7 Клучни индикатори за ризик од Active Directory во контролната табла на Varonis

Сè што му треба на напаѓачот е време и мотивација да се пробие во вашата мрежа. Но, нашата работа е да го спречиме да го прави ова, или барем да ја направиме оваа задача што е можно потешка. Треба да започнете со идентификување на слабостите во Active Directory (во понатамошниот текст AD) кои напаѓачот може да ги користи за да добие пристап и да се движи низ мрежата без да биде откриен. Денес во оваа статија ќе ги разгледаме индикаторите за ризик кои ги рефлектираат постојните пропусти во сајбер одбраната на вашата организација, користејќи ја контролната табла на АД Варонис како пример.

Напаѓачите користат одредени конфигурации во доменот

Напаѓачите користат различни паметни техники и ранливости за да навлезат во корпоративните мрежи и да ги зголемат привилегиите. Некои од овие пропусти се поставки за конфигурација на доменот што може лесно да се променат откако ќе се идентификуваат.

Контролната табла на АД веднаш ќе ве извести доколку вие (или вашите системски администратори) не сте ја смениле лозинката на KRBTGT во последниот месец или ако некој извршил автентикација со стандардната вградена администраторска сметка. Овие две сметки обезбедуваат неограничен пристап до вашата мрежа: напаѓачите ќе се обидат да добијат пристап до нив за лесно да ги заобиколат сите ограничувања во привилегиите и дозволите за пристап. И, како резултат на тоа, тие добиваат пристап до сите податоци што ги интересираат.

Се разбира, можете сами да ги откриете овие пропусти: на пример, поставете потсетник за календар за проверка или активирање на PowerShell скрипта за собирање на овие информации.

Контролната табла на Varonis се ажурира автоматски за да обезбедите брза видливост и анализа на клучните метрики што ги истакнуваат потенцијалните пропусти за да можете да преземете итна акција за нивно решавање.

3 Клучни индикатори за ризик на ниво на домен

Подолу се дадени голем број графички контроли достапни на контролната табла на Varonis, чија употреба значително ќе ја подобри заштитата на корпоративната мрежа и ИТ инфраструктурата како целина.

1. Број на домени за кои лозинката на сметката на Kerberos не е променета за значителен временски период

Сметката KRBTGT е посебна сметка во АД која потпишува сè Керберос билети . Напаѓачите кои добиваат пристап до контролер на домен (DC) може да ја користат оваа сметка за креирање Златен билет, што ќе им овозможи неограничен пристап до речиси секој систем на корпоративната мрежа. Наидовме на ситуација кога, по успешното добивање на Златен билет, напаѓачот имаше пристап до мрежата на организацијата две години. Ако лозинката на сметката KRBTGT во вашата компанија не е сменета во последните четириесет дена, виџетот ќе ве извести за ова.

Четириесет дена се повеќе од доволно време за напаѓачот да добие пристап до мрежата. Меѓутоа, ако го спроведувате и стандардизирате процесот на менување на оваа лозинка на редовна основа, ќе му отежне на напаѓачот да влезе во вашата корпоративна мрежа.

Запомнете дека според имплементацијата на Microsoft на протоколот Kerberos, мора сменете ја лозинката двапати КРБТГТ.

Во иднина, овој додаток за АД ќе ве потсетува кога е време повторно да ја смените лозинката за KRBTGT за сите домени на вашата мрежа.

2. Број на домени каде неодамна се користеше вградената Администраторска сметка

Според принцип на најмала привилегија — системските администратори имаат две сметки: првата е сметка за секојдневна употреба, а втората е за планирана административна работа. Ова значи дека никој не треба да ја користи стандардната администраторска сметка.

Вградената администраторска сметка често се користи за да се поедностави процесот на администрација на системот. Ова може да стане лоша навика, што резултира со хакирање. Ако тоа се случи во вашата организација, ќе имате потешкотии да разликувате правилно користење на оваа сметка и потенцијално злонамерен пристап.

