എക്സ്ചേഞ്ച് അപകടസാധ്യത: ഡൊമെയ്ൻ അഡ്മിനിസ്ട്രേറ്ററിലേക്കുള്ള പ്രിവിലേജ് എങ്ങനെ കണ്ടെത്താം

ഈ വർഷം കണ്ടെത്തി എക്സ്ചേഞ്ചിലെ ദുർബലത ഡൊമെയ്ൻ അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങൾ നേടാനും ആക്റ്റീവ് ഡയറക്ടറിയും (എഡി) മറ്റ് ബന്ധിപ്പിച്ച ഹോസ്റ്റുകളും വിട്ടുവീഴ്ച ചെയ്യാനും ഏതൊരു ഡൊമെയ്ൻ ഉപയോക്താവിനെയും അനുവദിക്കുന്നു. ഈ ആക്രമണം എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്നും അത് എങ്ങനെ കണ്ടെത്താമെന്നും ഇന്ന് ഞങ്ങൾ നിങ്ങളോട് പറയും.

ഈ ആക്രമണം എങ്ങനെ പ്രവർത്തിക്കുന്നു എന്നത് ഇതാ:

1. എക്‌സ്‌ചേഞ്ചിൽ നിന്നുള്ള പുഷ് അറിയിപ്പ് ഫീച്ചർ സബ്‌സ്‌ക്രൈബുചെയ്യുന്നതിന്, സജീവമായ മെയിൽബോക്‌സുള്ള ഏതൊരു ഡൊമെയ്ൻ ഉപയോക്താവിൻ്റെയും അക്കൗണ്ട് ആക്രമണകാരി ഏറ്റെടുക്കുന്നു.
2. എക്‌സ്‌ചേഞ്ച് സെർവറിനെ കബളിപ്പിക്കാൻ ആക്രമണകാരി NTLM റിലേ ഉപയോഗിക്കുന്നു: തൽഫലമായി, എക്‌സ്‌ചേഞ്ച് സെർവർ NTLM വഴി എച്ച്‌ടിടിപി രീതി ഉപയോഗിച്ച് അപഹരിക്കപ്പെട്ട ഉപയോക്താവിൻ്റെ കമ്പ്യൂട്ടറിലേക്ക് കണക്റ്റുചെയ്യുന്നു, ഇത് എക്‌സ്‌ചേഞ്ച് അക്കൗണ്ട് ക്രെഡൻഷ്യലുകൾ ഉപയോഗിച്ച് LDAP വഴി ഡൊമെയ്ൻ കൺട്രോളറിലേക്ക് പ്രാമാണീകരിക്കാൻ ആക്രമണകാരി ഉപയോഗിക്കുന്നു.
3. ആക്രമണകാരി അവരുടെ പ്രത്യേകാവകാശങ്ങൾ വർദ്ധിപ്പിക്കുന്നതിന് ഈ എക്സ്ചേഞ്ച് അക്കൗണ്ട് ക്രെഡൻഷ്യലുകൾ ഉപയോഗിക്കുന്നത് അവസാനിപ്പിക്കുന്നു. ആവശ്യമായ അനുമതി മാറ്റം വരുത്തുന്നതിന് ഇതിനകം നിയമാനുസൃതമായ ആക്‌സസ് ഉള്ള ഒരു ശത്രുതാപരമായ അഡ്മിനിസ്ട്രേറ്റർക്കും ഈ അവസാന ഘട്ടം നിർവഹിക്കാൻ കഴിയും. ഈ പ്രവർത്തനം കണ്ടെത്തുന്നതിന് ഒരു നിയമം സൃഷ്ടിക്കുന്നതിലൂടെ, ഇതിൽ നിന്നും സമാനമായ ആക്രമണങ്ങളിൽ നിന്നും നിങ്ങളെ സംരക്ഷിക്കും.

തുടർന്ന്, ഒരു ആക്രമണകാരിക്ക്, ഉദാഹരണത്തിന്, ഡൊമെയ്‌നിലെ എല്ലാ ഉപയോക്താക്കളുടെയും ഹാഷ് ചെയ്ത പാസ്‌വേഡുകൾ ലഭിക്കുന്നതിന് DCSync പ്രവർത്തിപ്പിക്കാൻ കഴിയും. ഗോൾഡൻ ടിക്കറ്റ് ആക്രമണം മുതൽ ഹാഷ് ട്രാൻസ്മിഷൻ വരെ - വിവിധ തരത്തിലുള്ള ആക്രമണങ്ങൾ നടപ്പിലാക്കാൻ ഇത് അവനെ അനുവദിക്കും.

