🥇Exchange vulnerability: ວິທີການກວດພົບການເພີ່ມສິດທິພິເສດໃຫ້ກັບຜູ້ເບິ່ງແຍງໂດເມນ

ຄົ້ນພົບໃນປີນີ້ ຄວາມອ່ອນແອໃນ Exchange ອະນຸຍາດໃຫ້ຜູ້ໃຊ້ໂດເມນທີ່ຈະໄດ້ຮັບສິດຂອງຜູ້ບໍລິຫານໂດເມນແລະປະນີປະນອມ Active Directory (AD) ແລະເຈົ້າພາບທີ່ເຊື່ອມຕໍ່ອື່ນໆ. ມື້ນີ້ພວກເຮົາຈະບອກທ່ານວ່າການໂຈມຕີນີ້ເຮັດວຽກແນວໃດແລະວິທີການກວດພົບມັນ.

ນີ້ແມ່ນວິທີການໂຈມຕີນີ້:

ຜູ້ໂຈມຕີຈະຄອບຄອງບັນຊີຂອງຜູ້ໃຊ້ໂດເມນໃດໆກໍຕາມດ້ວຍກ່ອງຈົດໝາຍທີ່ໃຊ້ວຽກເພື່ອສະໝັກໃຊ້ຄຸນສົມບັດການແຈ້ງເຕືອນຈາກ Exchange
ຜູ້ໂຈມຕີໃຊ້ NTLM relay ເພື່ອຫລອກລວງເຊີບເວີ Exchange: ດັ່ງນັ້ນ, ເຊີບເວີ Exchange ເຊື່ອມຕໍ່ກັບຄອມພິວເຕີຂອງຜູ້ໃຊ້ທີ່ຖືກເຄາະຮ້າຍໂດຍໃຊ້ວິທີ NTLM ຜ່ານ HTTP, ເຊິ່ງຫຼັງຈາກນັ້ນຜູ້ໂຈມຕີໃຊ້ເພື່ອພິສູດຢືນຢັນກັບຕົວຄວບຄຸມໂດເມນຜ່ານ LDAP ດ້ວຍຂໍ້ມູນບັນຊີ Exchange.
ຜູ້ໂຈມຕີຈົບລົງດ້ວຍການໃຊ້ຂໍ້ມູນບັນຊີ Exchange ເຫຼົ່ານີ້ເພື່ອຂະຫຍາຍສິດທິຂອງເຂົາເຈົ້າ. ຂັ້ນຕອນສຸດທ້າຍນີ້ຍັງສາມາດປະຕິບັດໄດ້ໂດຍຜູ້ບໍລິຫານທີ່ເປັນສັດຕູທີ່ມີການເຂົ້າເຖິງທີ່ຖືກຕ້ອງຕາມກົດຫມາຍເພື່ອເຮັດການປ່ຽນແປງການອະນຸຍາດທີ່ຈໍາເປັນ. ໂດຍການສ້າງກົດລະບຽບເພື່ອກວດພົບກິດຈະກໍານີ້, ທ່ານຈະໄດ້ຮັບການປົກປ້ອງຈາກການໂຈມຕີນີ້ແລະຄ້າຍຄືກັນ.

ຫຼັງຈາກນັ້ນ, ຜູ້ໂຈມຕີສາມາດ, ສໍາລັບການຍົກຕົວຢ່າງ, ດໍາເນີນການ DCSync ເພື່ອໃຫ້ໄດ້ຮັບລະຫັດຜ່ານ hashed ຂອງຜູ້ໃຊ້ທັງຫມົດໃນໂດເມນ. ນີ້ຈະຊ່ວຍໃຫ້ລາວປະຕິບັດການໂຈມຕີປະເພດຕ່າງໆ - ຈາກການໂຈມຕີຕົ໋ວທອງໄປຫາລະບົບສາຍສົ່ງ hash.

ທີມງານຄົ້ນຄ້ວາ Varonis ໄດ້ສຶກສາ vector ການໂຈມຕີນີ້ຢ່າງລະອຽດແລະກະກຽມຄູ່ມືສໍາລັບລູກຄ້າຂອງພວກເຮົາເພື່ອກວດຫາມັນແລະໃນເວລາດຽວກັນກວດເບິ່ງວ່າພວກເຂົາໄດ້ຖືກປະນີປະນອມແລ້ວ.

