ProHoster > Blogs > Administrācija > 7 galvenie Active Directory riska rādītāji Varonis informācijas panelī

7 galvenie Active Directory riska rādītāji Varonis informācijas panelī

7 galvenie Active Directory riska rādītāji Varonis informācijas panelī

Uzbrucējam ir nepiecieÅ”ams tikai laiks un motivācija, lai ielauztos jÅ«su tÄ«klā. Bet mÅ«su uzdevums ir neļaut viņam to darÄ«t vai vismaz padarÄ«t Å”o uzdevumu pēc iespējas grÅ«tāku. Vispirms ir jāidentificē Active Directory (turpmāk tekstā ā€” AD) trÅ«kumi, kurus uzbrucējs var izmantot, lai piekļūtu tÄ«klam un pārvietotos pa to, netiekot atklāts. Å odien Å”ajā rakstā mēs apskatÄ«sim riska rādÄ«tājus, kas atspoguļo esoŔās jÅ«su organizācijas kiberaizsardzÄ«bas ievainojamÄ«bas, kā piemēru izmantojot AD Varonis informācijas paneli.

Uzbrucēji domēnā izmanto noteiktas konfigurācijas

Uzbrucēji izmanto dažādas gudras metodes un ievainojamÄ«bas, lai iekļūtu korporatÄ«vajos tÄ«klos un palielinātu privilēģijas. Dažas no Ŕīm ievainojamÄ«bām ir domēna konfigurācijas iestatÄ«jumi, kurus pēc identificÄ“Å”anas var viegli mainÄ«t.

AD informācijas panelis nekavējoties brÄ«dinās, ja jÅ«s (vai jÅ«su sistēmas administratori) neesat mainÄ«jis KRBTGT paroli pēdējā mēneÅ”a laikā vai ja kāds ir autentificējies ar noklusējuma iebÅ«vēto administratora kontu. Å ie divi konti nodroÅ”ina neierobežotu piekļuvi jÅ«su tÄ«klam: uzbrucēji mēģinās tiem piekļūt, lai viegli apietu visus privilēģiju un piekļuves atļauju ierobežojumus. Rezultātā viņi iegÅ«st piekļuvi jebkuriem datiem, kas viņus interesē.

Protams, jÅ«s varat atklāt Ŕīs ievainojamÄ«bas pats: piemēram, iestatiet kalendāra atgādinājumu, lai pārbaudÄ«tu, vai palaidiet PowerShell skriptu Ŕīs informācijas apkopoÅ”anai.

Varonis informācijas panelis tiek atjaunināts automātiski lai nodroÅ”inātu ātru galveno rādÄ«tāju redzamÄ«bu un analÄ«zi, kas izceļ iespējamās ievainojamÄ«bas, lai jÅ«s varētu nekavējoties rÄ«koties, lai tās novērstu.

3 Galvenie domēna līmeņa riska rādītāji

Zemāk redzami vairāki Varonis informācijas panelī pieejami logrīki, kuru izmantoŔana būtiski uzlabos korporatīvā tīkla un IT infrastruktūras aizsardzību kopumā.

1. Domēnu skaits, kuriem Kerberos konta parole nav mainīta ilgu laiku

KRBTGT konts ir Ä«paÅ”s konts AD, kas paraksta visu Kerberos biļetes . Uzbrucēji, kuri iegÅ«st piekļuvi domēna kontrollerim (DC), var izmantot Å”o kontu, lai izveidotu Zelta biļete, kas dos viņiem neierobežotu piekļuvi gandrÄ«z jebkurai sistēmai korporatÄ«vajā tÄ«klā. Mēs saskārāmies ar situāciju, ka pēc veiksmÄ«gas Zelta biļetes iegÅ«Å”anas uzbrucējam divus gadus bija piekļuve organizācijas tÄ«klam. Ja KRBTGT konta parole jÅ«su uzņēmumā nav mainÄ«ta pēdējo četrdesmit dienu laikā, logrÄ«ks jÅ«s par to informēs.

Četrdesmit dienas ir vairāk nekā pietiekams laiks, lai uzbrucējs varētu piekļūt tÄ«klam. Tomēr, ja regulāri piespiedÄ«sit un standartizēsit Ŕīs paroles maiņas procesu, uzbrucējam bÅ«s daudz grÅ«tāk iekļūt jÅ«su uzņēmuma tÄ«klā.

