वॅरोनिस डॅशबोर्डमधील 7 प्रमुख सक्रिय निर्देशिका जोखीम निर्देशक

आक्रमणकर्त्याला तुमच्या नेटवर्कमध्ये प्रवेश करण्यासाठी वेळ आणि प्रेरणा आवश्यक आहे. पण आपले काम त्याला हे करण्यापासून रोखणे किंवा किमान हे काम शक्य तितके कठीण करणे हे आहे. तुम्हाला सक्रिय निर्देशिका (यापुढे AD म्हणून संदर्भित) मधील कमकुवतता ओळखून प्रारंभ करणे आवश्यक आहे ज्याचा वापर आक्रमणकर्ता प्रवेश मिळवण्यासाठी आणि शोधल्याशिवाय नेटवर्कभोवती फिरण्यासाठी करू शकतो. आज या लेखात आम्ही उदाहरण म्हणून AD Varonis डॅशबोर्ड वापरून तुमच्या संस्थेच्या सायबर संरक्षणातील विद्यमान असुरक्षा प्रतिबिंबित करणारे जोखीम निर्देशक पाहू.

आक्रमणकर्ते डोमेनमध्ये विशिष्ट कॉन्फिगरेशन वापरतात

हल्लेखोर कॉर्पोरेट नेटवर्कमध्ये प्रवेश करण्यासाठी आणि विशेषाधिकार वाढवण्यासाठी विविध चतुर तंत्र आणि असुरक्षा वापरतात. यापैकी काही असुरक्षा डोमेन कॉन्फिगरेशन सेटिंग्ज आहेत ज्या एकदा ओळखल्यानंतर सहजपणे बदलल्या जाऊ शकतात.

जर तुम्ही (किंवा तुमच्या सिस्टीम प्रशासकांनी) गेल्या महिन्यात KRBTGT पासवर्ड बदलला नसेल किंवा एखाद्याने डिफॉल्ट अंगभूत प्रशासक खात्याने प्रमाणीकृत केले असेल तर AD डॅशबोर्ड तुम्हाला ताबडतोब अलर्ट करेल. ही दोन खाती तुमच्या नेटवर्कवर अमर्यादित प्रवेश प्रदान करतात: आक्रमणकर्ते विशेषाधिकार आणि प्रवेश परवानग्यांमधील कोणत्याही निर्बंधांना सहजतेने बायपास करण्यासाठी त्यांच्यामध्ये प्रवेश मिळवण्याचा प्रयत्न करतील. आणि, परिणामी, त्यांना स्वारस्य असलेल्या कोणत्याही डेटामध्ये प्रवेश मिळतो.

अर्थात, तुम्ही या भेद्यता स्वतः शोधू शकता: उदाहरणार्थ, ही माहिती गोळा करण्यासाठी पॉवरशेल स्क्रिप्ट तपासण्यासाठी किंवा चालवण्यासाठी कॅलेंडर स्मरणपत्र सेट करा.

Varonis डॅशबोर्ड अद्यतनित केले जात आहे आपोआप संभाव्य असुरक्षा हायलाइट करणार्‍या मुख्य मेट्रिक्सचे द्रुत दृश्यमानता आणि विश्लेषण प्रदान करण्यासाठी जेणेकरुन तुम्ही त्यांना संबोधित करण्यासाठी त्वरित कारवाई करू शकता.

3 मुख्य डोमेन पातळी जोखीम निर्देशक

खाली वरोनिस डॅशबोर्डवर अनेक विजेट्स उपलब्ध आहेत, ज्याचा वापर कॉर्पोरेट नेटवर्क आणि संपूर्ण IT पायाभूत सुविधांच्या संरक्षणात लक्षणीय वाढ करेल.

