ການນໍາໃຊ້ PowerShell ເພື່ອຍົກລະດັບສິດທິພິເສດຂອງບັນຊີທ້ອງຖິ່ນ

ການເພີ່ມສິດທິພິເສດແມ່ນການໃຊ້ສິດໃນບັນຊີປະຈຸບັນຂອງຜູ້ໂຈມຕີເພື່ອໃຫ້ມີການເຂົ້າເຖິງລະບົບເພີ່ມເຕີມ, ໂດຍປົກກະຕິແລ້ວສູງກວ່າ. ໃນຂະນະທີ່ການຂະຫຍາຍສິດທິພິເສດສາມາດເປັນຜົນມາຈາກການຂູດຮີດທີ່ບໍ່ມີວັນ, ແຮກເກີຕົ້ນສະບັບເປີດການໂຈມຕີເປົ້າຫມາຍ, ຫຼື malware ປອມຕົວຢ່າງສະຫລາດ, ມັນມັກຈະເກີດຂຶ້ນຍ້ອນການປັບຄ່າຄອມພິວເຕີຫຼືບັນຊີທີ່ບໍ່ຖືກຕ້ອງ. ການພັດທະນາການໂຈມຕີຕື່ມອີກ, ຜູ້ໂຈມຕີໃຊ້ຄວາມອ່ອນແອຂອງແຕ່ລະບຸກຄົນ, ເຊິ່ງຮ່ວມກັນສາມາດນໍາໄປສູ່ການຮົ່ວໄຫລຂອງຂໍ້ມູນໄພພິບັດ.

ເປັນຫຍັງຜູ້ໃຊ້ບໍ່ຄວນມີສິດຜູ້ເບິ່ງແຍງທ້ອງຖິ່ນ?

ຖ້າທ່ານເປັນຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພ, ມັນເບິ່ງຄືວ່າຈະແຈ້ງວ່າຜູ້ໃຊ້ບໍ່ຄວນມີສິດຂອງຜູ້ເບິ່ງແຍງທ້ອງຖິ່ນ, ນັບຕັ້ງແຕ່ນີ້:

• ເຮັດໃຫ້ບັນຊີຂອງເຂົາເຈົ້າມີຄວາມສ່ຽງຕໍ່ກັບການໂຈມຕີຕ່າງໆ
• ເຮັດໃຫ້ການໂຈມຕີດຽວກັນເຫຼົ່ານີ້ຮ້າຍແຮງຂຶ້ນ

ແຕ່ຫນ້າເສຍດາຍ, ສໍາລັບຫຼາຍໆອົງການຈັດຕັ້ງ, ນີ້ຍັງເປັນບັນຫາທີ່ມີການໂຕ້ຖຽງກັນຫຼາຍແລະບາງຄັ້ງກໍ່ມາພ້ອມກັບການສົນທະນາທີ່ອົບອຸ່ນ (ເບິ່ງ, ຕົວຢ່າງ, ຜູ້ຈັດການຂອງຂ້ອຍເວົ້າວ່າຜູ້ໃຊ້ທັງຫມົດຕ້ອງເປັນຜູ້ບໍລິຫານທ້ອງຖິ່ນ). ໂດຍບໍ່ມີການເຂົ້າໄປໃນລາຍລະອຽດຂອງການສົນທະນານີ້, ພວກເຮົາເຊື່ອວ່າຜູ້ໂຈມຕີໄດ້ຮັບສິດທິຂອງຜູ້ເບິ່ງແຍງທ້ອງຖິ່ນໃນລະບົບພາຍໃຕ້ການສືບສວນ, ບໍ່ວ່າຈະເປັນການຂູດຮີດຫຼືຍ້ອນວ່າເຄື່ອງຈັກບໍ່ໄດ້ຮັບຄວາມປອດໄພຢ່າງຖືກຕ້ອງ.