7 galvenie Active Directory riska rādītāji Varonis informācijas panelī
Atcerieties, ka saskaņā ar Microsoft ieviesto Kerberos protokolu jums tas ir jādara nomainiet paroli divas reizes KRBTGT.

Nākotnē Å”is AD logrÄ«ks atgādinās, kad bÅ«s pienācis laiks vēlreiz mainÄ«t KRBTGT paroli visiem jÅ«su tÄ«kla domēniem.

2. Domēnu skaits, kuros nesen tika izmantots iebūvētais administratora konts

Saskaņā ar mazāko privilēģiju princips ā€” sistēmas administratoriem tiek nodroÅ”ināti divi konti: pirmais konts ir ikdienas lietoÅ”anai, bet otrs paredzēts plānotajam administratÄ«vajam darbam. Tas nozÄ«mē, ka neviens nedrÄ«kst izmantot noklusējuma administratora kontu.

IebÅ«vētais administratora konts bieži tiek izmantots, lai vienkārÅ”otu sistēmas administrÄ“Å”anas procesu. Tas var kļūt par sliktu ieradumu, kā rezultātā notiek uzlauÅ”ana. Ja tas notiek jÅ«su organizācijā, jums bÅ«s grÅ«ti atŔķirt pareizu Ŕī konta izmantoÅ”anu un potenciāli ļaunprātÄ«gu piekļuvi.

7 galvenie Active Directory riska rādītāji Varonis informācijas panelī
Ja logrīks parāda neko citu, nevis nulli, kāds nedarbojas pareizi ar administratīvajiem kontiem. Šādā gadījumā jums ir jāveic darbības, lai labotu un ierobežotu piekļuvi iebūvētajam administratora kontam.
Kad logrÄ«ka vērtÄ«ba bÅ«s nulle un sistēmas administratori vairs neizmantos Å”o kontu savam darbam, turpmāk jebkuras izmaiņas tajā norāda uz iespējamu kiberuzbrukumu.

3. Domēnu skaits, kuriem nav aizsargāto lietotāju grupas

Vecākās AD versijas atbalstÄ«ja vāju Å”ifrÄ“Å”anas veidu - RC4. Hakeri uzlauza RC4 pirms daudziem gadiem, un tagad uzbrucējam ir ļoti mazsvarÄ«gs uzdevums uzlauzt kontu, kurā joprojām tiek izmantots RC4. Sistēmā Windows Server 2012 ieviestā Active Directory versija ieviesa jauna veida lietotāju grupu, ko sauc par aizsargāto lietotāju grupu. Tas nodroÅ”ina papildu droŔības rÄ«kus un novērÅ” lietotāja autentifikāciju, izmantojot RC4 Å”ifrÄ“Å”anu.

Å is logrÄ«ks parādÄ«s, vai kādam organizācijas domēnam trÅ«kst Ŕādas grupas, lai jÅ«s varētu to labot, t.i. iespējot aizsargātu lietotāju grupu un izmantot to infrastruktÅ«ras aizsardzÄ«bai.

7 galvenie Active Directory riska rādītāji Varonis informācijas panelī

Viegli mērķi uzbrucējiem

Lietotāju konti ir uzbrucēju galvenais mērÄ·is, sākot no sākotnējiem ielauÅ”anās mēģinājumiem un beidzot ar nepārtrauktu privilēģiju eskalāciju un viņu darbÄ«bu slēpÅ”anu. Uzbrucēji meklē vienkārÅ”us mērÄ·us jÅ«su tÄ«klā, izmantojot pamata PowerShell komandas, kuras bieži ir grÅ«ti noteikt. Noņemiet pēc iespējas vairāk no Å”iem vienkārÅ”ajiem mērÄ·iem no AD.

Uzbrucēji meklē lietotājus ar parolēm, kuru derÄ«guma termiņŔ nebeidzas (vai kurām paroles nav nepiecieÅ”amas), tehnoloÄ£iju kontus, kas ir administratori, un kontus, kas izmanto mantoto RC4 Å”ifrÄ“Å”anu.

JebkurÅ” no Å”iem kontiem ir vai nu niecÄ«gs, lai piekļūtu, vai arÄ« parasti netiek uzraudzÄ«ts. Uzbrucēji var pārņemt Å”os kontus un brÄ«vi pārvietoties jÅ«su infrastruktÅ«rā.