1. ज्या डोमेनसाठी Kerberos खात्याचा संकेतशब्द लक्षणीय कालावधीसाठी बदलला गेला नाही अशा डोमेनची संख्या

KRBTGT खाते हे AD मधील एक विशेष खाते आहे जे प्रत्येक गोष्टीवर स्वाक्षरी करते Kerberos तिकिटे . डोमेन कंट्रोलर (DC) मध्ये प्रवेश मिळवणारे हल्लेखोर हे खाते तयार करण्यासाठी वापरू शकतात सुवर्ण तिकीट, जे त्यांना कॉर्पोरेट नेटवर्कवरील जवळजवळ कोणत्याही प्रणालीमध्ये अमर्यादित प्रवेश देईल. आम्हाला अशी परिस्थिती आली जिथे, यशस्वीरित्या गोल्डन तिकीट मिळवल्यानंतर, आक्रमणकर्त्याला संस्थेच्या नेटवर्कमध्ये दोन वर्षांपर्यंत प्रवेश होता. तुमच्या कंपनीतील KRBTGT खात्याचा पासवर्ड गेल्या चाळीस दिवसांत बदलला नसल्यास, विजेट तुम्हाला याबद्दल सूचित करेल.

आक्रमणकर्त्याला नेटवर्कमध्ये प्रवेश मिळवण्यासाठी चाळीस दिवस हा पुरेसा वेळ आहे. तथापि, आपण नियमितपणे हा पासवर्ड बदलण्याच्या प्रक्रियेची अंमलबजावणी आणि मानकीकरण केल्यास, आक्रमणकर्त्यासाठी आपल्या कॉर्पोरेट नेटवर्कमध्ये प्रवेश करणे अधिक कठीण होईल.

लक्षात ठेवा की Microsoft च्या Kerberos प्रोटोकॉलच्या अंमलबजावणीनुसार, आपण हे करणे आवश्यक आहे दोनदा पासवर्ड बदला KRBTGT.

भविष्यात, तुमच्या नेटवर्कवरील सर्व डोमेनसाठी KRBTGT पासवर्ड बदलण्याची वेळ आल्यावर हे AD विजेट तुम्हाला आठवण करून देईल.

2. डोमेनची संख्या जिथे अंगभूत प्रशासक खाते अलीकडे वापरले होते

मते किमान विशेषाधिकाराचे तत्त्व — सिस्टम प्रशासकांना दोन खाती प्रदान केली जातात: पहिले खाते दैनंदिन वापरासाठी आहे आणि दुसरे नियोजित प्रशासकीय कामासाठी आहे. याचा अर्थ असा की कोणीही डीफॉल्ट प्रशासक खाते वापरू नये.

अंगभूत प्रशासक खाते सहसा सिस्टम प्रशासन प्रक्रिया सुलभ करण्यासाठी वापरले जाते. ही एक वाईट सवय होऊ शकते, परिणामी हॅकिंग होऊ शकते. तुमच्या संस्थेमध्ये असे घडल्यास, तुम्हाला या खात्याचा योग्य वापर आणि संभाव्य दुर्भावनायुक्त प्रवेश यामध्ये फरक करण्यात अडचण येईल.

विजेट शून्य व्यतिरिक्त काहीही दर्शवित असल्यास, कोणीतरी प्रशासकीय खात्यांसह योग्यरित्या कार्य करत नाही. या प्रकरणात, आपण बिल्ट-इन प्रशासक खात्यात प्रवेश दुरुस्त करण्यासाठी आणि मर्यादित करण्यासाठी पावले उचलली पाहिजेत.
एकदा तुम्ही विजेटचे शून्य मूल्य प्राप्त केले आणि सिस्टम प्रशासक यापुढे त्यांच्या कामासाठी हे खाते वापरणार नाहीत, नंतर भविष्यात, त्यात कोणताही बदल संभाव्य सायबर हल्ला सूचित करेल.