ຂັ້ນຕອນທີ 1: Reverse DNS Name Resolution ໂດຍໃຊ້ PowerShell

ໂດຍຄ່າເລີ່ມຕົ້ນ, PowerShell ຖືກຕິດຕັ້ງຢູ່ໃນຫຼາຍໆບ່ອນເຮັດວຽກໃນທ້ອງຖິ່ນ ແລະໃນເຊີບເວີ Windows ສ່ວນໃຫຍ່. ແລະໃນຂະນະທີ່ມັນບໍ່ແມ່ນບໍ່ມີການເກີນທີ່ມັນຖືກພິຈາລະນາເປັນເຄື່ອງມືອັດຕະໂນມັດແລະການຄວບຄຸມທີ່ເປັນປະໂຫຍດຢ່າງບໍ່ຫນ້າເຊື່ອ, ມັນກໍ່ມີຄວາມສາມາດເທົ່າທຽມກັນໃນການປ່ຽນເປັນເກືອບເບິ່ງບໍ່ເຫັນ. malwareless file (ໂຄງການ hacking ທີ່ບໍ່ປ່ອຍໃຫ້ຮ່ອງຮອຍຂອງການໂຈມຕີ).

ໃນກໍລະນີຂອງພວກເຮົາ, ຜູ້ໂຈມຕີເລີ່ມປະຕິບັດການສອດແນມເຄືອຂ່າຍໂດຍໃຊ້ສະຄິບ PowerShell, ດໍາເນີນການຕາມລໍາດັບຜ່ານພື້ນທີ່ທີ່ຢູ່ IP ຂອງເຄືອຂ່າຍ, ພະຍາຍາມກໍານົດວ່າ IP ທີ່ກໍານົດໃຫ້ແກ້ໄຂກັບໂຮດ, ແລະຖ້າເປັນດັ່ງນັ້ນ, ຊື່ເຄືອຂ່າຍຂອງໂຮດນັ້ນແມ່ນຫຍັງ.
ມີຫຼາຍວິທີທີ່ຈະເຮັດສໍາເລັດວຽກງານນີ້, ແຕ່ໃຊ້ cmdlet ໄດ້ຮັບ -ADComputer ເປັນທາງເລືອກທີ່ເຊື່ອຖືໄດ້ເພາະວ່າມັນສົ່ງຄືນຊຸດຂໍ້ມູນທີ່ອຸດົມສົມບູນຢ່າງແທ້ຈິງກ່ຽວກັບແຕ່ລະ node:

 import-module activedirectory Get-ADComputer -property * -filter { ipv4address -eq ‘10.10.10.10’}

ຖ້າຄວາມໄວໃນເຄືອຂ່າຍຂະຫນາດໃຫຍ່ເປັນບັນຫາ, ການເອີ້ນລະບົບ DNS ແບບກັບຄືນສາມາດໃຊ້:

[System.Net.Dns]::GetHostEntry(‘10.10.10.10’).HostName

ວິທີການຈໍາແນກ hosts ໃນເຄືອຂ່າຍນີ້ແມ່ນເປັນທີ່ນິຍົມຫຼາຍເພາະວ່າເຄືອຂ່າຍສ່ວນໃຫຍ່ບໍ່ໄດ້ໃຊ້ແບບຈໍາລອງຄວາມປອດໄພຂອງສູນຄວາມໄວ້ວາງໃຈແລະບໍ່ໄດ້ຕິດຕາມການສອບຖາມ DNS ພາຍໃນສໍາລັບການລະເບີດທີ່ຫນ້າສົງໄສຂອງກິດຈະກໍາ.

ຂັ້ນຕອນທີ 2: ເລືອກເປົ້າໝາຍ

ຜົນໄດ້ຮັບສຸດທ້າຍຂອງຂັ້ນຕອນນີ້ແມ່ນເພື່ອໃຫ້ໄດ້ບັນຊີລາຍຊື່ຂອງເຄື່ອງແມ່ຂ່າຍແລະຊື່ໂຮດຂອງບ່ອນເຮັດວຽກທີ່ສາມາດນໍາໃຊ້ເພື່ອສືບຕໍ່ການໂຈມຕີ.

