Varonis 대시보드의 7가지 주요 Active Directory 위험 지표

공격자에게 필요한 것은 네트워크에 침입할 시간과 동기뿐입니다. 하지만 우리의 임무는 그가 이런 일을 하지 못하게 하거나 적어도 이 일을 가능한 한 어렵게 만드는 것입니다. 공격자가 탐지되지 않고 액세스 권한을 얻고 네트워크를 돌아다니는 데 사용할 수 있는 Active Directory(이하 AD)의 약점을 식별하는 것부터 시작해야 합니다. 오늘 이 기사에서는 AD Varonis 대시보드를 예로 들어 조직의 사이버 방어에 존재하는 취약성을 반영하는 위험 지표를 살펴보겠습니다.

공격자는 도메인의 특정 구성을 사용합니다.

공격자는 다양한 영리한 기술과 취약점을 사용하여 기업 네트워크에 침투하고 권한을 상승시킵니다. 이러한 취약점 중 일부는 식별된 후 쉽게 변경할 수 있는 도메인 구성 설정입니다.

귀하(또는 귀하의 시스템 관리자)가 지난 달에 KRBTGT 비밀번호를 변경하지 않았거나 누군가 기본 내장 관리자 계정으로 인증한 경우 AD 대시보드는 즉시 경고합니다. 이 두 계정은 네트워크에 대한 무제한 액세스를 제공합니다. 공격자는 권한 및 액세스 권한에 대한 제한을 쉽게 우회하기 위해 액세스 권한을 얻으려고 시도합니다. 결과적으로 그들은 관심 있는 모든 데이터에 액세스할 수 있습니다.

물론 이러한 취약점을 직접 발견할 수도 있습니다. 예를 들어 달력 알림을 설정하여 확인하거나 PowerShell 스크립트를 실행하여 이 정보를 수집할 수 있습니다.

Varonis 대시보드가 ​​업데이트 중입니다. 자동으로 잠재적인 취약점을 강조하는 주요 지표에 대한 빠른 가시성과 분석을 제공하여 이를 해결하기 위한 즉각적인 조치를 취할 수 있습니다.

3가지 주요 도메인 수준 위험 지표

다음은 Varonis 대시보드에서 사용할 수 있는 다양한 위젯입니다. 이를 사용하면 기업 네트워크와 IT 인프라 전체의 보호가 크게 향상됩니다.

1. 장기간 Kerberos 계정 비밀번호가 변경되지 않은 도메인 수

KRBTGT 계정은 모든 것에 서명하는 AD의 특수 계정입니다. Kerberos 티켓 . DC(도메인 컨트롤러)에 대한 액세스 권한을 얻은 공격자는 이 계정을 사용하여 황금 티켓, 회사 네트워크의 거의 모든 시스템에 무제한으로 액세스할 수 있습니다. 공격자가 골든 티켓을 성공적으로 획득한 후 XNUMX년 동안 조직의 네트워크에 접근할 수 있는 상황이 발생했습니다. 지난 XNUMX일 동안 회사의 KRBTGT 계정 비밀번호가 변경되지 않은 경우 위젯에서 이에 대해 알려줍니다.

XNUMX일은 공격자가 네트워크에 액세스하는 데 충분한 시간입니다. 그러나 이 비밀번호를 정기적으로 변경하는 프로세스를 시행하고 표준화하면 공격자가 회사 네트워크에 침입하는 것이 훨씬 더 어려워집니다.

Microsoft의 Kerberos 프로토콜 구현에 따라 다음을 수행해야 한다는 점을 기억하십시오. 비밀번호를 두번 바꾸다 KRBTGT.

앞으로 이 AD 위젯은 네트워크의 모든 도메인에 대해 KRBTGT 비밀번호를 다시 변경해야 할 때를 알려줄 것입니다.

2. 최근 기본 제공 관리자 계정을 사용한 도메인 수

에 따르면 최소 권한의 원칙 — 시스템 관리자에게는 두 개의 계정이 제공됩니다. 첫 번째는 일상적인 사용을 위한 계정이고 두 번째는 계획된 관리 작업을 위한 계정입니다. 즉, 누구도 기본 관리자 계정을 사용해서는 안 됩니다.

기본 제공 관리자 계정은 시스템 관리 프로세스를 단순화하는 데 자주 사용됩니다. 이는 나쁜 습관이 되어 해킹으로 이어질 수 있습니다. 조직에서 이런 일이 발생하면 이 계정의 올바른 사용과 잠재적인 악의적인 액세스를 구별하기가 어려워집니다.