3. संरक्षित वापरकर्त्यांचा समूह नसलेल्या डोमेनची संख्या

AD च्या जुन्या आवृत्त्यांनी कमकुवत एन्क्रिप्शन प्रकार - RC4 समर्थित केले. हॅकर्सनी बर्‍याच वर्षांपूर्वी RC4 हॅक केले होते आणि आता RC4 वापरत असलेले खाते हॅक करणे हे आक्रमणकर्त्यासाठी खूप क्षुल्लक काम आहे. Windows Server 2012 मध्ये सादर केलेल्या Active Directory च्या आवृत्तीने Protected Users Group नावाचा नवीन प्रकारचा वापरकर्ता गट सादर केला. हे अतिरिक्त सुरक्षा साधने प्रदान करते आणि RC4 एनक्रिप्शन वापरून वापरकर्त्याचे प्रमाणीकरण प्रतिबंधित करते.

संस्थेतील कोणत्याही डोमेनमध्ये असा गट गहाळ असल्यास हे विजेट दाखवेल जेणेकरून तुम्ही त्याचे निराकरण करू शकता, उदा. संरक्षित वापरकर्त्यांचा गट सक्षम करा आणि पायाभूत सुविधांचे संरक्षण करण्यासाठी त्याचा वापर करा.

हल्लेखोरांसाठी सोपे लक्ष्य

वापरकर्ता खाती हल्लेखोरांसाठी प्रथम क्रमांकाचे लक्ष्य आहेत, सुरुवातीच्या घुसखोरीच्या प्रयत्नांपासून ते विशेषाधिकारांच्या सतत वाढीसाठी आणि त्यांच्या क्रियाकलाप लपविण्यापर्यंत. हल्लेखोर मूलभूत पॉवरशेल कमांड वापरून तुमच्या नेटवर्कवर साधे लक्ष्य शोधतात ज्यांचा शोध घेणे अनेकदा कठीण असते. शक्य तितक्या AD मधून यापैकी बरेच सोपे लक्ष्य काढा.

आक्रमणकर्ते कधीही कालबाह्य न होणारे पासवर्ड (किंवा ज्यांना पासवर्डची आवश्यकता नाही), प्रशासक असलेली तंत्रज्ञान खाती आणि लेगसी RC4 एन्क्रिप्शन वापरणारी खाती असलेले वापरकर्ते शोधत आहेत.

यापैकी कोणतीही खाती प्रवेश करण्यासाठी एकतर क्षुल्लक आहेत किंवा सामान्यतः निरीक्षण केले जात नाहीत. हल्लेखोर ही खाती ताब्यात घेऊ शकतात आणि तुमच्या पायाभूत सुविधांमध्ये मुक्तपणे फिरू शकतात.

एकदा हल्लेखोरांनी सुरक्षा परिघात प्रवेश केला की, त्यांना किमान एका खात्यात प्रवेश मिळण्याची शक्यता आहे. हल्ला आढळून येण्यापूर्वी तुम्ही त्यांना संवेदनशील डेटामध्ये प्रवेश मिळवण्यापासून रोखू शकता का?

Varonis AD डॅशबोर्ड असुरक्षित वापरकर्ता खाती दर्शवेल जेणेकरुन तुम्ही समस्यांचे सक्रियपणे निवारण करू शकता. तुमच्या नेटवर्कमध्ये प्रवेश करणे जितके कठीण आहे, आक्रमणकर्त्याने गंभीर नुकसान होण्याआधी ते निष्प्रभावी होण्याची शक्यता जास्त आहे.

वापरकर्ता खात्यांसाठी 4 प्रमुख जोखीम निर्देशक

खाली वरोनिस AD डॅशबोर्ड विजेट्सची उदाहरणे आहेत जी सर्वात असुरक्षित वापरकर्ता खाती हायलाइट करतात.

1. कधीही कालबाह्य न होणार्‍या पासवर्डसह सक्रिय वापरकर्त्यांची संख्या

कोणत्याही आक्रमणकर्त्यासाठी अशा खात्यात प्रवेश मिळवणे नेहमीच मोठे यश असते. पासवर्ड कधीही कालबाह्य होत नसल्यामुळे, आक्रमणकर्त्याचा नेटवर्कमध्ये कायमचा पाय ठेवला जातो, ज्याचा नंतर वापर केला जाऊ शकतो विशेषाधिकार वाढ किंवा पायाभूत सुविधांमधील हालचाली.
हल्लेखोरांकडे लाखो वापरकर्ता-संकेतशब्द संयोजनांची सूची आहे जी ते क्रेडेन्शियल स्टफिंग हल्ल्यांमध्ये वापरतात आणि शक्यता आहे
वापरकर्त्यासाठी "शाश्वत" पासवर्ड असलेले संयोजन यापैकी एका सूचीमध्ये आहे, शून्यापेक्षा खूप मोठे आहे.

