സജീവ ഡയറക്ടറിയിലെ ഡാറ്റ സ്വകാര്യത പ്രശ്നം

ഞാൻ പെനെട്രേഷൻ ടെസ്റ്റിംഗ് നടത്തിവരികയാണ്, അത് ഉപയോഗിച്ചാണ് പവർവ്യൂ കൂടാതെ ആക്ടീവ് ഡയറക്ടറിയിൽ നിന്ന് (ഇനി മുതൽ AD എന്ന് വിളിക്കപ്പെടുന്നു) ഉപയോക്തൃ വിവരങ്ങൾ വേർതിരിച്ചെടുക്കാൻ ഇത് ഉപയോഗിച്ചു. ആ സമയത്ത്, സുരക്ഷാ ഗ്രൂപ്പ് അംഗത്വ വിവരങ്ങൾ ശേഖരിക്കുന്നതിലും തുടർന്ന് ആ വിവരങ്ങൾ ഉപയോഗിച്ച് നെറ്റ്‌വർക്ക് നാവിഗേറ്റ് ചെയ്യുന്നതിലും ഞാൻ ശ്രദ്ധ കേന്ദ്രീകരിച്ചിരുന്നു. AD-യിൽ സെൻസിറ്റീവ് ജീവനക്കാരുടെ ഡാറ്റ അടങ്ങിയിരിക്കുന്നു, അവയിൽ ചിലത് സ്ഥാപനത്തിലെ എല്ലാവർക്കും ആക്‌സസ് ചെയ്യാൻ പാടില്ലാത്തതാണ്. അടിസ്ഥാനപരമായി, ഫയൽ സിസ്റ്റങ്ങൾ Windows തുല്യമായ ഒന്ന് ഉണ്ട് "എല്ലാവരുടെയും" പ്രശ്നം, ഇത് ആന്തരികവും ബാഹ്യവുമായ ആക്രമണകാരികൾക്കും ഉപയോഗിക്കാം.

പക്ഷേ, സ്വകാര്യതാ പ്രശ്‌നങ്ങളെക്കുറിച്ചും അവ എങ്ങനെ പരിഹരിക്കാമെന്നതിനെക്കുറിച്ചും സംസാരിക്കുന്നതിന് മുമ്പ്, എഡിയിൽ സംഭരിച്ചിരിക്കുന്ന ഡാറ്റ എന്താണെന്ന് നോക്കാം.

ആക്ടീവ് ഡയറക്ടറി എന്നത് കോർപ്പറേറ്റ് ഫേസ്ബുക്ക് ആണ്

എന്നാൽ ഈ സാഹചര്യത്തിൽ, നിങ്ങൾ ഇതിനകം എല്ലാവരുമായും സൗഹൃദം സ്ഥാപിച്ചു കഴിഞ്ഞു! നിങ്ങളുടെ സഹപ്രവർത്തകരുടെ പ്രിയപ്പെട്ട സിനിമകൾ, പുസ്തകങ്ങൾ, റെസ്റ്റോറന്റുകൾ എന്നിവയെക്കുറിച്ച് നിങ്ങൾക്ക് അറിയാൻ കഴിഞ്ഞേക്കില്ല, പക്ഷേ AD-യിൽ സെൻസിറ്റീവ് കോൺടാക്റ്റ് വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു.
ഹാക്കർമാർക്ക്, പ്രത്യേക സാങ്കേതിക വൈദഗ്ധ്യമില്ലാത്ത ഇൻസൈഡർമാർക്ക് പോലും ഉപയോഗിക്കാൻ കഴിയുന്ന ഡാറ്റയും മറ്റ് ഫീൽഡുകളും.

സിസ്റ്റം അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് താഴെയുള്ള സ്ക്രീൻഷോട്ട് തീർച്ചയായും പരിചിതമായിരിക്കും. ഇത് ആക്ടീവ് ഡയറക്ടറി യൂസേഴ്‌സ് ആൻഡ് കമ്പ്യൂട്ടർ (ADUC) ഇന്റർഫേസാണ്, അവിടെ അവർ ഉപയോക്തൃ വിവരങ്ങൾ സജ്ജീകരിക്കുകയും എഡിറ്റ് ചെയ്യുകയും ഉപയോക്താക്കളെ ഉചിതമായ ഗ്രൂപ്പുകളിലേക്ക് നിയോഗിക്കുകയും ചെയ്യുന്നു.

