{"id":53879,"date":"2019-12-12T00:00:00","date_gmt":"2019-12-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/problema-konfidentsialnosti-dannyh-v-active-directory"},"modified":"2020-02-18T14:01:49","modified_gmt":"2020-02-18T11:01:49","slug":"problema-konfidentsialnosti-dannyh-v-active-directory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","title":{"rendered":"Il problema della privacy dei dati in Active Directory","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Il
\n
\nMi sono occupato di test di penetrazione utilizzando PowerView<\/a><\/noindex> e l'ho usato per estrarre informazioni sugli utenti da Active Directory (da qui in avanti \u2013 AD). In quel periodo mi sono concentrato sulla raccolta di informazioni sui membri dei gruppi di sicurezza, per poi utilizzare tali informazioni per muovermi nella rete. In ogni caso, AD contiene dati riservati sui dipendenti, alcuni dei quali non dovrebbero essere accessibili a tutti nell'organizzazione. Infatti, nei file system Windows esiste un equivalente problema \u00abEveryone\u00bb<\/a><\/noindex>, che pu\u00f2 essere utilizzato sia da aggressori interni che esterni.<\/p>\n

Ma prima di parlare dei problemi di riservatezza e delle modalit\u00e0 per risolverli, diamo un'occhiata ai dati memorizzati in AD.
\n<\/a><\/noindex><\/p>\n

Active Directory \u00e8 come un Facebook aziendale <\/h2>\n

\nMa in questo caso hai gi\u00e0 fatto amicizia con tutti! Potresti non sapere quali sono i film, i libri e i ristoranti preferiti dai tuoi colleghi, ma AD contiene informazioni di contatto sensibili
\ne altri campi che possono essere utilizzati da hacker e anche da insider senza particolari competenze tecniche.<\/p>\n

Gli amministratori di sistema, ovviamente, sono familiari con lo screenshot qui sotto. Questo \u00e8 l'interfaccia di Active Directory Users and Computers (ADUC), dove impostano e modificano le informazioni sugli utenti e assegnano gli utenti ai gruppi appropriati.<\/p>\n

\"Il
\n
\nAD contiene campi con nome del dipendente, indirizzo e numero di telefono, quindi \u00e8 simile a un elenco telefonico. Ma c'\u00e8 molto di pi\u00f9! Nelle altre schede ci sono anche email e indirizzo web, superiore diretto e note.<\/p>\n

Tutti in organizzazione devono vedere queste informazioni, specialmente nell'era OSINT<\/a><\/noindex>, in cui ogni nuovo dettaglio rende la ricerca di informazioni aggiuntive ancora pi\u00f9 semplice?<\/p>\n

Certo che no! Il problema si aggrava quando i dati della dirigenza dell'azienda sono accessibili a tutti i dipendenti.<\/p>\n

PowerView per tutti<\/h2>\n

\nQui entra in gioco PowerView. Fornisce un'interfaccia PowerShell molto conveniente per le funzionalit\u00e0 sottostanti (e complesse) di Win32 che accedono ad AD. In breve:
\nrende l'ottenimento dei campi AD semplice come digitare un comodo comando molto breve.<\/p>\n

Prendiamo ad esempio la raccolta di informazioni sulla dipendente Cruella Deville, che \u00e8 una delle direttrici dell'azienda. A tal fine utilizziamo il cmdlet PowerView get-NetUser:<\/p>\n

\"Il
\n
\nL'installazione di PowerView non \u00e8 un problema serio \u2013 verificatelo voi stessi sulla pagina github<\/a><\/noindex>. E cosa ancora pi\u00f9 importante, non sono necessarie autorizzazioni elevate per eseguire molti comandi di PowerView, come get-NetUser. Pertanto, un dipendente motivato ma non molto competente dal punto di vista tecnico pu\u00f2 iniziare a esplorare l'AD senza particolari sforzi.<\/p>\n

Dallo screenshot sopra riportato, \u00e8 chiaro che un insider pu\u00f2 rapidamente scoprire molte informazioni su Cruella. Avete notato anche voi che nel campo \"info\" viene rivelata informazioni sulle abitudini personali e sulla password dell'utente?<\/p>\n

