בעיית פרטיות נתונים ב-Active Directory

עשיתי בדיקות חדירה באמצעות Power View והשתמש בו כדי לאחזר מידע משתמש מ-Active Directory (להלן AD). בזמנו, הדגש שלי היה על איסוף מידע על חברות בקבוצת אבטחה ולאחר מכן שימוש במידע זה כדי לנווט ברשת. כך או כך, AD מכילה נתוני עובדים רגישים, שחלקם ממש לא אמורים להיות נגישים לכל אחד בארגון. למעשה, במערכות קבצים של Windows יש מקבילה בעיה של "כולם"., שיכול לשמש גם תוקפים פנימיים וחיצוניים כאחד.

אבל לפני שנדבר על בעיות פרטיות וכיצד לתקן אותן, בואו נסתכל על הנתונים המאוחסנים ב-AD.

Active Directory היא הפייסבוק הארגוני

אבל במקרה הזה, כבר התיידדת עם כולם! אולי אינך יודע על הסרטים, הספרים או המסעדות האהובים על עמיתיך לעבודה, אך AD מכיל מידע רגיש ליצירת קשר.
נתונים ותחומים אחרים שיכולים לשמש האקרים ואפילו מקורבים ללא כישורים טכניים מיוחדים.

מנהלי המערכת מכירים כמובן את צילום המסך למטה. זהו ממשק Active Directory Users and Computers (ADUC) שבו הם מגדירים ועורכים מידע משתמש ומקצים משתמשים לקבוצות מתאימות.

AD מכיל שדות עבור שם עובד, כתובת ומספר טלפון, כך שהוא דומה לספריית טלפונים. אבל יש עוד כל כך הרבה! כרטיסיות אחרות כוללות גם דוא"ל וכתובת אינטרנט, מנהל קו והערות.

האם כל אחד בארגון צריך לראות את המידע הזה, במיוחד בעידן OSINT, כאשר כל פרט חדש מקל על החיפוש אחר מידע נוסף?

ברור שלא! הבעיה מתעצמת כאשר נתונים מההנהלה הבכירה של חברה זמינים לכל העובדים.

PowerView לכולם

כאן נכנסת לתמונה PowerView. הוא מספק ממשק PowerShell ידידותי מאוד לפונקציות הבסיסיות (והמבלבלות) של Win32 הניגשות ל-AD. בקצרה:
זה הופך את אחזור שדות AD לקלה כמו הקלדת cmdlet קצר מאוד.

ניקח דוגמה לאיסוף מידע על עובדת של Cruella Deville, שהיא אחת ממנהיגי החברה. כדי לעשות זאת, השתמש ב- PowerView get-NetUser cmdlet:

התקנת PowerView אינה בעיה רצינית - ראה בעצמך בעמוד GitHub. וחשוב מכך, אינך זקוק להרשאות מוגברות כדי להפעיל פקודות PowerView רבות, כגון get-NetUser. בדרך זו, עובד בעל מוטיבציה אך לא מאוד מתמצא בטכנולוגיה יכול להתחיל להתעסק עם AD ללא מאמץ רב.

מצילום המסך שלמעלה, אתה יכול לראות שמקורב יכול ללמוד במהירות הרבה על Cruella. האם שמתם לב גם ששדה "מידע" חושף מידע על ההרגלים האישיים והסיסמה של המשתמש?

זו לא אפשרות תיאורטית. מ דיאלוגים עם חודרים אחרים למדתי שהם סורקים את AD כדי למצוא סיסמאות בטקסט רגיל, ולעתים קרובות ניסיונות אלו מצליחים לצערי. הם יודעים שחברות לא זהירות עם מידע ב-AD, והן נוטות להיות לא מודעות לנושא הבא: הרשאות AD.

ל-Active Directory יש ACL משלה

ממשק AD Users and Computers מאפשר לך להגדיר הרשאות על אובייקטי AD. ל-AD יש ACLs ומנהלי מערכת יכולים להעניק או לדחות גישה דרכם. אתה צריך ללחוץ על "מתקדם" בתפריט ADUC View ואז כשתפתח את המשתמש תראה את הכרטיסייה "אבטחה" שבה אתה מגדיר את ה-ACL.

בתרחיש Cruella שלי, לא רציתי שכל המשתמשים המאומתים יוכלו לראות את המידע האישי שלה, אז מנעתי מהם גישת קריאה:

ועכשיו משתמש רגיל יראה את זה אם הוא ינסה את Get-NetUser ב-PowerView:

הצלחתי להסתיר מידע שימושי ברור מעיניים סקרניות. כדי לשמור אותו נגיש למשתמשים רלוונטיים, יצרתי ACL נוסף כדי לאפשר לחברי קבוצת ה-VIP (Cruella ושאר עמיתיה הבכירים) לגשת לנתונים הרגישים הללו. במילים אחרות, הטמעתי הרשאות AD המבוססות על מודל לחיקוי, מה שהפך נתונים רגישים לבלתי נגישים לרוב העובדים, כולל Insiders.

עם זאת, אתה יכול להפוך את החברות בקבוצה לבלתי נראית למשתמשים על ידי הגדרת ה-ACL באובייקט הקבוצה ב-AD בהתאם. זה יעזור במונחים של פרטיות ואבטחה.

בשלו סדרת פנטסטים אפיים הראיתי כיצד ניתן לנווט במערכת על ידי בחינת חברות בקבוצה באמצעות PowerViews Get-NetGroupMember. בתסריט שלי הגבלתי את גישת הקריאה לחברות בקבוצה מסוימת. אתה יכול לראות את התוצאה של הפעלת הפקודה לפני ואחרי השינויים:

הצלחתי להסתיר את החברות של קרואלה ומונטי ברנס בקבוצת ה-VIP, מה שהקשה על האקרים ומקורבים לחפש את התשתית.

פוסט זה נועד להניע אותך לבחון מקרוב את השדות
AD והרשאות קשורות. AD הוא משאב נהדר, אבל תחשוב איך היית עושה
רצה לשתף מידע סודי ונתונים אישיים, במיוחד
כשמדובר בבכירים בארגון שלך.  

מקור: www.habr.com