സജീവ ഡയറക്ടറിയിലെ ഡാറ്റ സ്വകാര്യത പ്രശ്നം

ഉപയോഗിച്ച് ഞാൻ നുഴഞ്ഞുകയറ്റ പരിശോധന നടത്തി പവർവ്യൂ സജീവ ഡയറക്‌ടറിയിൽ നിന്ന് ഉപയോക്തൃ വിവരങ്ങൾ വീണ്ടെടുക്കാൻ ഇത് ഉപയോഗിച്ചു (ഇനിമുതൽ AD എന്ന് വിളിക്കുന്നു). അക്കാലത്ത്, സെക്യൂരിറ്റി ഗ്രൂപ്പ് അംഗത്വ വിവരങ്ങൾ ശേഖരിക്കുന്നതിലും പിന്നീട് നെറ്റ്‌വർക്ക് നാവിഗേറ്റ് ചെയ്യുന്നതിന് ആ വിവരങ്ങൾ ഉപയോഗിക്കുന്നതിലും ആയിരുന്നു എന്റെ ഊന്നൽ. ഏതുവിധേനയും, AD-യിൽ സെൻസിറ്റീവ് ജീവനക്കാരുടെ ഡാറ്റ അടങ്ങിയിരിക്കുന്നു, അവയിൽ ചിലത് സ്ഥാപനത്തിലെ എല്ലാവർക്കും ആക്‌സസ് ചെയ്യാൻ പാടില്ല. വാസ്തവത്തിൽ, വിൻഡോസ് ഫയൽ സിസ്റ്റങ്ങളിൽ തത്തുല്യമായ ഒന്ന് ഉണ്ട് "എല്ലാവരുടെയും" പ്രശ്നം, ഇത് ആന്തരികവും ബാഹ്യവുമായ ആക്രമണകാരികൾക്കും ഉപയോഗിക്കാം.

എന്നാൽ സ്വകാര്യത പ്രശ്‌നങ്ങളെക്കുറിച്ചും അവ എങ്ങനെ പരിഹരിക്കാമെന്നതിനെക്കുറിച്ചും സംസാരിക്കുന്നതിന് മുമ്പ്, നമുക്ക് എഡിയിൽ സംഭരിച്ചിരിക്കുന്ന ഡാറ്റ നോക്കാം.

കോർപ്പറേറ്റ് ഫേസ്ബുക്ക് ആണ് ആക്ടീവ് ഡയറക്ടറി

എന്നാൽ ഈ സാഹചര്യത്തിൽ, നിങ്ങൾ ഇതിനകം എല്ലാവരുമായും ചങ്ങാത്തം സ്ഥാപിച്ചു! നിങ്ങളുടെ സഹപ്രവർത്തകരുടെ പ്രിയപ്പെട്ട സിനിമകളെക്കുറിച്ചോ പുസ്‌തകങ്ങളെക്കുറിച്ചോ റെസ്റ്റോറന്റുകളെക്കുറിച്ചോ നിങ്ങൾക്ക് അറിയില്ലായിരിക്കാം, എന്നാൽ AD-യിൽ തന്ത്രപ്രധാനമായ കോൺടാക്റ്റ് വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു.
പ്രത്യേക സാങ്കേതിക വൈദഗ്ധ്യമില്ലാതെ ഹാക്കർമാർക്കും ഇൻസൈഡർമാർക്കും പോലും ഉപയോഗിക്കാനാകുന്ന ഡാറ്റയും മറ്റ് ഫീൽഡുകളും.

സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാർ തീർച്ചയായും താഴെയുള്ള സ്ക്രീൻഷോട്ട് പരിചിതരാണ്. ഇത് ആക്റ്റീവ് ഡയറക്‌ടറി യൂസേഴ്‌സ് ആൻഡ് കംപ്യൂട്ടേഴ്‌സ് (ADUC) ഇന്റർഫേസാണ്, അവിടെ അവർ ഉപയോക്തൃ വിവരങ്ങൾ സജ്ജീകരിക്കുകയും എഡിറ്റുചെയ്യുകയും ഉചിതമായ ഗ്രൂപ്പുകളിലേക്ക് ഉപയോക്താക്കളെ നിയോഗിക്കുകയും ചെയ്യുന്നു.

