e0, il pannello di monitoraggio si aggiorner\u00e0 automaticamente man mano che lo stato dell'infrastruttura cambia.<\/p>\n

Eseguire attacchi informatici \u00e8 sempre una corsa tra attaccanti e difensori, con il malintenzionato che cerca di rubare i dati prima che i professionisti della sicurezza possano chiudere l'accesso. La rilevazione precoce dei malintenzionati e delle loro azioni illecite, insieme a una forte cybersicurezza, \u00e8 la chiave per garantire la sicurezza dei tuoi dati.
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412\u0441\u0435, \u0447\u0442\u043e \u043d\u0443\u0436\u043d\u043e \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a\u0443, \u2013 \u044d\u0442\u043e \u0432\u0440\u0435\u043c\u044f \u0438 \u043c\u043e\u0442\u0438\u0432\u0430\u0446\u0438\u044f \u0434\u043b\u044f \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u044f \u0432 \u0432\u0430\u0448\u0443 \u0441\u0435\u0442\u044c. \u041d\u043e \u043d\u0430\u0448\u0430 \u0441 \u0432\u0430\u043c\u0438 \u0440\u0430\u0431\u043e\u0442\u0430 \u0441\u043e\u0441\u0442\u043e\u0438\u0442 \u0432 \u0442\u043e\u043c, \u0447\u0442\u043e\u0431\u044b \u043d\u0435 \u0434\u0430\u0442\u044c \u0435\u043c\u0443 \u044d\u0442\u043e\u0433\u043e \u0441\u0434\u0435\u043b\u0430\u0442\u044c \u0438\u043b\u0438, \u043f\u043e \u043a\u0440\u0430\u0439\u043d\u0435\u0439 \u043c\u0435\u0440\u0435, \u043c\u0430\u043a\u0441\u0438\u043c\u0430\u043b\u044c\u043d\u043e \u0443\u0441\u043b\u043e\u0436\u043d\u0438\u0442\u044c \u044d\u0442\u0443 \u0437\u0430\u0434\u0430\u0447\u0443. \u041d\u0443\u0436\u043d\u043e \u043d\u0430\u0447\u0430\u0442\u044c \u0441 \u043e\u043f\u0440\u0435\u0434\u0435\u043b\u0435\u043d\u0438\u044f \u0441\u043b\u0430\u0431\u044b\u0445 \u043c\u0435\u0441\u0442 \u0432 Active Directory (\u0434\u0430\u043b\u0435\u0435 \u2013 AD), \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a \u043c\u043e\u0436\u0435\u0442 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u0434\u043b\u044f \u043f\u043e\u043b\u0443\u0447\u0435\u043d\u0438\u044f \u0434\u043e\u0441\u0442\u0443\u043f\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":27872,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-37173","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd477 indicatori chiave di rischio Active Directory nel pannello di monitoraggio Varonis | ProHoster","description":"Tutto ci\u00f2 che serve.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/7-klyuchevyh-indikatorov-riska-active-directory-na-paneli-monitoringa-varonis","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd477 \u043a\u043b\u044e\u0447\u0435\u0432\u044b\u0445 \u0438\u043d\u0434\u0438\u043a\u0430\u0442\u043e\u0440\u043e\u0432 \u0440\u0438\u0441\u043a\u0430 Active Directory \u043d\u0430 \u043f\u0430\u043d\u0435\u043b\u0438 \u043c\u043e\u043d\u0438\u0442\u043e\u0440\u0438\u043d\u0433\u0430 Varonis | ProHoster","og:description":"\u0412\u0441\u0435, \u0447\u0442\u043e \u043d\u0443\u0436\u043d\u043e.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/7-klyuchevyh-indikatorov-riska-active-directory-na-paneli-monitoringa-varonis","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:16:11+00:00","article:modified_time":"2019-10-31T19:16:11+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"37173","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-22 06:24:26","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:46:18","updated":"2026-01-22 06:24:26","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/37173","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=37173"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/37173\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/27872"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=37173"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=37173"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=37173"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}