Non si tratta di una probabilit\u00e0 teorica. Da dialoghi con altri pentester<\/a><\/noindex> ho appreso che eseguono scan dell'AD per cercare password in chiaro, e spesso questi tentativi, sfortunatamente, hanno successo. Sanno che le aziende trascurano le informazioni nell'AD e, di norma, non sono consapevoli del tema successivo: le autorizzazioni nell'AD.<\/p>\n

In Active Directory ci sono le proprie ACL<\/h2>\n

\nL'interfaccia AD Users and Computers consente di impostare autorizzazioni per gli oggetti AD. Ci sono ACL nell'AD, e gli amministratori possono concedere o negare l'accesso tramite esse. \u00c8 necessario fare clic su \"Advanced\" nel menu Visualizza di ADUC, e poi, quando aprite l'utente, vedrete la scheda \"Security\", in cui impostate l'ACL. <\/p>\n

Nel mio scenario con Cruella non volevo che tutti gli utenti autenticati potessero vedere le sue informazioni personali, quindi ho negato loro l'accesso in lettura:<\/p>\n

\"Il
\n
\nE ora un utente normale vedr\u00e0 questo, se tenter\u00e0 Get-NetUser in PowerView:<\/p>\n

\"Il
\n
\nSono riuscito a nascondere informazioni potenzialmente utili da occhi indiscreti. Per mantenere l'accesso a queste informazioni per utenti rilevanti, ho creato un'altra ACL per consentire ai membri del gruppo VIP (Cruella e altri suoi alti funzionari) di accedere a questi dati riservati. In altre parole, ho implementato le autorizzazioni AD basate su un modello di ruolo, rendendo i dati sensibili non accessibili alla maggior parte dei dipendenti, compresi gli insider.<\/p>\n

Tuttavia, \u00e8 possibile rendere invisibile l'appartenenza al gruppo per gli utenti impostando opportunamente le ACL per l'oggetto gruppo nell'AD. Questo aiuter\u00e0 dal punto di vista della riservatezza e della sicurezza.<\/p>\n

Nel suo serie di epici pentest<\/a><\/noindex> Ho dimostrato come \u00e8 possibile navigare nel sistema studiando l'appartenenza ai gruppi utilizzando PowerViews Get-NetGroupMember. Nel mio scenario, ho limitato l'accesso in sola lettura all'appartenenza a un gruppo specifico. Puoi vedere il risultato dell'esecuzione del comando prima e dopo le modifiche:<\/p>\n

\"Il
\n
\nSono riuscito a nascondere l'appartenenza di Cruella e Monty Burns al gruppo VIP, rendendo pi\u00f9 difficile per hacker e insider svolgere operazioni di ricognizione sull'infrastruttura.<\/p>\n

Questo post era destinato a motivarti a esaminare pi\u00f9 attentamente i campi
\nAD e i relativi permessi. AD \u00e8 una risorsa eccellente, ma ti invitiamo a riflettere su come vorresti
\ncondividere informazioni riservate e dati personali, soprattutto
\nquando si parla dei vertici della tua organizzazione. \u00a0
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430 \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PowerView \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0435\u0433\u043e \u0434\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u0445 \u0438\u0437 Active Directory (\u0434\u0430\u043b\u0435\u0435 \u2013 AD). \u0412 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u044f \u0434\u0435\u043b\u0430\u043b \u0430\u043a\u0446\u0435\u043d\u0442 \u043d\u0430 \u0441\u0431\u043e\u0440\u0435 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0447\u043b\u0435\u043d\u0441\u0442\u0432\u0435 \u0432 \u0433\u0440\u0443\u043f\u043f\u0430\u0445 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, \u0430 \u0437\u0430\u0442\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u044d\u0442\u0443 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u0442\u044c\u0441\u044f \u043f\u043e \u0441\u0435\u0442\u0438. \u0412 \u043b\u044e\u0431\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, AD \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u0430\u0445, \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53879","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Problema della privacy dei dati in Active Directory | ProHoster","description":"Mi sono occupato di test.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 Active Directory | ProHoster","og:description":"\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53879","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 09:08:21","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:16:27","updated":"2026-01-24 09:08:21","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/53879","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=53879"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/53879\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=53879"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=53879"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=53879"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}