എഡിയിൽ ജീവനക്കാരന്റെ പേര്, വിലാസം, ഫോൺ നമ്പർ എന്നിവയ്ക്കുള്ള ഫീൽഡുകൾ അടങ്ങിയിരിക്കുന്നു, അതിനാൽ ഇത് ഒരു ടെലിഫോൺ ഡയറക്‌ടറിക്ക് സമാനമാണ്. എന്നാൽ ഇനിയും ഒരുപാട് ഉണ്ട്! മറ്റ് ടാബുകളിൽ ഇമെയിൽ, വെബ് വിലാസം, ലൈൻ മാനേജർ, കുറിപ്പുകൾ എന്നിവയും ഉൾപ്പെടുന്നു.

സ്ഥാപനത്തിലെ എല്ലാവരും ഈ വിവരങ്ങൾ കാണേണ്ടതുണ്ടോ, പ്രത്യേകിച്ച് ഒരു കാലഘട്ടത്തിൽ ഒസിംത്, ഓരോ പുതിയ വിശദാംശങ്ങളും കൂടുതൽ വിവരങ്ങൾക്കായി തിരയുന്നത് കൂടുതൽ എളുപ്പമാക്കുമ്പോൾ?

തീർച്ചയായും ഇല്ല! ഒരു കമ്പനിയുടെ ഉന്നത മാനേജ്‌മെന്റിൽ നിന്നുള്ള ഡാറ്റ എല്ലാ ജീവനക്കാർക്കും ലഭ്യമാകുമ്പോൾ പ്രശ്നം സങ്കീർണ്ണമാകുന്നു.

എല്ലാവർക്കുമായി പവർവ്യൂ

ഇവിടെയാണ് PowerView പ്രവർത്തിക്കുന്നത്. എഡി ആക്‌സസ് ചെയ്യുന്ന Win32 ഫംഗ്‌ഷനുകൾക്ക് ഇത് വളരെ ഉപയോക്തൃ-സൗഹൃദ പവർഷെൽ ഇന്റർഫേസ് നൽകുന്നു. ചുരുക്കത്തിൽ:
ഇത് AD ഫീൽഡുകൾ വീണ്ടെടുക്കുന്നത് വളരെ ചെറിയ cmdlet ടൈപ്പ് ചെയ്യുന്നത് പോലെ എളുപ്പമാക്കുന്നു.

കമ്പനിയുടെ നേതാക്കളിലൊരാളായ ക്രൂല്ല ഡെവില്ലെയുടെ ഒരു ജീവനക്കാരനെക്കുറിച്ചുള്ള വിവരങ്ങൾ ശേഖരിക്കുന്നതിനുള്ള ഒരു ഉദാഹരണം എടുക്കാം. ഇത് ചെയ്യുന്നതിന്, PowerView get-NetUser cmdlet ഉപയോഗിക്കുക:

PowerView ഇൻസ്റ്റാൾ ചെയ്യുന്നത് ഗുരുതരമായ ഒരു പ്രശ്നമല്ല - പേജിൽ നിങ്ങൾക്കായി കാണുക സാമൂഹികം. അതിലും പ്രധാനമായി, get-NetUser പോലുള്ള നിരവധി PowerView കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കുന്നതിന് നിങ്ങൾക്ക് ഉയർന്ന പ്രത്യേകാവകാശങ്ങൾ ആവശ്യമില്ല. ഇത്തരത്തിൽ, പ്രചോദിതനായ, എന്നാൽ അധികം സാങ്കേതിക വിദഗ്ദ്ധനല്ലാത്ത ഒരു ജീവനക്കാരന് അധികം പ്രയത്നമില്ലാതെ തന്നെ AD ഉപയോഗിച്ച് ടിങ്കറിംഗ് ചെയ്യാൻ കഴിയും.

