एक्सचेंज असुरक्षा: डोमेन प्रशासकाला विशेषाधिकाराची उन्नती कशी शोधायची

या वर्षी शोधला एक्सचेंजमधील असुरक्षा कोणत्याही डोमेन वापरकर्त्याला डोमेन प्रशासक अधिकार मिळविण्याची आणि सक्रिय निर्देशिका (AD) आणि इतर कनेक्ट केलेल्या होस्टशी तडजोड करण्याची परवानगी देते. आज आम्ही तुम्हाला हा हल्ला कसा काम करतो आणि तो कसा शोधायचा ते सांगणार आहोत.

हा हल्ला कसा कार्य करतो ते येथे आहे:

1. एक्सचेंजच्या पुश नोटिफिकेशन वैशिष्ट्याची सदस्यता घेण्यासाठी आक्रमणकर्ता सक्रिय मेलबॉक्स असलेल्या कोणत्याही डोमेन वापरकर्त्याचे खाते ताब्यात घेतो.
2. आक्रमणकर्ता एक्सचेंज सर्व्हरला फसवण्यासाठी NTLM रिले वापरतो: परिणामी, एक्सचेंज सर्व्हर NTLM ओव्हर HTTP पद्धतीचा वापर करून तडजोड केलेल्या वापरकर्त्याच्या संगणकाशी कनेक्ट होतो, ज्याचा वापर आक्रमणकर्ता नंतर एक्सचेंज खाते क्रेडेंशियल्ससह LDAP द्वारे डोमेन कंट्रोलरला प्रमाणीकृत करण्यासाठी करतो.
3. हल्लेखोर त्यांचे विशेषाधिकार वाढवण्यासाठी या एक्सचेंज खाते क्रेडेन्शियल्सचा वापर करून संपतो. ही शेवटची पायरी प्रतिकूल प्रशासकाद्वारे देखील केली जाऊ शकते ज्याला आवश्यक परवानगी बदल करण्यासाठी आधीच कायदेशीर प्रवेश आहे. ही गतिविधी शोधण्यासाठी नियम तयार करून, तुम्हाला या आणि तत्सम हल्ल्यांपासून संरक्षण मिळेल.

त्यानंतर, आक्रमणकर्ता, उदाहरणार्थ, डोमेनमधील सर्व वापरकर्त्यांचे हॅश केलेले पासवर्ड मिळविण्यासाठी DCSync चालवू शकतो. हे त्याला विविध प्रकारचे हल्ले अंमलात आणण्यास अनुमती देईल - गोल्डन तिकिट हल्ल्यांपासून हॅश ट्रान्समिशनपर्यंत.

वॅरोनिस संशोधन संघाने या अटॅक वेक्टरचा तपशीलवार अभ्यास केला आहे आणि आमच्या ग्राहकांना ते शोधण्यासाठी मार्गदर्शक तयार केले आहे आणि त्याच वेळी त्यांच्याशी तडजोड झाली आहे का ते तपासले आहे.

डोमेन प्रिव्हिलेज एस्केलेशन डिटेक्शन

В डेटा अलर्ट ऑब्जेक्टवरील विशिष्ट परवानग्यांमधील बदलांचा मागोवा घेण्यासाठी सानुकूल नियम तयार करा. डोमेनमधील स्वारस्य असलेल्या ऑब्जेक्टवर अधिकार आणि परवानग्या जोडताना ते ट्रिगर केले जाईल:

1. नियमाचे नाव निर्दिष्ट करा
2. श्रेणी "विशेषाधिकाराची उन्नती" वर सेट करा
3. "सर्व संसाधन प्रकार" वर संसाधन प्रकार सेट करा
4. फाइल सर्व्हर = DirectoryServices
5. तुम्हाला स्वारस्य असलेले डोमेन निर्दिष्ट करा, उदाहरणार्थ, नावाने
6. AD ऑब्जेक्टवर परवानग्या जोडण्यासाठी फिल्टर जोडा
7. आणि "सर्च इन चाइल्ड ऑब्जेक्ट्स" पर्याय न निवडलेला सोडण्यास विसरू नका.

आणि आता अहवाल: डोमेन ऑब्जेक्टच्या अधिकारांमधील बदलांचा शोध

AD ऑब्जेक्टवरील परवानग्यांमधील बदल अत्यंत दुर्मिळ आहेत, त्यामुळे या चेतावणीला चालना देणार्‍या कोणत्याही गोष्टीची चौकशी केली पाहिजे. नियम स्वतः युद्धात लाँच करण्यापूर्वी अहवालाचे स्वरूप आणि सामग्री तपासणे देखील चांगली कल्पना असेल.

या हल्ल्यामुळे तुमची आधीच तडजोड झाली असल्यास हा अहवाल देखील दर्शवेल:

एकदा नियम सक्रिय झाल्यानंतर, तुम्ही DatAlert वेब इंटरफेस वापरून इतर सर्व विशेषाधिकार वाढीच्या घटनांची तपासणी करू शकता:

एकदा तुम्ही हा नियम कॉन्फिगर केल्यावर, तुम्ही या आणि तत्सम प्रकारच्या सुरक्षितता भेद्यतेपासून देखरेख आणि संरक्षण करू शकता, AD निर्देशिका सेवा ऑब्जेक्ट्ससह इव्हेंटची तपासणी करू शकता आणि तुम्ही या गंभीर असुरक्षिततेसाठी संवेदनाक्षम आहात की नाही हे निर्धारित करू शकता.

स्त्रोत: www.habr.com