{"id":53879,"date":"2019-12-12T00:00:00","date_gmt":"2019-12-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/problema-konfidentsialnosti-dannyh-v-active-directory"},"modified":"2020-02-18T14:01:49","modified_gmt":"2020-02-18T11:01:49","slug":"problema-konfidentsialnosti-dannyh-v-active-directory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","title":{"rendered":"Problema della privacy dei dati in Active Directory","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Problema
\n
\nMi sono occupato di test di penetrazione utilizzando PowerView<\/a><\/noindex> e l'ho utilizzato per estrarre informazioni sugli utenti da Active Directory (AD). In quel periodo mi sono concentrato sulla raccolta di informazioni sui membri dei gruppi di sicurezza e poi ho utilizzato queste informazioni per muovermi all'interno della rete. In ogni caso, AD contiene dati riservati sui dipendenti, alcuni dei quali non dovrebbero realmente essere accessibili a tutti nell'organizzazione. In effetti, nei sistemi di file di Windows esiste un problema equivalente con Everyone<\/a><\/noindex>, che pu\u00f2 essere sfruttato sia da attaccanti interni che esterni.<\/p>\n

Ma prima di parlare dei problemi di privacy e delle modalit\u00e0 per affrontarli, diamo un'occhiata ai dati conservati in AD.
\n<\/a><\/noindex><\/p>\n

Active Directory \u00e8 un Facebook aziendale <\/h2>\n

\nMa in questo caso hai gi\u00e0 stretto amicizia con tutti! Potresti non conoscere i film, i libri e i ristoranti preferiti dei tuoi colleghi, ma AD contiene dati di contatto sensibili
\ne altri campi che possono essere utilizzati da hacker e persino da insider senza particolari competenze tecniche.<\/p>\n

Gli amministratori di sistema conoscono bene lo screenshot qui sotto. Si tratta dell'interfaccia Active Directory Users and Computers (ADUC), dove impostano e modificano le informazioni sugli utenti e li assegnano ai gruppi appropriati.<\/p>\n

\"Problema
\n
\nAD contiene campi con il nome del dipendente, l'indirizzo e il numero di telefono, quindi \u00e8 simile a una rubrica telefonica. Ma c'\u00e8 molto di pi\u00f9! Nelle altre schede ci sono anche l'indirizzo email e il sito web, il supervisore diretto e annotazioni.<\/p>\n

Tutti in un'organizzazione dovrebbero vedere queste informazioni, specialmente nell'era OSINT<\/a><\/noindex>, quando ogni nuovo dettaglio rende la ricerca di informazioni aggiuntive ancora pi\u00f9 semplice?<\/p>\n

Certo che no! Il problema si aggrava quando i dati dei dirigenti dell'azienda sono accessibili a tutti i dipendenti.<\/p>\n

PowerView per tutti<\/h2>\n

\nQui entra in gioco PowerView. Fornisce un'interfaccia PowerShell molto utile per le funzioni Win32 sottostanti (e complicate) che interagiscono con AD. In breve:
\nrende l'ottenimento dei campi AD facile come digitare un breve cmdlet.<\/p>\n

Prendiamo ad esempio la raccolta di informazioni su un dipendente, Cruella Deville, che \u00e8 uno dei dirigenti dell'azienda. Per questo utilizzeremo il cmdlet PowerView get-NetUser:<\/p>\n

\"Problema
\n
\nL'installazione di PowerView non \u00e8 un problema serio: verificate voi stessi sulla pagina github<\/a><\/noindex>. E cosa pi\u00f9 importante, non sono necessari privilegi elevati per eseguire molti comandi PowerView, come get-NetUser. Cos\u00ec, un dipendente motivato ma non particolarmente tecnico pu\u00f2 iniziare a esplorare l'AD senza troppi sforzi.<\/p>\n

Dal screenshot sopra riportato, \u00e8 chiaro che un insider pu\u00f2 rapidamente apprendere molte cose nuove su Cruella. Avete notato anche voi che nel campo 'info' vengono rivelate informazioni sulle abitudini personali e sulla password dell'utente?<\/p>\n