위젯에 XNUMX이 아닌 다른 값이 표시되면 누군가가 관리 계정을 올바르게 사용하지 않는 것입니다. 이 경우 기본 제공 관리자 계정에 대한 액세스를 수정하고 제한하는 조치를 취해야 합니다.
위젯 값이 XNUMX에 도달하고 시스템 관리자가 더 이상 작업에 이 계정을 사용하지 않으면 향후 이 계정에 대한 모든 변경 사항은 잠재적인 사이버 공격을 나타냅니다.

3. 보호된 사용자 그룹이 없는 도메인의 수

이전 버전의 AD는 약한 암호화 유형(RC4)을 지원했습니다. 수년 전에 해커들이 RC4를 해킹했고, 이제는 여전히 RC4를 사용하는 계정을 공격자가 해킹하는 것이 매우 사소한 일이 되었습니다. Windows Server 2012에 도입된 Active Directory 버전에는 보호된 사용자 그룹이라는 새로운 유형의 사용자 그룹이 도입되었습니다. 추가 보안 도구를 제공하고 RC4 암호화를 사용한 사용자 인증을 방지합니다.

이 위젯은 조직의 도메인에 이러한 그룹이 누락되어 있는지 보여 주어 수정할 수 있습니다. 보호된 사용자 그룹을 활성화하고 이를 사용하여 인프라를 보호합니다.

공격자의 쉬운 표적

사용자 계정은 초기 침입 시도부터 지속적인 권한 상승 및 활동 은폐에 이르기까지 공격자의 가장 큰 대상입니다. 공격자는 종종 감지하기 어려운 기본 PowerShell 명령을 사용하여 네트워크에서 간단한 대상을 찾습니다. AD에서 이러한 쉬운 대상을 가능한 한 많이 제거하십시오.

공격자는 만료되지 않는 비밀번호를 가진 사용자(또는 비밀번호가 필요하지 않은 사용자), 관리자인 기술 계정, 레거시 RC4 암호화를 사용하는 계정을 찾고 있습니다.

이러한 계정은 액세스하기가 쉽지 않거나 일반적으로 모니터링되지 않습니다. 공격자는 이러한 계정을 탈취하여 인프라 내에서 자유롭게 이동할 수 있습니다.

공격자가 보안 경계에 침투하면 최소한 하나의 계정에 액세스할 가능성이 높습니다. 공격이 감지되어 억제되기 전에 이들이 민감한 데이터에 액세스하는 것을 막을 수 있습니까?

Varonis AD 대시보드는 취약한 사용자 계정을 지적하므로 문제를 사전에 해결할 수 있습니다. 네트워크 침투가 어려울수록 공격자가 심각한 피해를 입히기 전에 공격자를 무력화할 가능성이 높아집니다.

사용자 계정에 대한 4가지 주요 위험 지표

다음은 가장 취약한 사용자 계정을 강조하는 Varonis AD 대시보드 위젯의 예입니다.

1. 만료되지 않는 비밀번호를 사용하는 활성 사용자 수

공격자가 그러한 계정에 액세스하는 것은 항상 큰 성공입니다. 암호는 만료되지 않으므로 공격자는 네트워크 내에 영구적인 거점을 갖게 되며 이를 사용하여 다음 작업을 수행할 수 있습니다. 권한 상승 또는 인프라 내의 움직임.
공격자는 크리덴셜 스터핑 공격에 사용하는 수백만 개의 사용자-비밀번호 조합 목록을 갖고 있으며, 그럴 가능성은 다음과 같습니다.
"영원한" 비밀번호를 가진 사용자의 조합이 이 목록 중 하나에 포함되어 있으며 XNUMX보다 훨씬 큽니다.

만료되지 않는 비밀번호를 가진 계정은 관리하기 쉽지만 안전하지는 않습니다. 이 위젯을 사용하면 해당 비밀번호가 있는 모든 계정을 찾을 수 있습니다. 이 설정을 변경하고 비밀번호를 업데이트하세요.

이 위젯의 ​​값이 XNUMX으로 설정되면 해당 비밀번호로 생성된 새 계정이 대시보드에 표시됩니다.

2. SPN이 있는 관리 계정 수

SPN(Service Principal Name)은 서비스 인스턴스의 고유 식별자입니다. 이 위젯은 전체 관리자 권한을 가진 서비스 계정 수를 보여줍니다. 위젯의 값은 XNUMX이어야 합니다. 관리 권한이 있는 SPN은 이러한 권한을 부여하는 것이 소프트웨어 공급업체 및 애플리케이션 관리자에게는 편리하지만 보안 위험을 초래하기 때문에 발생합니다.

