ភាពងាយរងគ្រោះនៃការផ្លាស់ប្តូរ៖ របៀបរកឃើញការកើនឡើងនៃសិទ្ធិចំពោះអ្នកគ្រប់គ្រងដែន

បានរកឃើញនៅឆ្នាំនេះ។ ភាពងាយរងគ្រោះនៅក្នុង Exchange អនុញ្ញាតឱ្យអ្នកប្រើប្រាស់ដែនណាមួយទទួលបានសិទ្ធិអ្នកគ្រប់គ្រងដែន និងសម្របសម្រួល Active Directory (AD) និងម៉ាស៊ីនដែលបានតភ្ជាប់ផ្សេងទៀត។ ថ្ងៃនេះយើងនឹងប្រាប់អ្នកពីរបៀបដែលការវាយប្រហារនេះដំណើរការ និងរបៀបរកឃើញវា។

នេះជារបៀបដែលការវាយប្រហារនេះដំណើរការ៖

1. អ្នកវាយប្រហារចូលកាន់កាប់គណនីរបស់អ្នកប្រើដែនណាមួយដែលមានប្រអប់សំបុត្រសកម្ម ដើម្បីជាវមុខងារជូនដំណឹងជំរុញពី Exchange
2. អ្នកវាយប្រហារប្រើការបញ្ជូនត NTLM ដើម្បីបោកបញ្ឆោតម៉ាស៊ីនមេ Exchange៖ ជាលទ្ធផល ម៉ាស៊ីនមេ Exchange ភ្ជាប់ទៅកុំព្យូទ័ររបស់អ្នកប្រើដែលត្រូវបានសម្របសម្រួលដោយប្រើវិធីសាស្ត្រ NTLM លើ HTTP ដែលអ្នកវាយប្រហារប្រើដើម្បីផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវទៅកាន់ឧបករណ៍បញ្ជាដែនតាមរយៈ LDAP ជាមួយនឹងព័ត៌មានសម្ងាត់គណនី Exchange
3. អ្នកវាយប្រហារបញ្ចប់ដោយប្រើព័ត៌មានសម្ងាត់គណនី Exchange ទាំងនេះ ដើម្បីពង្រីកសិទ្ធិរបស់ពួកគេ។ ជំហានចុងក្រោយនេះក៏អាចត្រូវបានអនុវត្តដោយអ្នកគ្រប់គ្រងអរិភាពដែលមានសិទ្ធិចូលដំណើរការស្របច្បាប់រួចហើយដើម្បីធ្វើការផ្លាស់ប្តូរការអនុញ្ញាតចាំបាច់។ តាមរយៈការបង្កើតច្បាប់ដើម្បីស្វែងរកសកម្មភាពនេះ អ្នកនឹងត្រូវបានការពារពីការវាយប្រហារនេះ និងស្រដៀងគ្នា។

ជាឧទាហរណ៍ ក្រោយមក អ្នកវាយប្រហារអាចដំណើរការ DCSync ដើម្បីទទួលបានពាក្យសម្ងាត់ hashed របស់អ្នកប្រើប្រាស់ទាំងអស់នៅក្នុងដែន។ នេះនឹងអនុញ្ញាតឱ្យគាត់អនុវត្តប្រភេទនៃការវាយប្រហារផ្សេងៗគ្នា - ពីការវាយប្រហារសំបុត្រមាសរហូតដល់ការបញ្ជូនសញ្ញា។

ក្រុមស្រាវជ្រាវ Varonis បានសិក្សាវ៉ិចទ័រវាយប្រហារនេះយ៉ាងលម្អិត និងរៀបចំការណែនាំសម្រាប់អតិថិជនរបស់យើងក្នុងការរកឃើញវា ហើយក្នុងពេលតែមួយពិនិត្យមើលថាតើពួកគេត្រូវបានសម្របសម្រួលរួចហើយឬនៅ។

ការរកឃើញការកើនឡើងសិទ្ធិដែន

В ការជូនដំណឹងទិន្នន័យ បង្កើតច្បាប់ផ្ទាល់ខ្លួនដើម្បីតាមដានការផ្លាស់ប្តូរចំពោះការអនុញ្ញាតជាក់លាក់លើវត្ថុមួយ។ វានឹងត្រូវបានកេះនៅពេលបន្ថែមសិទ្ធិ និងការអនុញ្ញាតទៅវត្ថុដែលចាប់អារម្មណ៍នៅក្នុងដែន៖

1. បញ្ជាក់ឈ្មោះច្បាប់
2. កំណត់ប្រភេទទៅជា "ការកើនឡើងនៃសិទ្ធិ"
3. កំណត់ប្រភេទធនធានទៅជា "ប្រភេទធនធានទាំងអស់"
4. ម៉ាស៊ីនមេឯកសារ = សេវាកម្មថត
5. បញ្ជាក់ដែនដែលអ្នកចាប់អារម្មណ៍ ជាឧទាហរណ៍ តាមឈ្មោះ
6. បន្ថែមតម្រងដើម្បីបន្ថែមការអនុញ្ញាតលើវត្ថុ AD
7. ហើយកុំភ្លេចទុកជម្រើស "ស្វែងរកក្នុងវត្ថុកុមារ" ដោយមិនបានជ្រើសរើស។

ហើយឥឡូវនេះរបាយការណ៍៖ ការរកឃើញការផ្លាស់ប្តូរសិទ្ធិចំពោះវត្ថុដែន

ការផ្លាស់ប្តូរចំពោះការអនុញ្ញាតលើវត្ថុ AD គឺកម្រមានណាស់ ដូច្នេះអ្វីៗដែលបង្កឱ្យមានការព្រមាននេះគួរតែ និងគួរតែត្រូវបានស៊ើបអង្កេត។ វាក៏ជាគំនិតល្អផងដែរក្នុងការសាកល្បងរូបរាង និងខ្លឹមសារនៃរបាយការណ៍ មុនពេលចាប់ផ្តើមច្បាប់ដោយខ្លួនឯងចូលទៅក្នុងសមរភូមិ។

របាយការណ៍នេះក៏នឹងបង្ហាញផងដែរ ប្រសិនបើអ្នកត្រូវបានសម្របសម្រួលរួចហើយដោយការវាយប្រហារនេះ៖

នៅពេលដែលច្បាប់ត្រូវបានធ្វើឱ្យសកម្ម អ្នកអាចស៊ើបអង្កេតព្រឹត្តិការណ៍ការកើនឡើងសិទ្ធិផ្សេងទៀតទាំងអស់ដោយប្រើចំណុចប្រទាក់គេហទំព័រ DatAlert៖

នៅពេលដែលអ្នកកំណត់រចនាសម្ព័ន្ធច្បាប់នេះ អ្នកអាចត្រួតពិនិត្យ និងការពារប្រឆាំងនឹងភាពងាយរងគ្រោះផ្នែកសុវត្ថិភាពទាំងនេះ និងប្រភេទស្រដៀងគ្នានេះ ស៊ើបអង្កេតព្រឹត្តិការណ៍ជាមួយនឹងវត្ថុនៃសេវាកម្មថត AD និងកំណត់ថាតើអ្នកងាយរងគ្រោះចំពោះភាពងាយរងគ្រោះដ៏សំខាន់នេះដែរឬទេ។

ប្រភព: www.habr.com