Non si tratta di una probabilit\u00e0 teorica. Da conversazioni con altri pentester<\/a><\/noindex> ho appreso che scansionano l'AD alla ricerca di password in chiaro, e spesso questi tentativi, purtroppo, hanno successo. Sanno che le aziende trascurano le informazioni nell'AD e, in generale, non sono a conoscenza del tema successivo: le autorizzazioni nell'AD.<\/p>\n

In Active Directory ci sono le proprie ACL<\/h2>\n

\nL'interfaccia AD Users and Computers consente di impostare permessi per gli oggetti AD. In AD esistono le ACL, e gli amministratori possono concedere o negare l'accesso tramite esse. \u00c8 necessario fare clic su \u00abAdvanced\u00bb nel menu di visualizzazione ADUC, e poi, quando si apre l'utente, si vedr\u00e0 la scheda \u00abSecurity\u00bb, dove si impostano le ACL. <\/p>\n

Nel mio scenario con Cruella, non volevo che tutti gli utenti autenticati potessero vedere le sue informazioni personali, quindi ho negato loro l'accesso in lettura:<\/p>\n

\"Problema
\n
\nE ora un utente normale vedr\u00e0 questo se prova a usare Get-NetUser in PowerView:<\/p>\n

\"Problema
\n
\nSono riuscito a nascondere informazioni potenzialmente utili agli estranei. Per mantenere l'accesso per gli utenti rilevanti, ho creato un'altra ACL per consentire ai membri del gruppo VIP (Cruella e altri suoi colleghi di alto rango) di accedere a questi dati confidenziali. In altre parole, ho implementato permessi AD basati su un modello di ruolo, rendendo i dati sensibili inaccessibili alla maggior parte dei dipendenti, compresi gli insider.<\/p>\n

Tuttavia, puoi rendere invisibile l'appartenenza al gruppo per gli utenti impostando correttamente l'ACL per l'oggetto gruppo in AD. Questo aiuter\u00e0 in termini di privacy e sicurezza.<\/p>\n

Nella mia serie di epici pentest<\/a><\/noindex> ho mostrato come muoversi nel sistema esplorando l'appartenenza ai gruppi utilizzando il comando Get-NetGroupMember di PowerView. Nel mio scenario, ho limitato l'accesso in lettura all'appartenenza a un gruppo specifico. Ecco il risultato dell'esecuzione del comando prima e dopo le modifiche:<\/p>\n

\"Problema
\n
\nSono riuscito a nascondere l'appartenenza di Cruella e Monty Burns al gruppo VIP, rendendo pi\u00f9 difficile per gli hacker e gli insider l'esplorazione dell'infrastruttura.<\/p>\n

Questo post era destinato a motivarti a esaminare pi\u00f9 attentamente i campi
\ndi AD e le relative autorizzazioni. AD \u00e8 una risorsa eccellente, ma pensa a come
\nvorresti condividere informazioni riservate e dati personali, soprattutto,
\nquando si tratta dei dirigenti della tua organizzazione. \u00a0
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430 \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PowerView \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0435\u0433\u043e \u0434\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u0445 \u0438\u0437 Active Directory (\u0434\u0430\u043b\u0435\u0435 \u2013 AD). \u0412 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u044f \u0434\u0435\u043b\u0430\u043b \u0430\u043a\u0446\u0435\u043d\u0442 \u043d\u0430 \u0441\u0431\u043e\u0440\u0435 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0447\u043b\u0435\u043d\u0441\u0442\u0432\u0435 \u0432 \u0433\u0440\u0443\u043f\u043f\u0430\u0445 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, \u0430 \u0437\u0430\u0442\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u044d\u0442\u0443 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u0442\u044c\u0441\u044f \u043f\u043e \u0441\u0435\u0442\u0438. \u0412 \u043b\u044e\u0431\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, AD \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u0430\u0445, \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53879","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Problema della privacy dei dati in Active Directory | ProHoster","description":"Mi sono occupato di testare su.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 Active Directory | ProHoster","og:description":"\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430.","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53879","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 09:08:21","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:16:27","updated":"2026-01-24 09:08:21","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/53879","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=53879"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/53879\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=53879"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=53879"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=53879"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}