ການກວດສອບການຂະຫຍາຍສິດທິຂອງໂດເມນ

В DataAlert ສ້າງກົດລະບຽບທີ່ກໍາຫນົດເອງເພື່ອຕິດຕາມການປ່ຽນແປງການອະນຸຍາດສະເພາະກ່ຽວກັບວັດຖຸ. ມັນຈະຖືກກະຕຸ້ນເມື່ອເພີ່ມສິດ ແລະການອະນຸຍາດໃຫ້ກັບວັດຖຸທີ່ສົນໃຈໃນໂດເມນ:

ລະບຸຊື່ກົດລະບຽບ
ກໍານົດປະເພດເປັນ "ການຍົກລະດັບສິດທິພິເສດ"
ກໍານົດປະເພດຊັບພະຍາກອນເປັນ "ປະເພດຊັບພະຍາກອນທັງຫມົດ"
File Server = DirectoryServices
ລະບຸໂດເມນທີ່ທ່ານສົນໃຈ, ຕົວຢ່າງ, ໂດຍຊື່
ເພີ່ມຕົວກອງເພື່ອເພີ່ມສິດໃນວັດຖຸ AD
ແລະຢ່າລືມອອກຈາກຕົວເລືອກ "ຄົ້ນຫາໃນວັດຖຸເດັກນ້ອຍ" ບໍ່ໄດ້ເລືອກ.

ແລະໃນປັດຈຸບັນບົດລາຍງານ: ການຊອກຄົ້ນຫາການປ່ຽນແປງສິດທິຕໍ່ກັບວັດຖຸໂດເມນ

ການປ່ຽນແປງການອະນຸຍາດວັດຖຸ AD ແມ່ນຂ້ອນຂ້າງຫາຍາກ, ດັ່ງນັ້ນສິ່ງໃດແດ່ທີ່ເຮັດໃຫ້ເກີດການເຕືອນໄພນີ້ຄວນຈະຖືກສືບສວນ. ມັນຍັງຈະເປັນຄວາມຄິດທີ່ດີທີ່ຈະທົດສອບຮູບລັກສະນະແລະເນື້ອໃນຂອງບົດລາຍງານກ່ອນທີ່ຈະເປີດຕົວກົດລະບຽບຂອງຕົນເອງເຂົ້າໄປໃນການສູ້ຮົບ.

ບົດລາຍງານນີ້ຍັງຈະສະແດງວ່າທ່ານໄດ້ຮັບການບຸກລຸກຈາກການໂຈມຕີນີ້ແລ້ວ:

ເມື່ອກົດລະບຽບຖືກເປີດໃຊ້, ທ່ານສາມາດສືບສວນເຫດການທີ່ເພີ່ມຂຶ້ນຂອງສິດທິພິເສດອື່ນໆໂດຍໃຊ້ອິນເຕີເຟດເວັບ DatAlert:

ເມື່ອທ່ານຕັ້ງຄ່າກົດລະບຽບນີ້, ທ່ານສາມາດຕິດຕາມແລະປົກປ້ອງຄວາມສ່ຽງດ້ານຄວາມປອດໄພເຫຼົ່ານີ້ແລະປະເພດທີ່ຄ້າຍຄືກັນ, ສືບສວນເຫດການທີ່ມີວັດຖຸບໍລິການໄດເລກະທໍລີ AD, ແລະກໍານົດວ່າທ່ານມີຄວາມອ່ອນໄຫວຕໍ່ກັບຄວາມອ່ອນແອທີ່ສໍາຄັນນີ້.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com

Exchange Vulnerability: ວິທີການກວດພົບຄວາມສູງຂອງສິດທິພິເສດຕໍ່ກັບຜູ້ບໍລິຫານໂດເມນ

ການກວດສອບການຂະຫຍາຍສິດທິຂອງໂດເມນ

ແລະໃນປັດຈຸບັນບົດລາຍງານ: ການຊອກຄົ້ນຫາການປ່ຽນແປງສິດທິຕໍ່ກັບວັດຖຸໂດເມນ