വരോണിസ് റിസർച്ച് ടീം ഈ ആക്രമണ വെക്‌ടറിനെ വിശദമായി പഠിക്കുകയും ഞങ്ങളുടെ ഉപഭോക്താക്കൾക്ക് അത് കണ്ടെത്തുന്നതിന് ഒരു ഗൈഡ് തയ്യാറാക്കുകയും അതേ സമയം അവർ ഇതിനകം വിട്ടുവീഴ്ച ചെയ്തിട്ടുണ്ടോ എന്ന് പരിശോധിക്കുകയും ചെയ്തിട്ടുണ്ട്.

ഡൊമെയ്ൻ പ്രിവിലേജ് എസ്കലേഷൻ ഡിറ്റക്ഷൻ

В ഡാറ്റ അലേർട്ട് ഒരു ഒബ്‌ജക്‌റ്റിലെ നിർദ്ദിഷ്‌ട അനുമതികളിലെ മാറ്റങ്ങൾ ട്രാക്കുചെയ്യുന്നതിന് ഒരു ഇഷ്‌ടാനുസൃത നിയമം സൃഷ്‌ടിക്കുക. ഡൊമെയ്‌നിൽ താൽപ്പര്യമുള്ള ഒബ്‌ജക്റ്റിലേക്ക് അവകാശങ്ങളും അനുമതികളും ചേർക്കുമ്പോൾ ഇത് പ്രവർത്തനക്ഷമമാകും:

1. നിയമത്തിൻ്റെ പേര് വ്യക്തമാക്കുക
2. വിഭാഗത്തെ "പ്രിവിലേജിൻ്റെ ഉയർച്ച" ആയി സജ്ജമാക്കുക
3. റിസോഴ്സ് തരം "എല്ലാ റിസോഴ്സ് തരങ്ങളും" ആയി സജ്ജമാക്കുക
4. ഫയൽ സെർവർ = ഡയറക്ടറി സേവനങ്ങൾ
5. നിങ്ങൾക്ക് താൽപ്പര്യമുള്ള ഡൊമെയ്ൻ വ്യക്തമാക്കുക, ഉദാഹരണത്തിന്, പേര് പ്രകാരം
6. AD ഒബ്‌ജക്‌റ്റിൽ അനുമതികൾ ചേർക്കാൻ ഒരു ഫിൽട്ടർ ചേർക്കുക
7. കൂടാതെ "കുട്ടികളുടെ ഒബ്‌ജക്‌റ്റുകളിൽ തിരയുക" ഓപ്ഷൻ തിരഞ്ഞെടുക്കാതെ വിടാൻ മറക്കരുത്.

ഇപ്പോൾ റിപ്പോർട്ട്: ഒരു ഡൊമെയ്ൻ ഒബ്‌ജക്‌റ്റിൻ്റെ അവകാശങ്ങളിലെ മാറ്റങ്ങൾ കണ്ടെത്തൽ

AD ഒബ്‌ജക്‌റ്റ് അനുമതികളിലേക്കുള്ള മാറ്റങ്ങൾ വളരെ അപൂർവമാണ്, അതിനാൽ ഈ മുന്നറിയിപ്പിന് കാരണമായ എന്തും അന്വേഷിക്കേണ്ടതാണ്. നിയമത്തെ തന്നെ യുദ്ധത്തിലേക്ക് കൊണ്ടുവരുന്നതിന് മുമ്പ് റിപ്പോർട്ടിൻ്റെ രൂപവും ഉള്ളടക്കവും പരിശോധിക്കുന്നത് നല്ലതാണ്.

ഈ ആക്രമണത്തിൽ നിങ്ങൾ ഇതിനകം വിട്ടുവീഴ്ച ചെയ്തിട്ടുണ്ടോ എന്നും ഈ റിപ്പോർട്ട് കാണിക്കും:

ഒരിക്കൽ റൂൾ ആക്റ്റിവേറ്റ് ചെയ്തുകഴിഞ്ഞാൽ, DatAlert വെബ് ഇൻ്റർഫേസ് ഉപയോഗിച്ച് നിങ്ങൾക്ക് മറ്റെല്ലാ പ്രിവിലേജ് എസ്കലേഷൻ ഇവൻ്റുകളും അന്വേഷിക്കാം:

ഒരിക്കൽ നിങ്ങൾ ഈ നിയമം കോൺഫിഗർ ചെയ്‌തുകഴിഞ്ഞാൽ, ഇവയും സമാന തരത്തിലുള്ള സുരക്ഷാ കേടുപാടുകളും നിങ്ങൾക്ക് നിരീക്ഷിക്കാനും പരിരക്ഷിക്കാനും കഴിയും, AD ഡയറക്‌ടറി സേവന ഒബ്‌ജക്‌റ്റുകൾ ഉപയോഗിച്ച് ഇവൻ്റുകൾ അന്വേഷിക്കുക, കൂടാതെ ഈ ഗുരുതരമായ അപകടസാധ്യതയ്‌ക്ക് നിങ്ങൾ വിധേയരാണോ എന്ന് നിർണ്ണയിക്കുക.

അവലംബം: www.habr.com