Ранливост на размена: Како да се открие покачување на привилегијата на администраторот на домен

Откриена оваа година ранливост во Exchange му овозможува на секој корисник на домен да стекне администраторски права и да го загрози Active Directory (AD) и други поврзани хостови. Денес ќе ви кажеме како функционира овој напад и како да го откриете.

Еве како функционира овој напад:

1. Напаѓачот ја презема сметката на кој било корисник на домен со активно поштенско сандаче со цел да се претплати на функцијата за известување push од Exchange
2. Напаѓачот користи NTLM реле за да го измами серверот Exchange: како резултат, серверот Exchange се поврзува со компјутерот на компромитираниот корисник користејќи го методот NTLM преку HTTP, кој напаѓачот потоа го користи за да се автентицира на контролорот на доменот преку LDAP со ингеренциите на сметката на Exchange
3. Напаѓачот завршува со користење на овие акредитации на сметката на Exchange за да ги зголеми своите привилегии. Овој последен чекор може да го изврши и непријателски расположен администратор кој веќе има легитимен пристап за да ја направи потребната промена на дозволата. Со создавање правило за откривање на оваа активност, ќе бидете заштитени од овој и слични напади.

Последователно, напаѓачот може, на пример, да изврши DCSync за да ги добие хашираните лозинки на сите корисници во доменот. Ова ќе му овозможи да имплементира различни типови на напади - од напади со златни тикети до хаш пренос.

Истражувачкиот тим на Varonis детално го проучуваше овој вектор на напад и подготви водич за нашите клиенти да го откријат и во исто време да проверат дали веќе се компромитирани.

Откривање на ескалација на привилегии на домен

В DataAlert Создадете приспособено правило за следење на промените на одредени дозволи на некој објект. Ќе се активира при додавање права и дозволи на објект од интерес во доменот:

1. Наведете го името на правилото
2. Поставете ја категоријата на „Подигање на привилегијата“
3. Поставете го типот на ресурси на „Сите типови ресурси“
4. Сервер за датотеки = Директориумски услуги
5. Наведете го доменот за кој сте заинтересирани, на пример, по име
6. Додадете филтер за да додадете дозволи на објект AD
7. И не заборавајте да ја оставите неизбрана опцијата „Пребарај во детски објекти“.

И сега извештајот: откривање на промени во правата на објект на домен

Промените на дозволите на објектот AD се доста ретки, така што сè што го активира ова предупредување треба и треба да се истражува. Исто така, би било добра идеја да се тестираат изгледот и содржината на извештајот пред да се започне самото правило во битка.

Овој извештај исто така ќе покаже дали веќе сте биле компромитирани од овој напад:

Откако ќе се активира правилото, можете да ги истражите сите други настани за зголемување на привилегиите користејќи го веб-интерфејсот DatAlert:

Откако ќе го конфигурирате ова правило, можете да ги следите и заштитите од овие и слични типови на безбедносни пропусти, да истражувате настани со објектите на услугите на директориумот АД и да одредите дали сте подложни на оваа критична ранливост.

Извор: www.habr.com