Kad uzbrucēji iekļūst droŔības perimetrā, viņi, visticamāk, iegÅ«s piekļuvi vismaz vienam kontam. Vai varat neļaut viņiem piekļūt sensitÄ«viem datiem, pirms uzbrukums tiek atklāts un ierobežots?

Varonis AD informācijas panelis norādīs uz neaizsargātiem lietotāju kontiem, lai jūs varētu aktīvi novērst problēmas. Jo grūtāk ir iekļūt tīklā, jo lielākas ir jūsu iespējas neitralizēt uzbrucēju, pirms tas nodara nopietnus bojājumus.

4 Galvenie riska rādītāji lietotāju kontiem

Tālāk ir sniegti Varonis AD informācijas paneļa logrīku piemēri, kas izceļ visneaizsargātākos lietotāju kontus.

1. To aktÄ«vo lietotāju skaits, kuru paroles nekad nebeidzas

Piekļuve Ŕādam kontam vienmēr ir liels panākums jebkuram uzbrucējam. Tā kā paroles derÄ«guma termiņŔ nekad nebeidzas, uzbrucējam ir pastāvÄ«ga vieta tÄ«klā, ko pēc tam var izmantot privilēģiju eskalācija vai kustÄ«bu infrastruktÅ«rā.
Uzbrucējiem ir saraksti ar miljoniem lietotāju un paroļu kombināciju, ko viņi izmanto akreditācijas datu papildināŔanas uzbrukumos, un pastāv iespēja, ka
ka lietotāja kombinācija ar ā€œmūžīgoā€ paroli atrodas vienā no Å”iem sarakstiem, daudz lielāka par nulli.

Kontus ar parolēm, kurām nebeidzas derÄ«guma termiņŔ, ir viegli pārvaldÄ«t, taču tie nav droÅ”i. Izmantojiet Å”o logrÄ«ku, lai atrastu visus kontus, kuriem ir Ŕādas paroles. Mainiet Å”o iestatÄ«jumu un atjauniniet savu paroli.

7 galvenie Active Directory riska rādītāji Varonis informācijas panelī
Kad Ŕī logrÄ«ka vērtÄ«ba ir iestatÄ«ta uz nulli, visi jaunie konti, kas izveidoti ar Å”o paroli, tiks parādÄ«ti informācijas panelÄ«.

2. Administratīvo kontu skaits ar SPN

SPN (pakalpojuma galvenais nosaukums) ir unikāls pakalpojuma gadÄ«juma identifikators. Å is logrÄ«ks parāda, cik pakalpojumu kontiem ir pilnas administratora tiesÄ«bas. LogrÄ«ka vērtÄ«bai ir jābÅ«t nullei. SPN ar administratora tiesÄ«bām rodas tāpēc, ka Ŕādu tiesÄ«bu pieŔķirÅ”ana ir ērta programmatÅ«ras pārdevējiem un lietojumprogrammu administratoriem, taču rada droŔības risku.

Pakalpojuma konta administratÄ«vo tiesÄ«bu pieŔķirÅ”ana ļauj uzbrucējam iegÅ«t pilnu piekļuvi kontam, kas netiek izmantots. Tas nozÄ«mē, ka uzbrucēji, kuriem ir piekļuve SPN kontiem, var brÄ«vi darboties infrastruktÅ«rā, neuzraugot viņu darbÄ«bas.

Å o problēmu var atrisināt, mainot pakalpojumu kontu atļaujas. Uz Ŕādiem kontiem bÅ«tu jāattiecina mazāko privilēģiju princips, un tiem ir jābÅ«t tikai tādai piekļuvei, kas faktiski ir nepiecieÅ”ama to darbÄ«bai.

7 galvenie Active Directory riska rādītāji Varonis informācijas panelī
Izmantojot Å”o logrÄ«ku, varat noteikt visus SPN, kuriem ir administratÄ«vās tiesÄ«bas, noņemt Ŕādas privilēģijas un pēc tam pārraudzÄ«t SPN, izmantojot to paÅ”u vismazāk priviliģētās piekļuves principu.

Jaunais SPN tiks parādÄ«ts informācijas panelÄ«, un jÅ«s varēsiet pārraudzÄ«t Å”o procesu.

