Active Directory의 데이터 프라이버시 문제

나는 다음을 사용하여 침투 테스트를 해왔다. 파워뷰 Active Directory(이하 AD)에서 사용자 정보를 추출하는 데 사용했습니다. 당시 필자는 보안 그룹 구성원 정보를 수집한 다음 해당 정보를 사용하여 웹을 탐색하는 데 중점을 두었습니다. 어쨌든 AD에는 직원에 대한 민감한 데이터가 포함되어 있으며 그 중 일부는 조직의 모든 사람이 사용할 수 없어야 합니다. 실제로 Windows 파일 시스템에는 이에 상응하는 "모두" 문제, 내부 및 외부 공격자 모두가 사용할 수도 있습니다.

그러나 프라이버시 문제와 해결 방법에 대해 이야기하기 전에 AD에 저장된 데이터를 살펴보겠습니다.

Active Directory는 기업 Facebook입니다.

그러나이 경우 이미 모든 사람과 친구가되었습니다! 동료가 좋아하는 영화, 책, 맛집은 알 수 없지만 AD에는 민감한 연락처가 포함되어 있습니다.
해커나 특별한 기술이 없는 내부자도 사용할 수 있는 데이터 및 기타 분야.

물론 시스템 관리자는 아래 스크린샷에 익숙합니다. ADUC(Active Directory 사용자 및 컴퓨터) 인터페이스에서 사용자 정보를 설정 및 편집하고 사용자를 적절한 그룹에 할당합니다.

AD는 직원의 이름, 주소, 전화번호에 대한 필드를 포함하므로 마치 전화번호부와 같습니다. 하지만 더 많은 것이 있습니다! 다른 탭에는 이메일 및 웹 주소, 직속 감독자 및 메모도 있습니다.

조직의 모든 사람이 이 정보를 볼 필요가 있습니까? OSINT모든 새로운 세부 사항이 더 많은 정보를 더 쉽게 찾을 때?

당연히 아니지! 회사의 최고 경영진 데이터를 모든 직원이 사용할 수 있게 되면 문제는 더욱 악화됩니다.

모두를 위한 PowerView

PowerView가 작동하는 곳입니다. AD에 액세스하는 기본(및 난독화된) Win32 함수에 매우 편리한 PowerShell 인터페이스를 제공합니다. 요컨대:
이렇게 하면 매우 짧은 cmdlet을 입력하는 것만큼 쉽게 AD 필드를 가져올 수 있습니다.

회사 임원 중 한 명인 Cruella Deville의 직원에 대한 정보를 수집하는 예를 들어 보겠습니다. 이렇게 하려면 PowerView get-NetUser cmdlet을 사용합니다.

PowerView 설치는 큰 문제가 아닙니다. 페이지에서 직접 확인하십시오. github. 더 중요한 것은 get-NetUser와 같은 많은 PowerView 명령을 실행하기 위해 상승된 권한이 필요하지 않다는 것입니다. 이렇게 하면 의욕이 있지만 기술에 정통하지 않은 직원이 AD를 손쉽게 탐색할 수 있습니다.

내부자가 Cruella에 대해 많은 것을 빠르게 배울 수 있음을 위의 스크린샷에서 볼 수 있습니다. 또한 "정보" 필드에 사용자의 개인 습관과 암호에 대한 정보가 표시된다는 사실을 알고 계셨습니까?

이것은 이론적 가능성이 아닙니다. 에서 다른 침투 테스터와의 대화 나는 그들이 일반 텍스트 암호에 대해 AD를 스캔하고 종종 이러한 시도가 불행히도 성공한다는 것을 알았습니다. 그들은 회사가 AD의 정보에 조잡하고 일반적으로 다음 주제인 AD 권한을 인식하지 못한다는 것을 알고 있습니다.

Active Directory에는 자체 ACL이 있습니다.

AD 사용자 및 컴퓨터 인터페이스를 사용하면 AD 개체에 대한 권한을 설정할 수 있습니다. ACL은 AD에 존재하며 관리자는 ACL을 통해 액세스를 할당하거나 거부할 수 있습니다. ADUC 보기 메뉴에서 "고급"을 클릭한 다음 사용자를 열면 ACL을 설정하는 "보안" 탭이 표시됩니다.

내 Cruella 시나리오에서는 모든 인증된 사용자가 그녀의 개인 정보를 보는 것을 원하지 않았기 때문에 읽기 액세스를 거부했습니다.

이제 일반 사용자가 PowerView에서 Get-NetUser를 시도하면 다음과 같이 표시됩니다.

나는 엿보는 눈에서 분명히 유용한 정보를 숨겼습니다. 관련 사용자가 계속 액세스할 수 있도록 VIP 그룹 구성원(Cruella 및 그녀의 다른 고위 동료)이 이 민감한 데이터에 액세스할 수 있도록 다른 ACL을 만들었습니다. 즉, 내부자를 포함한 대부분의 직원이 중요한 데이터에 액세스할 수 없도록 역할 기반 AD 권한을 구현했습니다.

그러나 AD의 그룹 개체에 적절한 ACL을 설정하여 그룹 구성원이 사용자에게 표시되지 않도록 할 수 있습니다. 이것은 개인 정보 보호 및 보안 측면에서 도움이 될 것입니다.

그의 장대한 침투 테스트 시리즈 PowerViews Get-NetGroupMember를 사용하여 그룹 구성원을 검사하여 시스템을 탐색하는 방법을 보여 드렸습니다. 내 시나리오에서는 특정 그룹의 구성원에 대한 읽기 액세스를 제한했습니다. 변경 전후에 명령을 실행한 결과를 볼 수 있습니다.

해커와 내부자가 인프라를 스카우트하기 어렵게 만든 VIP 그룹의 크루엘라와 몬티 번스의 멤버십을 숨길 수 있었습니다.

이 게시물은 필드를 자세히 살펴보도록 동기를 부여하기 위한 것입니다.
광고 및 관련 권한. AD는 훌륭한 리소스이지만
특히 기밀 정보 및 개인 데이터를 공유하고 싶었습니다.
조직의 첫 번째 사람에 관해서.  

출처 : habr.com