മുകളിലെ സ്‌ക്രീൻഷോട്ടിൽ നിന്ന്, ഒരു ആന്തരിക വ്യക്തിക്ക് ക്രുല്ലയെക്കുറിച്ച് വളരെ വേഗത്തിൽ പഠിക്കാൻ കഴിയുമെന്ന് നിങ്ങൾക്ക് കാണാൻ കഴിയും. "വിവരം" ഫീൽഡ് ഉപയോക്താവിന്റെ വ്യക്തിഗത ശീലങ്ങളെയും പാസ്‌വേഡിനെയും കുറിച്ചുള്ള വിവരങ്ങൾ വെളിപ്പെടുത്തുന്നതും നിങ്ങൾ ശ്രദ്ധിച്ചിട്ടുണ്ടോ?

ഇതൊരു സൈദ്ധാന്തിക സാധ്യതയല്ല. നിന്ന് മറ്റ് പെന്റസ്റ്ററുകളുമായുള്ള സംഭാഷണങ്ങൾ പ്ലെയിൻടെക്സ്റ്റ് പാസ്‌വേഡുകൾ കണ്ടെത്താൻ അവർ എഡി സ്കാൻ ചെയ്യുന്നുവെന്ന് ഞാൻ മനസ്സിലാക്കി, പലപ്പോഴും ഈ ശ്രമങ്ങൾ നിർഭാഗ്യവശാൽ വിജയിക്കുന്നു. എഡിയിലെ വിവരങ്ങളിൽ കമ്പനികൾ അശ്രദ്ധരാണെന്ന് അവർക്കറിയാം, കൂടാതെ അടുത്ത വിഷയത്തെക്കുറിച്ച് അവർക്കറിയില്ല: എഡി അനുമതികൾ.

സജീവ ഡയറക്ടറിക്ക് അതിന്റേതായ ACL-കൾ ഉണ്ട്

എഡി ഒബ്‌ജക്‌റ്റുകളിൽ അനുമതികൾ സജ്ജീകരിക്കാൻ AD ഉപയോക്താക്കളുടെയും കമ്പ്യൂട്ടറുകളുടെയും ഇന്റർഫേസ് നിങ്ങളെ അനുവദിക്കുന്നു. AD-ന് ACL-കൾ ഉണ്ട്, അഡ്മിനിസ്ട്രേറ്റർക്ക് അവയിലൂടെ പ്രവേശനം അനുവദിക്കാനോ നിരസിക്കാനോ കഴിയും. നിങ്ങൾ ADUC വ്യൂ മെനുവിലെ "വിപുലമായത്" ക്ലിക്കുചെയ്യേണ്ടതുണ്ട്, തുടർന്ന് നിങ്ങൾ ഉപയോക്താവിനെ തുറക്കുമ്പോൾ നിങ്ങൾ ACL സജ്ജമാക്കിയിരിക്കുന്ന "സെക്യൂരിറ്റി" ടാബ് കാണും.

എന്റെ Cruella സാഹചര്യത്തിൽ, എല്ലാ അംഗീകൃത ഉപയോക്താക്കൾക്കും അവളുടെ സ്വകാര്യ വിവരങ്ങൾ കാണാൻ കഴിയണമെന്ന് ഞാൻ ആഗ്രഹിച്ചില്ല, അതിനാൽ ഞാൻ അവർക്ക് വായിക്കാനുള്ള പ്രവേശനം നിഷേധിച്ചു:

ഇപ്പോൾ PowerView-ൽ Get-NetUser പരീക്ഷിച്ചാൽ ഒരു സാധാരണ ഉപയോക്താവ് ഇത് കാണും:

തുറിച്ചുനോക്കുന്ന കണ്ണുകളിൽ നിന്ന് ഉപയോഗപ്രദമായ വിവരങ്ങൾ മറയ്ക്കാൻ എനിക്ക് കഴിഞ്ഞു. പ്രസക്തമായ ഉപയോക്താക്കൾക്ക് ഇത് ആക്‌സസ് ചെയ്യാൻ കഴിയുന്ന തരത്തിൽ, ഈ സെൻസിറ്റീവ് ഡാറ്റ ആക്‌സസ് ചെയ്യാൻ VIP ഗ്രൂപ്പിലെ അംഗങ്ങളെ (ക്രൂല്ലയും അവളുടെ മറ്റ് ഉയർന്ന റാങ്കിലുള്ള സഹപ്രവർത്തകരും) അനുവദിക്കുന്നതിനായി ഞാൻ മറ്റൊരു ACL സൃഷ്‌ടിച്ചു. മറ്റൊരു വിധത്തിൽ പറഞ്ഞാൽ, ഇൻസൈഡർമാർ ഉൾപ്പെടെയുള്ള മിക്ക ജീവനക്കാർക്കും സെൻസിറ്റീവ് ഡാറ്റ ആക്‌സസ്സുചെയ്യാനാകാത്ത ഒരു റോൾ മോഡലിനെ അടിസ്ഥാനമാക്കി ഞാൻ AD അനുമതികൾ നടപ്പിലാക്കി.

എന്നിരുന്നാലും, ഗ്രൂപ്പ് ഒബ്‌ജക്റ്റിലെ ACL അതിനനുസരിച്ച് AD-ൽ സജ്ജീകരിച്ച് നിങ്ങൾക്ക് ഗ്രൂപ്പ് അംഗത്വം ഉപയോക്താക്കൾക്ക് അദൃശ്യമാക്കാം. ഇത് സ്വകാര്യതയുടെയും സുരക്ഷയുടെയും കാര്യത്തിൽ സഹായിക്കും.

അതിൽ ഇതിഹാസ പെന്റസ്റ്റുകളുടെ പരമ്പര PowerViews Get-NetGroupMember ഉപയോഗിച്ച് ഗ്രൂപ്പ് അംഗത്വം പരിശോധിച്ച് നിങ്ങൾക്ക് എങ്ങനെ സിസ്റ്റം നാവിഗേറ്റ് ചെയ്യാം എന്ന് ഞാൻ കാണിച്ചുതന്നു. എന്റെ സ്ക്രിപ്റ്റിൽ, ഒരു നിർദ്ദിഷ്‌ട ഗ്രൂപ്പിലെ അംഗത്വത്തിലേക്കുള്ള വായനാ ആക്‌സസ് ഞാൻ നിയന്ത്രിച്ചു. മാറ്റങ്ങൾക്ക് മുമ്പും ശേഷവും കമാൻഡ് പ്രവർത്തിപ്പിക്കുന്നതിന്റെ ഫലം നിങ്ങൾക്ക് കാണാൻ കഴിയും:

വിഐപി ഗ്രൂപ്പിലെ ക്രൂല്ലയുടെയും മോണ്ടി ബേൺസിന്റെയും അംഗത്വം മറയ്ക്കാൻ എനിക്ക് കഴിഞ്ഞു, ഇത് ഹാക്കർമാർക്കും അകത്തുള്ളവർക്കും അടിസ്ഥാന സൗകര്യങ്ങൾ പരിശോധിക്കുന്നത് ബുദ്ധിമുട്ടാക്കി.

ഫീൽഡുകൾ സൂക്ഷ്മമായി പരിശോധിക്കാൻ നിങ്ങളെ പ്രേരിപ്പിക്കാൻ ഉദ്ദേശിച്ചുള്ളതാണ് ഈ പോസ്റ്റ്
എഡിയും അനുബന്ധ അനുമതികളും. AD ഒരു വലിയ വിഭവമാണ്, എന്നാൽ നിങ്ങൾ എങ്ങനെ ചെയ്യുമെന്ന് ചിന്തിക്കുക
രഹസ്യാത്മക വിവരങ്ങളും വ്യക്തിഗത വിവരങ്ങളും പങ്കിടാൻ ആഗ്രഹിക്കുന്നു, പ്രത്യേകിച്ച്
നിങ്ങളുടെ സ്ഥാപനത്തിലെ ഉന്നത ഉദ്യോഗസ്ഥരുടെ കാര്യം വരുമ്പോൾ.  

അവലംബം: www.habr.com