कालबाह्य नसलेले पासवर्ड असलेली खाती व्यवस्थापित करणे सोपे आहे, परंतु ते सुरक्षित नाहीत. असे पासवर्ड असलेली सर्व खाती शोधण्यासाठी हे विजेट वापरा. ही सेटिंग बदला आणि तुमचा पासवर्ड अपडेट करा.

एकदा या विजेटचे मूल्य शून्यावर सेट केले की, त्या पासवर्डसह तयार केलेली कोणतीही नवीन खाती डॅशबोर्डवर दिसतील.

2. SPN सह प्रशासकीय खात्यांची संख्या

SPN (सर्व्हिस प्रिन्सिपल नेम) हे सेवेच्या उदाहरणाचे अद्वितीय ओळखकर्ता आहे. हे विजेट दाखवते की किती सेवा खात्यांना पूर्ण प्रशासक अधिकार आहेत. विजेटवरील मूल्य शून्य असणे आवश्यक आहे. प्रशासकीय अधिकारांसह SPN उद्भवते कारण असे अधिकार प्रदान करणे सॉफ्टवेअर विक्रेते आणि ऍप्लिकेशन प्रशासकांसाठी सोयीचे असते, परंतु यामुळे सुरक्षिततेचा धोका असतो.

सेवा खात्याचे प्रशासकीय अधिकार दिल्याने आक्रमणकर्त्याला वापरात नसलेल्या खात्यावर पूर्ण प्रवेश मिळू शकतो. याचा अर्थ असा की SPN खात्यांमध्ये प्रवेश असलेले आक्रमणकर्ते त्यांच्या क्रियाकलापांचे परीक्षण न करता पायाभूत सुविधांमध्ये मुक्तपणे कार्य करू शकतात.

सेवा खात्यांवरील परवानग्या बदलून तुम्ही या समस्येचे निराकरण करू शकता. अशी खाती किमान विशेषाधिकाराच्या तत्त्वाच्या अधीन असली पाहिजेत आणि त्यांच्या ऑपरेशनसाठी प्रत्यक्षात आवश्यक असलेला प्रवेश असावा.

या विजेटचा वापर करून, तुम्ही प्रशासकीय अधिकार असलेले सर्व SPN शोधू शकता, असे विशेषाधिकार काढून टाकू शकता आणि नंतर किमान विशेषाधिकारप्राप्त प्रवेशाचे समान तत्त्व वापरून SPN चे निरीक्षण करू शकता.

नवीन दिसणारा SPN डॅशबोर्डवर प्रदर्शित केला जाईल आणि तुम्ही या प्रक्रियेचे निरीक्षण करण्यास सक्षम असाल.

3. Kerberos प्री-ऑथेंटिकेशन आवश्यक नसलेल्या वापरकर्त्यांची संख्या

तद्वतच, Kerberos AES-256 एनक्रिप्शन वापरून प्रमाणीकरण तिकीट कूटबद्ध करते, जे आजपर्यंत अटूट आहे.

तथापि, Kerberos च्या जुन्या आवृत्त्यांमध्ये RC4 एन्क्रिप्शन वापरले जाते, जे आता काही मिनिटांत खंडित केले जाऊ शकते. हे विजेट दाखवते की कोणती वापरकर्ता खाती अजूनही RC4 वापरत आहेत. मायक्रोसॉफ्ट अजूनही बॅकवर्ड कंपॅटिबिलिटीसाठी RC4 चे समर्थन करते, परंतु याचा अर्थ असा नाही की तुम्ही ते तुमच्या AD मध्ये वापरावे.

