7 אינדיקטורים מרכזיים לסיכון של Active Directory בלוח המחוונים של Varonis

כל מה שתוקף צריך זה זמן ומוטיבציה לפרוץ לרשת שלך. אבל התפקיד שלנו הוא למנוע ממנו לעשות זאת, או לפחות להקשות על המשימה הזו. עליך להתחיל בזיהוי חולשות ב-Active Directory (להלן AD) שתוקף יכול להשתמש בהן כדי לקבל גישה ולעבור ברחבי הרשת מבלי להתגלות. היום במאמר זה נבחן מדדי סיכונים המשקפים נקודות תורפה קיימות בהגנת הסייבר של הארגון שלך, תוך שימוש בלוח המחוונים של AD Varonis כדוגמה.

תוקפים משתמשים בתצורות מסוימות בדומיין

תוקפים משתמשים במגוון טכניקות ונקודות תורפה חכמות כדי לחדור לרשתות ארגוניות ולהסלים הרשאות. חלק מהחולשות הללו הן הגדרות תצורת דומיין שניתן לשנות בקלות לאחר זיהוין.

לוח המחוונים של AD יתריע אותך מיד אם אתה (או מנהלי המערכת שלך) לא שינית את סיסמת ה-KRBTGT בחודש האחרון, או אם מישהו אימת עם חשבון המנהל המובנה המוגדר כברירת מחדל. שני החשבונות הללו מספקים גישה בלתי מוגבלת לרשת שלך: תוקפים ינסו לקבל גישה אליהם כדי לעקוף בקלות כל הגבלה בהרשאות והרשאות גישה. וכתוצאה מכך, הם מקבלים גישה לכל מידע שמעניין אותם.

כמובן, אתה יכול לגלות את הפגיעויות האלה בעצמך: לדוגמה, הגדר תזכורת יומן כדי לבדוק או להפעיל סקריפט PowerShell כדי לאסוף מידע זה.

לוח המחוונים של Varonis מתעדכן באופן אוטומטי לספק נראות וניתוח מהירים של מדדי מפתח המדגישים נקודות תורפה פוטנציאליות, כך שתוכל לנקוט בפעולה מיידית כדי לטפל בהן.

3 מדדי סיכון מרכזיים ברמת התחום

להלן מספר ווידג'טים הזמינים בלוח המחוונים של Varonis, שהשימוש בהם ישפר משמעותית את ההגנה על הרשת הארגונית ותשתיות ה-IT כולה.

1. מספר הדומיינים שעבורם לא שונתה סיסמת חשבון Kerberos במשך תקופה משמעותית

חשבון KRBTGT הוא חשבון מיוחד ב-AD שחתום על הכל כרטיסים לקרברוס . תוקפים שמקבלים גישה לבקר תחום (DC) יכולים להשתמש בחשבון זה כדי ליצור כרטיס זהב, מה שיעניק להם גישה בלתי מוגבלת כמעט לכל מערכת ברשת הארגונית. נתקלנו במצב שבו, לאחר שהשיג בהצלחה כרטיס זהב, לתוקף הייתה גישה לרשת של הארגון במשך שנתיים. אם סיסמת חשבון KRBTGT בחברה שלך לא שונתה בארבעים הימים האחרונים, הווידג'ט יודיע לך על כך.

ארבעים יום הם די והותר זמן לתוקף לקבל גישה לרשת. עם זאת, אם תאכוף ותתקן את התהליך של שינוי סיסמה זו על בסיס קבוע, זה יקשה הרבה יותר על התוקף לפרוץ לרשת הארגונית שלך.

זכור שעל פי היישום של מיקרוסופט של פרוטוקול Kerberos, אתה חייב לשנות סיסמא פעמיים KRBTGT.

בעתיד, יישומון AD זה יזכיר לך מתי הגיע הזמן לשנות שוב את סיסמת KRBTGT עבור כל הדומיינים ברשת שלך.

2. מספר הדומיינים שבהם נעשה שימוש לאחרונה בחשבון ה-Administrator המובנה

על פי עקרון הזכות הקטנה ביותר — למנהלי מערכת מסופקים שני חשבונות: הראשון הוא חשבון לשימוש יומיומי, והשני הוא עבור עבודה ניהולית מתוכננת. המשמעות היא שאף אחד לא צריך להשתמש בחשבון מנהל ברירת המחדל.

חשבון המנהל המובנה משמש לעתים קרובות כדי לפשט את תהליך ניהול המערכת. זה יכול להפוך להרגל רע, וכתוצאה מכך פריצה. אם זה קורה בארגון שלך, תתקשה להבחין בין שימוש נכון בחשבון זה לבין גישה שעלולה להיות זדונית.