서비스 계정에 관리 권한을 부여하면 공격자가 사용되지 않는 계정에 대한 전체 액세스 권한을 얻을 수 있습니다. 이는 SPN 계정에 액세스할 수 있는 공격자가 활동을 모니터링하지 않고도 인프라 내에서 자유롭게 활동할 수 있음을 의미합니다.

서비스 계정에 대한 권한을 변경하면 이 문제를 해결할 수 있습니다. 이러한 계정은 최소 권한 원칙을 따라야 하며 운영에 실제로 필요한 액세스 권한만 가져야 합니다.

이 위젯을 사용하면 관리 권한이 있는 모든 SPN을 감지하고 해당 권한을 제거한 다음 동일한 최소 권한 액세스 원칙을 사용하여 SPN을 모니터링할 수 있습니다.

새로 나타나는 SPN이 대시보드에 표시되며 이 프로세스를 모니터링할 수 있습니다.

3. Kerberos 사전 인증이 필요하지 않은 사용자 수

이상적으로 Kerberos는 AES-256 암호화를 사용하여 인증 티켓을 암호화하며 이는 오늘날까지도 해독될 수 없습니다.

그러나 이전 버전의 Kerberos는 RC4 암호화를 사용했으며 이제는 몇 분 안에 해독될 수 있습니다. 이 위젯은 아직 RC4를 사용하고 있는 사용자 계정을 보여줍니다. Microsoft는 이전 버전과의 호환성을 위해 여전히 RC4를 지원하지만 이것이 AD에서 RCXNUMX를 사용해야 한다는 의미는 아닙니다.

해당 계정을 확인한 후에는 AD에서 "Kerberos 사전 승인이 필요하지 않음" 확인란을 선택 취소하여 해당 계정이 더 복잡한 암호화를 사용하도록 해야 합니다.

Varonis AD 대시보드 없이 이러한 계정을 직접 검색하려면 많은 시간이 걸립니다. 실제로 RC4 암호화를 사용하도록 편집된 모든 계정을 아는 것은 훨씬 더 어려운 작업입니다.

위젯의 값이 변경되면 이는 불법 활동을 의미할 수 있습니다.

4. 비밀번호가 없는 사용자 수

공격자는 기본 PowerShell 명령을 사용하여 계정 속성의 AD에서 "PASSWD_NOTREQD" 플래그를 읽습니다. 이 플래그를 사용하면 비밀번호 요구 사항이나 복잡성 요구 사항이 없음을 나타냅니다.
간단하거나 빈 비밀번호로 계정을 도용하는 것이 얼마나 쉬운가요? 이제 이러한 계정 중 하나가 관리자라고 상상해 보세요.

모든 사람에게 공개된 수천 개의 기밀 파일 중 하나가 다가오는 재무 보고서라면 어떻게 될까요?

필수 비밀번호 요구 사항을 무시하는 것은 과거에 자주 사용되었던 또 다른 시스템 관리 지름길이지만 오늘날에는 허용되지도 안전하지도 않습니다.

해당 계정의 비밀번호를 업데이트하여 이 문제를 해결하세요.

앞으로 이 위젯을 모니터링하면 비밀번호가 없는 계정을 방지하는 데 도움이 됩니다.

Varonis는 확률을 균등화합니다.

과거에는 이 문서에 설명된 메트릭을 수집하고 분석하는 작업에 많은 시간이 걸렸고 PowerShell에 대한 깊은 지식이 필요했기 때문에 보안 팀은 매주 또는 매월 이러한 작업에 리소스를 할당해야 했습니다. 그러나 이 정보를 수동으로 수집하고 처리하면 공격자가 데이터에 침투하고 훔칠 수 있는 유리한 출발점을 확보할 수 있습니다.

С 바로 니스 AD 대시보드 및 추가 구성 요소를 배포하고 논의된 모든 취약점 등을 수집하는 데 하루가 소요됩니다. 앞으로는 운영 중에 인프라 상태가 변경됨에 따라 모니터링 패널이 자동으로 업데이트됩니다.

사이버 공격 수행은 항상 공격자와 방어자 사이의 경쟁이며, 공격자는 보안 전문가가 데이터에 대한 액세스를 차단하기 전에 데이터를 훔치려는 욕구를 갖고 있습니다. 강력한 사이버 방어와 함께 공격자와 이들의 불법 활동을 조기에 탐지하는 것이 데이터를 안전하게 유지하는 열쇠입니다.

출처 : habr.com