3. Lietotāju skaits, kuriem nav nepiecieÅ”ama Kerberos iepriekŔēja autentifikācija

Ideālā gadÄ«jumā Kerberos Å”ifrē autentifikācijas biļeti, izmantojot AES-256 Å”ifrÄ“Å”anu, kas joprojām ir nesalaužama lÄ«dz Å”ai dienai.

Tomēr vecākajās Kerberos versijās tika izmantota RC4 Å”ifrÄ“Å”ana, ko tagad var uzlauzt dažu minÅ«Å”u laikā. Å is logrÄ«ks parāda, kuri lietotāju konti joprojām izmanto RC4. Microsoft joprojām atbalsta RC4, lai nodroÅ”inātu atpakaļsaderÄ«bu, taču tas nenozÄ«mē, ka jums tas ir jāizmanto savā reklāmā.

7 galvenie Active Directory riska rādītāji Varonis informācijas panelī
Kad esat identificējis Ŕādus kontus, noņemiet atzÄ«mi no izvēles rÅ«tiņas ā€œnav nepiecieÅ”ama Kerberos iepriekŔēja autorizācijaā€ AD, lai piespiestu kontiem izmantot sarežģītāku Å”ifrÄ“Å”anu.

Å o kontu atklāŔana bez Varonis AD informācijas paneļa aizņem daudz laika. PatiesÄ«bā apzināties visus kontus, kas ir rediģēti, lai izmantotu RC4 Å”ifrÄ“Å”anu, ir vēl grÅ«tāks uzdevums.

Ja logrīka vērtība mainās, tas var norādīt uz nelikumīgu darbību.

4. Lietotāju skaits bez paroles

Uzbrucēji izmanto pamata PowerShell komandas, lai konta rekvizÄ«tos nolasÄ«tu karodziņu ā€œPASSWD_NOTREQDā€ no AD. Å Ä« karoga lietoÅ”ana norāda, ka nav paroles vai sarežģītÄ«bas prasÄ«bu.
Cik viegli ir nozagt kontu, izmantojot vienkārŔu vai tukŔu paroli? Tagad iedomājieties, ka viens no Ŕiem kontiem ir administrators.

7 galvenie Active Directory riska rādītāji Varonis informācijas panelī
Ko darīt, ja viens no tūkstoŔiem konfidenciālu failu, kas ir pieejams ikvienam, ir gaidāmais finanŔu pārskats?

Obligātās paroles prasÄ«bas ignorÄ“Å”ana ir vēl viena sistēmas administrÄ“Å”anas saÄ«sne, kas bieži tika izmantota agrāk, taču mÅ«sdienās tā nav ne pieņemama, ne droÅ”a.

Novērsiet Å”o problēmu, atjauninot Å”o kontu paroles.

Šī logrīka pārraudzība nākotnē palīdzēs izvairīties no kontiem bez paroles.

Varonis izlīdzina izredzes

Agrāk Å”ajā rakstā aprakstÄ«to rādÄ«tāju apkopoÅ”anas un analÄ«zes darbs aizņēma daudzas stundas un prasÄ«ja dziļas zināŔanas par PowerShell, tāpēc droŔības komandām katru nedēļu vai mēnesi bija jāpieŔķir resursi Ŕādiem uzdevumiem. Taču Ŕīs informācijas manuāla vākÅ”ana un apstrāde dod uzbrucējiem iespēju iefiltrēties un nozagt datus.

Š” Varonis JÅ«s pavadÄ«sit vienu dienu, lai izvietotu AD informācijas paneli un papildu komponentus, apkopotu visas apspriestās ievainojamÄ«bas un daudz ko citu. Turpmāk darbÄ«bas laikā uzraudzÄ«bas panelis tiks automātiski atjaunināts, mainoties infrastruktÅ«ras stāvoklim.

Kiberuzbrukumu veikÅ”ana vienmēr ir sacensÄ«ba starp uzbrucējiem un aizstāvjiem, uzbrucēja vēlme nozagt datus, pirms droŔības speciālisti var bloķēt piekļuvi tiem. AgrÄ«na uzbrucēju un viņu nelikumÄ«go darbÄ«bu atklāŔana kopā ar spēcÄ«gu kiberaizsardzÄ«bu ir jÅ«su datu droŔības saglabāŔanas atslēga.

Avots: www.habr.com

Pievieno komentāru