ജീവനക്കാരന്റെ പേര്, വിലാസം, ഫോൺ നമ്പർ എന്നിവയ്ക്കുള്ള ഫീൽഡുകൾ AD-യിൽ അടങ്ങിയിരിക്കുന്നു, അതിനാൽ ഇത് ഒരു ഫോൺ ഡയറക്ടറിക്ക് സമാനമാണ്. എന്നാൽ ഇനിയും ഏറെയുണ്ട്! മറ്റ് ടാബുകളിൽ ഇമെയിൽ, വെബ്‌സൈറ്റ് വിലാസങ്ങൾ, അടിയന്തര സൂപ്പർവൈസർമാർ, കുറിപ്പുകൾ എന്നിവയും ഉൾപ്പെടുന്നു.

പ്രത്യേകിച്ച് ഈ കാലഘട്ടത്തിൽ, സ്ഥാപനത്തിലെ എല്ലാവരും ഈ വിവരങ്ങൾ കാണേണ്ടതുണ്ടോ? ഒസിംത്, ഓരോ പുതിയ വിശദാംശങ്ങളും കൂടുതൽ വിവരങ്ങൾ കണ്ടെത്തുന്നത് കൂടുതൽ എളുപ്പമാക്കുമ്പോൾ?

തീർച്ചയായും ഇല്ല! മുതിർന്ന മാനേജ്‌മെന്റിന്റെ ഡാറ്റ എല്ലാ ജീവനക്കാർക്കും ലഭ്യമാകുമ്പോൾ പ്രശ്നം കൂടുതൽ സങ്കീർണ്ണമാകുന്നു.

എല്ലാവർക്കും പവർവ്യൂ

ഇവിടെയാണ് പവർവ്യൂ പ്രസക്തമാകുന്നത്. എഡിയിലേക്ക് പ്രവേശിക്കുന്ന അടിസ്ഥാന (ആശയക്കുഴപ്പമുണ്ടാക്കുന്ന) Win32 ഫംഗ്ഷനുകളിലേക്ക് ഇത് വളരെ സൗകര്യപ്രദമായ ഒരു പവർഷെൽ ഇന്റർഫേസ് നൽകുന്നു. ചുരുക്കത്തിൽ:
ഇത് വളരെ ചെറിയ ഒരു cmdlet നൽകുന്നതുപോലെ AD ഫീൽഡുകൾ ലഭിക്കുന്നത് എളുപ്പമാക്കുന്നു.

കമ്പനിയുടെ എക്സിക്യൂട്ടീവുകളിൽ ഒരാളായ ക്രൂല്ല ഡെവില്ലെ എന്ന ജീവനക്കാരിയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ശേഖരിക്കുന്നതിന്റെ ഉദാഹരണം എടുക്കാം. ഇതിനായി, നമ്മൾ PowerView get-NetUser cmdlet ഉപയോഗിക്കും:

പവർവ്യൂ ഇൻസ്റ്റാൾ ചെയ്യുന്നത് ഒരു വലിയ പ്രശ്നമല്ല - പേജിൽ സ്വയം കാണുക. സാമൂഹികംഏറ്റവും പ്രധാനമായി, get-NetUser പോലുള്ള നിരവധി PowerView കമാൻഡുകൾ പ്രവർത്തിപ്പിക്കാൻ നിങ്ങൾക്ക് ഉയർന്ന പ്രിവിലേജുകൾ ആവശ്യമില്ല. അതിനാൽ, പ്രചോദിതനും എന്നാൽ സാങ്കേതികമായി അത്ര അറിവില്ലാത്തതുമായ ഒരു ജീവനക്കാരന് അധികം പരിശ്രമമില്ലാതെ AD-യിൽ ഗവേഷണം ആരംഭിക്കാൻ കഴിയും.