Ако виџетот покажува нешто друго освен нула, тогаш некој не работи правилно со административните сметки. Во овој случај, мора да преземете чекори за да го поправите и ограничите пристапот до вградената администраторска сметка.
Откако ќе постигнете вредност на графичката контрола од нула и системските администратори повеќе не ја користат оваа сметка за својата работа, тогаш во иднина, секоја негова промена ќе укаже на потенцијален сајбер напад.

3. Број на домени кои немаат група на заштитени корисници

Постарите верзии на АД поддржуваа слаб тип на шифрирање - RC4. Хакерите го хакираа RC4 пред многу години, а сега е многу тривијална задача за напаѓачот да хакира сметка што сè уште користи RC4. Верзијата на Active Directory воведена во Windows Server 2012 воведе нов тип на корисничка група наречена Protected Users Group. Обезбедува дополнителни безбедносни алатки и спречува автентикација на корисникот со помош на шифрирање RC4.

Овој додаток ќе покаже дали на некој домен во организацијата му недостасува таква група за да можете да ја поправите, т.е. овозможете група на заштитени корисници и искористете ја за заштита на инфраструктурата.

Лесни цели за напаѓачите

Корисничките сметки се цел број еден за напаѓачите, од првичните обиди за упад до континуирана ескалација на привилегиите и прикривање на нивните активности. Напаѓачите бараат едноставни цели на вашата мрежа користејќи основни команди на PowerShell кои честопати тешко се откриваат. Отстранете што е можно повеќе од овие лесни цели од АД.

Напаѓачите бараат корисници со лозинки кои никогаш не истекуваат (или на кои не им требаат лозинки), технолошки сметки кои се администратори и сметки кои користат наследно шифрирање RC4.

Било кој од овие сметки е или тривијален за пристап или генерално не се следи. Напаѓачите можат да ги преземат овие сметки и слободно да се движат во вашата инфраструктура.

Откако напаѓачите ќе навлезат во безбедносниот периметар, најверојатно ќе добијат пристап до најмалку една сметка. Можете ли да ги спречите да добијат пристап до чувствителни податоци пред нападот да биде откриен и содржан?

Контролната табла на Varonis AD ќе ги посочи ранливите кориснички сметки за да можете проактивно да ги решавате проблемите. Колку е потешко да се навлезе во вашата мрежа, толку се поголеми шансите да го неутрализирате напаѓачот пред да предизвика сериозна штета.

4 Клучни индикатори за ризик за кориснички сметки

Подолу се дадени примери на додатоци на контролната табла на Varonis AD кои ги истакнуваат најранливите кориснички сметки.

1. Број на активни корисници со лозинки кои никогаш не истекуваат

За секој напаѓач да добие пристап до таква сметка е секогаш голем успех. Бидејќи лозинката никогаш не истекува, напаѓачот има постојана основа во мрежата, што потоа може да се користи ескалација на привилегии или движења во рамките на инфраструктурата.
Напаѓачите имаат списоци со милиони комбинации на кориснички лозинки што ги користат во нападите за полнење акредитиви, а веројатноста е дека
дека комбинацијата за корисникот со „вечната“ лозинка е во една од овие списоци, многу поголема од нула.

Сметки со лозинки кои не истекуваат се лесни за управување, но тие не се безбедни. Користете го овој додаток за да ги најдете сите сметки што имаат такви лозинки. Променете ја оваа поставка и ажурирајте ја лозинката.

Штом вредноста на овој додаток ќе се постави на нула, сите нови сметки создадени со таа лозинка ќе се појават на контролната табла.

2. Број на административни сметки со SPN

SPN (Service Principal Name) е единствен идентификатор на примерок на услуга. Овој додаток покажува колку сметки на услуги имаат целосни администраторски права. Вредноста на виџетот мора да биде нула. SPN со административни права се јавува затоа што доделувањето такви права е погодно за продавачите на софтвер и администраторите на апликации, но претставува безбедносен ризик.