אם הווידג'ט מציג משהו מלבד אפס, אז מישהו לא עובד כהלכה עם חשבונות ניהול. במקרה זה, עליך לנקוט בצעדים כדי לתקן ולהגביל את הגישה לחשבון המנהל המובנה.
לאחר שהשגת ערך ווידג'ט של אפס ומנהלי מערכת כבר לא משתמשים בחשבון זה לעבודתם, אז בעתיד, כל שינוי בו יעיד על מתקפת סייבר פוטנציאלית.

3. מספר הדומיינים שאין להם קבוצה של משתמשים מוגנים

גרסאות ישנות יותר של AD תמכו בסוג הצפנה חלש - RC4. האקרים פרצו ל-RC4 לפני שנים רבות, ועכשיו זו משימה טריוויאלית מאוד עבור תוקף לפרוץ לחשבון שעדיין משתמש ב-RC4. הגרסה של Active Directory שהוצגה ב-Windows Server 2012 הציגה סוג חדש של קבוצת משתמשים בשם Protected Users Group. הוא מספק כלי אבטחה נוספים ומונע אימות משתמשים באמצעות הצפנת RC4.

יישומון זה ידגים אם לדומיין כלשהו בארגון חסרה קבוצה כזו כדי שתוכלו לתקן אותה, כלומר. לאפשר קבוצה של משתמשים מוגנים ולהשתמש בה כדי להגן על התשתית.

מטרות קלות לתוקפים

חשבונות משתמשים הם היעד מספר אחת לתוקפים, החל מניסיונות חדירה ראשוניים ועד להסלמה מתמשכת של הרשאות והסתרת פעילותם. תוקפים מחפשים מטרות פשוטות ברשת שלך באמצעות פקודות PowerShell בסיסיות שלעתים קרובות קשה לזהות. הסר כמה שיותר מהמטרות הקלות הללו מ-AD.

תוקפים מחפשים משתמשים עם סיסמאות שפג תוקפן (או שאינם דורשים סיסמאות), חשבונות טכנולוגיה שהם מנהלי מערכת וחשבונות המשתמשים בהצפנת RC4 מדור קודם.

כל אחד מהחשבונות האלה הוא טריוויאלי לגישה או בדרך כלל לא מפוקח. תוקפים יכולים להשתלט על חשבונות אלה ולנוע בחופשיות בתוך התשתית שלך.

ברגע שתוקפים יחדרו להיקף האבטחה, סביר להניח שהם יקבלו גישה לחשבון אחד לפחות. האם תוכל למנוע מהם לקבל גישה לנתונים רגישים לפני שהמתקפה תתגלה ותכלה?

לוח המחוונים של Varonis AD יצביע על חשבונות משתמש פגיעים כדי שתוכל לפתור בעיות באופן יזום. ככל שקשה יותר לחדור לרשת שלכם, כך הסיכוי שלכם לנטרל תוקף לפני שהוא יגרום לנזק רציני גבוה יותר.

4 מדדי סיכון עיקריים עבור חשבונות משתמשים

להלן דוגמאות לווידג'טים של לוח המחוונים של Varonis AD המדגישים את חשבונות המשתמש הפגיעים ביותר.

1. מספר המשתמשים הפעילים עם סיסמאות שלעולם לא פג תוקפן

עבור כל תוקף לקבל גישה לחשבון כזה הוא תמיד הצלחה גדולה. מכיוון שהסיסמה לעולם אינה פוקעת, לתוקף יש דריסת רגל קבועה ברשת, אשר לאחר מכן ניתן להשתמש בה הסלמה של זכויות יתר או תנועות בתוך התשתית.
לתוקפים יש רשימות של מיליוני שילובי סיסמה של משתמש שבהם הם משתמשים בהתקפות של מילוי אישורים, והסבירות היא ש
שהשילוב של המשתמש עם הסיסמה "הנצחית" נמצא באחת מהרשימות הללו, הרבה יותר מאפס.

קל לנהל חשבונות עם סיסמאות שאינן פג תוקף, אך הן אינן מאובטחות. השתמש בווידג'ט זה כדי למצוא את כל החשבונות שיש להם סיסמאות כאלה. שנה הגדרה זו ועדכן את הסיסמה שלך.

ברגע שהערך של הווידג'ט הזה מוגדר לאפס, כל החשבונות החדשים שנוצרו עם הסיסמה הזו יופיעו בלוח המחוונים.

2. מספר חשבונות ניהול עם SPN

SPN (שם מנהל שירות) הוא מזהה ייחודי של מופע שירות. ווידג'ט זה מראה לכמה חשבונות שירות יש זכויות מנהל מלאות. הערך בווידג'ט חייב להיות אפס. SPN עם זכויות ניהול מתרחשת מכיוון שהענקת זכויות כאלה נוחה לספקי תוכנה ומנהלי יישומים, אך היא מהווה סיכון אבטחה.

