Exchange 취약점: 도메인 관리자에 대한 권한 상승을 감지하는 방법

올해 발견한 Exchange의 취약점 모든 도메인 사용자가 도메인 관리자 권한을 얻고 AD(Active Directory) 및 기타 연결된 호스트를 손상시킬 수 있습니다. 오늘은 이 공격의 작동 원리와 탐지 방법을 알려드리겠습니다.

이 공격의 작동 방식은 다음과 같습니다.

1. 공격자는 Exchange의 푸시 알림 기능을 구독하기 위해 활성 사서함이 있는 도메인 사용자의 계정을 탈취합니다.
2. 공격자는 NTLM 릴레이를 사용하여 Exchange 서버를 속입니다. 결과적으로 Exchange 서버는 HTTP를 통한 NTLM 방법을 사용하여 손상된 사용자의 컴퓨터에 연결합니다. 그런 다음 공격자는 이를 사용하여 Exchange 계정 자격 증명을 사용하여 LDAP를 통해 도메인 컨트롤러에 인증합니다.
3. 공격자는 결국 이러한 Exchange 계정 자격 증명을 사용하여 권한을 상승시킵니다. 이 마지막 단계는 필요한 권한을 변경하기 위해 이미 합법적인 액세스 권한을 갖고 있는 적대적인 관리자가 수행할 수도 있습니다. 이 활동을 탐지하는 규칙을 생성하면 이와 유사한 공격으로부터 보호받을 수 있습니다.

예를 들어 공격자는 DCSync를 실행하여 도메인에 있는 모든 사용자의 해시된 암호를 얻을 수 있습니다. 이를 통해 그는 골든 티켓 공격부터 해시 전송까지 다양한 유형의 공격을 구현할 수 있습니다.

Varonis 연구팀은 이 공격 벡터를 자세히 연구하여 고객이 이를 탐지하는 동시에 이미 손상되었는지 확인할 수 있는 가이드를 준비했습니다.

도메인 권한 상승 감지

В DataAlert 개체에 대한 특정 권한의 변경 사항을 추적하는 사용자 정의 규칙을 만듭니다. 도메인의 관심 개체에 권한을 추가하면 트리거됩니다.

1. 규칙 이름 지정
2. 범주를 "권한 상승"으로 설정합니다.
3. 리소스 유형을 "모든 리소스 유형"으로 설정합니다.
4. 파일 서버 = DirectoryServices
5. 관심 있는 도메인을 이름 등으로 지정하세요.
6. 필터를 추가하여 AD 개체에 대한 권한을 추가하세요.
7. 그리고 "하위 개체에서 검색" 옵션을 선택하지 않은 상태로 두는 것을 잊지 마세요.

이제 보고서: 도메인 개체에 대한 권리 변경 감지

AD 개체에 대한 권한 변경은 매우 드물기 때문에 이 경고를 트리거한 모든 항목을 조사해야 합니다. 규칙 자체를 전투에 투입하기 전에 보고서의 모양과 내용을 테스트하는 것도 좋은 생각입니다.

이 보고서에는 귀하가 이미 이 공격에 의해 손상되었는지 여부도 표시됩니다.

규칙이 활성화되면 DatAlert 웹 인터페이스를 사용하여 다른 모든 권한 상승 이벤트를 조사할 수 있습니다.

이 규칙을 구성하면 이러한 유형 및 유사한 유형의 보안 취약성을 모니터링 및 보호하고, AD 디렉터리 서비스 개체를 사용하여 이벤트를 조사하고, 이 중요한 취약성에 취약한지 여부를 확인할 수 있습니다.

출처 : habr.com