Давањето административни права на сметката на услугата му овозможува на напаѓачот да добие целосен пристап до сметката што не се користи. Ова значи дека напаѓачите со пристап до сметките на SPN можат слободно да работат во рамките на инфраструктурата без да се следат нивните активности.

Можете да го решите овој проблем со менување на дозволите на сметките за услуги. Таквите сметки треба да подлежат на принципот на најмала привилегија и да имаат само пристап што е всушност неопходен за нивното работење.

Користејќи го овој додаток, можете да ги откриете сите SPN кои имаат административни права, да ги отстраните таквите привилегии и потоа да ги надгледувате SPN-овите користејќи го истиот принцип на најмалку привилегиран пристап.

Новопојавениот SPN ќе се прикаже на контролната табла и ќе можете да го следите овој процес.

3. Број на корисници на кои не им е потребна претходна автентикација на Kerberos

Идеално, Kerberos го шифрира билетот за автентикација користејќи шифрирање AES-256, кое останува нераскинливо до ден-денес.

Сепак, постарите верзии на Kerberos користеа RC4 шифрирање, кое сега може да се прекине за неколку минути. Овој додаток покажува кои кориснички сметки сè уште користат RC4. Мајкрософт сè уште поддржува RC4 за компатибилност наназад, но тоа не значи дека треба да го користите во вашата реклама.

Откако ќе ги идентификувате таквите сметки, треба да го отштиклирате полето „не бара предовластување на Kerberos“ во АД за да ги принудите сметките да користат пософистицирано шифрирање.

Откривањето на овие сметки самостојно, без контролната табла на Varonis AD, одзема многу време. Во реалноста, да се биде свесен за сите сметки што се уредени да користат шифрирање RC4 е уште потешка задача.

Ако вредноста на графичката контрола се промени, ова може да укаже на нелегална активност.

4. Број на корисници без лозинка

Напаѓачите користат основни команди на PowerShell за да го прочитаат знамето „PASSWD_NOTREQD“ од AD во својствата на сметката. Употребата на ова знаме покажува дека нема барања за лозинка или барања за сложеност.
Колку е лесно да се украде сметка со едноставна или празна лозинка? Сега замислете дека една од овие сметки е администратор.

Што ако една од илјадниците доверливи датотеки отворени за сите е претстојниот финансиски извештај?

Игнорирањето на задолжителното барање за лозинка е уште една кратенка за администрација на системот што често се користеше во минатото, но не е ниту прифатлива ниту безбедна денес.

Поправете го овој проблем со ажурирање на лозинките за овие сметки.

Следењето на овој додаток во иднина ќе ви помогне да избегнете сметки без лозинка.

Варонис ги израмнува шансите

Во минатото, работата за собирање и анализа на метриката опишана во оваа статија траеше многу часови и бараше длабоко познавање на PowerShell, барајќи од безбедносните тимови да доделуваат ресурси за такви задачи секоја недела или месец. Но, рачното собирање и обработка на овие информации им дава на напаѓачите можност да се инфилтрираат и да крадат податоци.

С Варонис Ќе поминете еден ден за да ја распоредите контролната табла на АД и дополнителните компоненти, да ги соберете сите ранливости за кои се дискутираше и многу повеќе. Во иднина, за време на работата, мониторинг панелот автоматски ќе се ажурира како што се менува состојбата на инфраструктурата.

Извршувањето на сајбер напади е секогаш трка меѓу напаѓачите и бранителите, желбата на напаѓачот да украде податоци пред безбедносните специјалисти да го блокираат пристапот до нив. Раното откривање на напаѓачите и нивните нелегални активности, заедно со силната сајбер одбрана, е клучот за чување на вашите податоци безбедни.

Извор: www.habr.com