ອີງຕາມຊື່ຂອງມັນ, ເຄື່ອງແມ່ຂ່າຍ 'HUB-FILER' ເບິ່ງຄືວ່າເປັນເປົ້າຫມາຍທີ່ສົມຄວນເພາະວ່າ ... ເມື່ອເວລາຜ່ານໄປ, ເຄື່ອງແມ່ຂ່າຍຂອງໄຟລ໌ມີແນວໂນ້ມທີ່ຈະສະສົມໂຟນເດີເຄືອຂ່າຍຈໍານວນຫລາຍແລະການເຂົ້າເຖິງພວກມັນຫຼາຍເກີນໄປໂດຍຄົນຫຼາຍເກີນໄປ.

ການທ່ອງເວັບດ້ວຍ Windows Explorer ອະນຸຍາດໃຫ້ພວກເຮົາກໍານົດວ່າມີໂຟນເດີແບ່ງປັນທີ່ເປີດ, ແຕ່ບັນຊີປະຈຸບັນຂອງພວກເຮົາບໍ່ສາມາດເຂົ້າເຖິງມັນໄດ້ (ພວກເຮົາອາດຈະເປັນພຽງແຕ່ສິດທິໃນບັນຊີລາຍຊື່).

ຂັ້ນຕອນທີ 3: ການຮຽນຮູ້ ACL

ຕອນນີ້ຢູ່ໃນໂຮສ ແລະສ່ວນແບ່ງເປົ້າໝາຍຂອງ HUB-FILER ຂອງພວກເຮົາ, ພວກເຮົາສາມາດແລ່ນສະຄຣິບ PowerShell ເພື່ອຮັບເອົາ ACL. ພວກ​ເຮົາ​ສາ​ມາດ​ເຮັດ​ໄດ້​ຈາກ​ເຄື່ອງ​ໃນ​ທ້ອງ​ຖິ່ນ​, ເນື່ອງ​ຈາກ​ວ່າ​ພວກ​ເຮົາ​ມີ​ສິດ​ທິ​ບໍ​ລິ​ຫານ​ທ້ອງ​ຖິ່ນ​ແລ້ວ​:

(get-acl hub-filershare).access | ft IdentityReference,FileSystemRights,AccessControlType,IsInherited,InheritanceFlags –auto

ຜົນ​ການ​ປະ​ຕິ​ບັດ​:

ຈາກມັນພວກເຮົາເຫັນວ່າກຸ່ມ Domain Users ມີການເຂົ້າເຖິງພຽງແຕ່ລາຍຊື່, ແຕ່ກຸ່ມ Helpdesk ຍັງມີສິດແກ້ໄຂ.

ຂັ້ນຕອນທີ 4: ການລະບຸບັນຊີ

ແລ່ນ Get-ADGroupMember, ພວກເຮົາສາມາດໄດ້ຮັບສະມາຊິກທັງຫມົດຂອງກຸ່ມນີ້:

Get-ADGroupMember -identity Helpdesk

ໃນ​ບັນ​ຊີ​ລາຍ​ການ​ນີ້​ພວກ​ເຮົາ​ເຫັນ​ບັນ​ຊີ​ຄອມ​ພິວ​ເຕີ​ທີ່​ພວກ​ເຮົາ​ໄດ້​ກໍາ​ນົດ​ແລະ​ໄດ້​ເຂົ້າ​ໄປ​ແລ້ວ​:

ຂັ້ນຕອນທີ 5: ໃຊ້ PSExec ເພື່ອເຮັດວຽກພາຍໃຕ້ບັນຊີຄອມພິວເຕີ

PsExec ຈາກ Microsoft Sysinternals ຊ່ວຍໃຫ້ທ່ານສາມາດປະຕິບັດຄໍາສັ່ງໃນສະພາບການຂອງບັນຊີລະບົບ SYSTEM@HUB-SHAREPOINT, ເຊິ່ງພວກເຮົາຮູ້ວ່າເປັນສະມາຊິກຂອງກຸ່ມເປົ້າຫມາຍ Helpdesk. ນັ້ນແມ່ນ, ພວກເຮົາພຽງແຕ່ຕ້ອງການເຮັດ:

PsExec.exe -s -i cmd.exe

ແລ້ວ, ທ່ານມີການເຂົ້າເຖິງເຕັມໄປໂຟນເດີເປົ້າຫມາຍ HUB-FILERshareHR, ເນື່ອງຈາກວ່າທ່ານກໍາລັງເຮັດວຽກຢູ່ໃນສະພາບການຂອງບັນຊີຄອມພິວເຕີ HUB-SHAREPOINT. ແລະດ້ວຍການເຂົ້າເຖິງນີ້, ຂໍ້ມູນສາມາດຖືກຄັດລອກໃສ່ອຸປະກອນການເກັບຮັກສາແບບພົກພາຫຼືດຶງຂໍ້ມູນແລະໂອນຜ່ານເຄືອຂ່າຍ.

ຂັ້ນຕອນທີ 6: ກວດພົບການໂຈມຕີນີ້

ຊ່ອງໂຫວ່ການຕັ້ງຄ່າການອະນຸຍາດບັນຊີສະເພາະນີ້ (ບັນຊີຄອມພິວເຕີທີ່ເຂົ້າເຖິງການແບ່ງປັນເຄືອຂ່າຍແທນທີ່ຈະເປັນບັນຊີຜູ້ໃຊ້ ຫຼືບັນຊີບໍລິການ) ສາມາດຄົ້ນພົບໄດ້. ຢ່າງໃດກໍຕາມ, ໂດຍບໍ່ມີເຄື່ອງມືທີ່ເຫມາະສົມ, ນີ້ແມ່ນມີຄວາມຫຍຸ້ງຍາກຫຼາຍທີ່ຈະເຮັດ.

ເພື່ອກວດຫາແລະປ້ອງກັນການໂຈມຕີປະເພດນີ້, ພວກເຮົາສາມາດໃຊ້ ຂໍ້ໄດ້ປຽບຂອງຂໍ້ມູນ ເພື່ອກໍານົດກຸ່ມທີ່ມີບັນຊີຄອມພິວເຕີຢູ່ໃນພວກເຂົາ, ແລະຫຼັງຈາກນັ້ນປະຕິເສດການເຂົ້າເຖິງພວກເຂົາ. DataAlert ໄປຕື່ມອີກແລະອະນຸຍາດໃຫ້ທ່ານສ້າງການແຈ້ງເຕືອນໂດຍສະເພາະສໍາລັບສະຖານະການປະເພດນີ້.

ຮູບໜ້າຈໍຂ້າງລຸ່ມນີ້ສະແດງໃຫ້ເຫັນການແຈ້ງເຕືອນແບບກຳນົດເອງທີ່ຈະຖືກກະຕຸ້ນທຸກຄັ້ງທີ່ບັນຊີຄອມພິວເຕີເຂົ້າເຖິງຂໍ້ມູນໃນເຊີບເວີທີ່ຖືກຕິດຕາມ.

ຂັ້ນຕອນຕໍ່ໄປໂດຍໃຊ້ PowerShell

ຕ້ອງການຮູ້ເພີ່ມເຕີມ? ໃຊ້ລະຫັດປົດລັອກ "blog" ສໍາລັບການເຂົ້າເຖິງຢ່າງເຕັມທີ່ ຫຼັກສູດວິດີໂອ PowerShell ແລະ Active Directory Basics.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com