മുകളിലുള്ള സ്ക്രീൻഷോട്ട് കാണിക്കുന്നത് ഒരു ഇൻസൈഡർക്ക് ക്രൂല്ലയെക്കുറിച്ച് ധാരാളം കാര്യങ്ങൾ വേഗത്തിൽ പഠിക്കാൻ കഴിയുമെന്നാണ്. "വിവരം" ഫീൽഡ് ഉപയോക്താവിന്റെ വ്യക്തിഗത ശീലങ്ങളെയും പാസ്‌വേഡിനെയും കുറിച്ചുള്ള വിവരങ്ങൾ വെളിപ്പെടുത്തുന്നത് നിങ്ങൾ ശ്രദ്ധിച്ചോ?

ഇത് ഒരു സൈദ്ധാന്തിക സാധ്യതയല്ല. മറ്റ് പെനട്രേഷൻ ടെസ്റ്ററുകളുമായുള്ള സംഭാഷണങ്ങൾ എൻക്രിപ്റ്റ് ചെയ്യാത്ത പാസ്‌വേഡുകൾക്കായി അവർ AD സ്കാൻ ചെയ്യുന്നുണ്ടെന്ന് ഞാൻ മനസ്സിലാക്കി, നിർഭാഗ്യവശാൽ ഈ ശ്രമങ്ങൾ പലപ്പോഴും വിജയകരമാണ്. കമ്പനികൾ AD വിവരങ്ങളിൽ അശ്രദ്ധരാണെന്നും ചട്ടം പോലെ, അടുത്ത വിഷയത്തെക്കുറിച്ച് അവർക്ക് അറിയില്ല എന്നും അവർക്കറിയാം: AD അനുമതികൾ.

ആക്ടീവ് ഡയറക്ടറിക്ക് അതിന്റേതായ ACL-കൾ ഉണ്ട്.

AD ഉപയോക്താക്കളും കമ്പ്യൂട്ടറുകളും ഇന്റർഫേസ് AD ഒബ്‌ജക്റ്റുകൾക്കുള്ള അനുമതികൾ സജ്ജമാക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു. AD ACL-കൾ ഉപയോഗിക്കുന്നു, അഡ്മിനിസ്ട്രേറ്റർമാർക്ക് ആക്‌സസ് അനുവദിക്കാനോ നിരസിക്കാനോ ഇവ ഉപയോഗിക്കാം. ADUC വ്യൂ മെനുവിൽ "അഡ്വാൻസ്ഡ്" ക്ലിക്ക് ചെയ്യുക, തുടർന്ന്, നിങ്ങൾ ഒരു ഉപയോക്താവിനെ തുറക്കുമ്പോൾ, നിങ്ങൾക്ക് "സുരക്ഷ" ടാബ് കാണാൻ കഴിയും, അവിടെ നിങ്ങൾക്ക് ACL-കൾ സജ്ജമാക്കാൻ കഴിയും.

എന്റെ Cruella സാഹചര്യത്തിൽ, എല്ലാ Authenticated ഉപയോക്താക്കൾക്കും അവരുടെ സ്വകാര്യ വിവരങ്ങൾ കാണാൻ കഴിയണമെന്ന് ഞാൻ ആഗ്രഹിച്ചില്ല, അതിനാൽ ഞാൻ അവർക്ക് വായിക്കാനുള്ള ആക്‌സസ് നിഷേധിച്ചു:

ഇനി ഒരു സാധാരണ ഉപയോക്താവ് PowerView-ൽ Get-NetUser പരീക്ഷിച്ചു നോക്കിയാൽ ഇത് കാണും:

ഉപയോഗപ്രദമായ വിവരങ്ങൾ രഹസ്യമായി സൂക്ഷിക്കാൻ എനിക്ക് കഴിഞ്ഞു. പ്രസക്തമായ ഉപയോക്താക്കൾക്ക് ആക്‌സസ് നിലനിർത്തുന്നതിനായി, VIP ഗ്രൂപ്പിലെ അംഗങ്ങൾക്ക് (ക്രൂല്ലയും അവരുടെ മറ്റ് ഉന്നത സഹപ്രവർത്തകരും) ഈ സെൻസിറ്റീവ് ഡാറ്റ ആക്‌സസ് ചെയ്യാൻ അനുവദിക്കുന്നതിനായി ഞാൻ മറ്റൊരു ACL സൃഷ്ടിച്ചു. മറ്റൊരു വിധത്തിൽ പറഞ്ഞാൽ, റോൾ അധിഷ്ഠിത AD അനുമതികൾ ഞാൻ നടപ്പിലാക്കി, ഇത് സെൻസിറ്റീവ് ഡാറ്റ മിക്ക ജീവനക്കാർക്കും, പ്രത്യേകിച്ച് ഇൻസൈഡർമാർക്ക് ആക്‌സസ് ചെയ്യാൻ കഴിയില്ലാതാക്കി.

എന്നിരുന്നാലും, AD-യിലെ ഗ്രൂപ്പ് ഒബ്‌ജക്റ്റിൽ ഉചിതമായ ACL സജ്ജീകരിച്ചുകൊണ്ട് നിങ്ങൾക്ക് ഗ്രൂപ്പ് അംഗത്വം ഉപയോക്താക്കൾക്ക് അദൃശ്യമാക്കാൻ കഴിയും. ഇത് സ്വകാര്യതയും സുരക്ഷയും ഉറപ്പാക്കാൻ സഹായിക്കും.

അതിൽ ഇതിഹാസ പെന്റസ്റ്റുകളുടെ പരമ്പര PowerViews-ന്റെ Get-NetGroupMember കമാൻഡ് ഉപയോഗിച്ച് സിസ്റ്റം എങ്ങനെ നാവിഗേറ്റ് ചെയ്യാമെന്നും ഗ്രൂപ്പ് അംഗത്വം പരിശോധിക്കാമെന്നും ഞാൻ പ്രദർശിപ്പിച്ചു. എന്റെ സാഹചര്യത്തിൽ, ഒരു പ്രത്യേക ഗ്രൂപ്പിന്റെ അംഗത്വത്തിലേക്കുള്ള വായനാ ആക്‌സസ് ഞാൻ നിയന്ത്രിച്ചു. മാറ്റങ്ങൾക്ക് മുമ്പും ശേഷവും നിങ്ങൾക്ക് കമാൻഡിന്റെ ഔട്ട്‌പുട്ട് കാണാൻ കഴിയും:

ക്രുല്ലയുടെയും മോണ്ടി ബേൺസിന്റെയും വിഐപി ഗ്രൂപ്പിലെ അംഗത്വം മറയ്ക്കാൻ എനിക്ക് കഴിഞ്ഞു, ഇത് ഹാക്കർമാർക്കും ഇൻസൈഡർമാർക്കും അടിസ്ഥാന സൗകര്യങ്ങളുടെ നിരീക്ഷണം നടത്തുന്നത് കൂടുതൽ ബുദ്ധിമുട്ടാക്കി.

ഈ പോസ്റ്റ് നിങ്ങളെ കൃഷിയിടങ്ങളെ സൂക്ഷ്മമായി പരിശോധിക്കാൻ പ്രേരിപ്പിക്കുക എന്നതായിരുന്നു.
AD യും അതുമായി ബന്ധപ്പെട്ട അനുമതികളും. AD ഒരു മികച്ച ഉറവിടമാണ്, പക്ഷേ നിങ്ങൾ എങ്ങനെ ചെയ്യുമെന്ന് പരിഗണിക്കുക
രഹസ്യ വിവരങ്ങളും വ്യക്തിഗത ഡാറ്റയും പങ്കിടാൻ ആഗ്രഹിച്ചു, പ്രത്യേകിച്ച്,
നിങ്ങളുടെ സ്ഥാപനത്തിലെ ഉന്നത ഉദ്യോഗസ്ഥരുടെ കാര്യം വരുമ്പോൾ.  

അവലംബം: www.habr.com