הענקת זכויות ניהול לחשבון השירות מאפשרת לתוקף לקבל גישה מלאה לחשבון שאינו בשימוש. המשמעות היא שתוקפים עם גישה לחשבונות SPN יכולים לפעול בחופשיות בתוך התשתית מבלי לנטר את הפעילות שלהם.

אתה יכול לפתור בעיה זו על ידי שינוי ההרשאות בחשבונות שירות. חשבונות כאלה צריכים להיות כפופים לעיקרון המינימום הזכויות ולהיות להם רק את הגישה הדרושה בפועל להפעלתם.

באמצעות יישומון זה, אתה יכול לזהות את כל ה-SPN שיש להם זכויות ניהול, להסיר הרשאות כאלה ולאחר מכן לפקח על SPNs תוך שימוש באותו עיקרון של גישה לפחות הרשאות.

ה-SPN החדש שיופיע יוצג בלוח המחוונים, ותוכל לעקוב אחר תהליך זה.

3. מספר המשתמשים שאינם דורשים אימות מקדים של Kerberos

באופן אידיאלי, Kerberos מצפין את כרטיס האימות באמצעות הצפנת AES-256, אשר נותרה בלתי שבירה עד היום.

עם זאת, גרסאות ישנות יותר של Kerberos השתמשו בהצפנת RC4, אשר כעת ניתן לשבור תוך דקות. ווידג'ט זה מראה אילו חשבונות משתמשים עדיין משתמשים ב-RC4. מיקרוסופט עדיין תומכת ב-RC4 עבור תאימות לאחור, אבל זה לא אומר שאתה צריך להשתמש בו ב-AD שלך.

לאחר שזיהית חשבונות כאלה, עליך לבטל את הסימון בתיבת הסימון "לא דורש אישור מראש של Kerberos" ב-AD כדי לאלץ את החשבונות להשתמש בהצפנה מתוחכמת יותר.

גילוי חשבונות אלה בעצמך, ללא לוח המחוונים של Varonis AD, לוקח הרבה זמן. במציאות, להיות מודע לכל החשבונות שנערכים לשימוש בהצפנת RC4 היא משימה קשה עוד יותר.

אם הערך בווידג'ט משתנה, הדבר עשוי להצביע על פעילות לא חוקית.

4. מספר משתמשים ללא סיסמה

תוקפים משתמשים בפקודות PowerShell בסיסיות כדי לקרוא את הדגל "PASSWD_NOTREQD" מ-AD במאפייני החשבון. השימוש בדגל זה מציין שאין דרישות סיסמה או דרישות מורכבות.
כמה קל לגנוב חשבון עם סיסמה פשוטה או ריקה? כעת דמיינו שאחד מהחשבונות הללו הוא מנהל מערכת.

מה אם אחד מאלפי התיקים החסויים הפתוחים לכולם הוא דו"ח כספי קרוב?

התעלמות מדרישת הסיסמה החובה היא קיצור דרך נוסף לניהול מערכת שהיה בשימוש תכופות בעבר, אך אינו מקובל ואינו בטוח כיום.

תקן בעיה זו על ידי עדכון הסיסמאות של חשבונות אלה.

ניטור יישומון זה בעתיד יעזור לך להימנע מחשבונות ללא סיסמה.

וארוניס מאזן את הסיכויים

בעבר, עבודת האיסוף והניתוח של המדדים המתוארים במאמר זה ארכה שעות רבות והצריכה ידע מעמיק ב-PowerShell, מה שדרש מצוותי האבטחה להקצות משאבים למשימות כאלה מדי שבוע או חודש. אבל איסוף ועיבוד ידני של המידע הזה נותנים לתוקפים נקודת התחלה לחדור ולגנוב נתונים.

С ורוניס אתה תבזבז יום אחד כדי לפרוס את לוח המחוונים של AD ורכיבים נוספים, לאסוף את כל הפגיעויות שנדונו ועוד רבות אחרות. בעתיד, במהלך ההפעלה, לוח הניטור יתעדכן אוטומטית ככל שמצב התשתית ישתנה.

ביצוע התקפות סייבר הוא תמיד מרוץ בין תוקפים למגינים, רצונו של התוקף לגנוב נתונים לפני שמומחי אבטחה יוכלו לחסום את הגישה אליו. זיהוי מוקדם של תוקפים ופעילויות בלתי חוקיות שלהם, יחד עם הגנות סייבר חזקות, הוא המפתח לשמירה על בטיחות הנתונים שלך.

מקור: www.habr.com