एकदा तुम्ही अशी खाती ओळखल्यानंतर, खात्यांना अधिक अत्याधुनिक एन्क्रिप्शन वापरण्याची सक्ती करण्यासाठी तुम्हाला AD मध्ये "Kerberos पूर्व-अधिकृतीकरण आवश्यक नाही" चेकबॉक्स अनचेक करणे आवश्यक आहे.

Varonis AD डॅशबोर्डशिवाय ही खाती स्वतः शोधण्यात खूप वेळ लागतो. प्रत्यक्षात, RC4 एन्क्रिप्शन वापरण्यासाठी संपादित केलेल्या सर्व खात्यांबद्दल जागरूक असणे हे आणखी कठीण काम आहे.

विजेटवरील मूल्य बदलल्यास, हे अवैध क्रियाकलाप सूचित करू शकते.

4. पासवर्डशिवाय वापरकर्त्यांची संख्या

खाते गुणधर्मांमधील AD वरून “PASSWD_NOTREQD” ध्वज वाचण्यासाठी आक्रमणकर्ते मूलभूत PowerShell आदेश वापरतात. या ध्वजाचा वापर सूचित करतो की कोणतीही पासवर्ड आवश्यकता किंवा जटिलतेची आवश्यकता नाही.
साध्या किंवा रिक्त पासवर्डसह खाते चोरणे किती सोपे आहे? आता कल्पना करा की यापैकी एक खाते प्रशासक आहे.

प्रत्येकासाठी उघडलेल्या हजारो गोपनीय फायलींपैकी एक आगामी आर्थिक अहवाल असेल तर?

अनिवार्य पासवर्ड आवश्यकतेकडे दुर्लक्ष करणे हा आणखी एक सिस्टम प्रशासन शॉर्टकट आहे जो पूर्वी अनेकदा वापरला जात होता, परंतु आज स्वीकार्य किंवा सुरक्षित नाही.

या खात्यांसाठी पासवर्ड अपडेट करून या समस्येचे निराकरण करा.

भविष्यात या विजेटचे निरीक्षण केल्याने तुम्हाला पासवर्डशिवाय खाती टाळण्यास मदत होईल.

वरोनिस विषमता समसमान करते

भूतकाळात, या लेखात वर्णन केलेल्या मेट्रिक्सचे संकलन आणि विश्लेषण करण्याच्या कामाला अनेक तास लागत होते आणि पॉवरशेलचे सखोल ज्ञान आवश्यक होते, सुरक्षा संघांना दर आठवड्याला किंवा महिन्याला अशा कार्यांसाठी संसाधने वाटप करणे आवश्यक होते. परंतु या माहितीचे मॅन्युअल संकलन आणि प्रक्रिया केल्याने हल्लेखोरांना डेटामध्ये घुसखोरी आणि चोरी करण्यास सुरवात होते.

С वरोनिस तुम्ही AD डॅशबोर्ड आणि अतिरिक्त घटक तैनात करण्यासाठी, चर्चा केलेल्या सर्व असुरक्षा गोळा करण्यासाठी आणि बरेच काही करण्यासाठी एक दिवस घालवाल. भविष्यात, ऑपरेशन दरम्यान, पायाभूत सुविधांची स्थिती बदलल्यामुळे मॉनिटरिंग पॅनेल स्वयंचलितपणे अद्यतनित केले जाईल.

सायबर हल्ले करणे ही नेहमीच हल्लेखोर आणि बचावकर्ते यांच्यातील एक शर्यत असते, सुरक्षा तज्ञांनी त्यात प्रवेश अवरोधित करण्यापूर्वी आक्रमणकर्त्याची डेटा चोरण्याची इच्छा असते. हल्लेखोरांची लवकर ओळख आणि त्यांच्या बेकायदेशीर क्रियाकलाप, मजबूत सायबर संरक्षणासह, तुमचा डेटा सुरक्षित ठेवण्याची गुरुकिल्ली आहे.

स्त्रोत: www.habr.com