सक्रिय निर्देशिकामा डाटा गोपनीयता मुद्दा

मैले प्रयोग गरी प्रवेश परीक्षण गरेको छु पावरभ्यू र यसलाई सक्रिय डाइरेक्टरीबाट प्रयोगकर्ता जानकारी पुन: प्राप्त गर्न प्रयोग गरियो (यसपछि AD भनिन्छ)। त्यस समयमा, मेरो जोड सुरक्षा समूह सदस्यता जानकारी सङ्कलन र त्यसपछि नेटवर्क नेभिगेट गर्न त्यो जानकारी प्रयोग गर्न थियो। कुनै पनि तरिकाले, AD ले संवेदनशील कर्मचारी डेटा समावेश गर्दछ, जसमध्ये केही वास्तवमा संगठनमा सबैको लागि पहुँचयोग्य हुनु हुँदैन। वास्तवमा, विन्डोज फाइल प्रणालीहरूमा त्यहाँ एक बराबर छ "सबैलाई" समस्या, जुन दुवै आन्तरिक र बाह्य आक्रमणकारीहरू द्वारा प्रयोग गर्न सकिन्छ।

तर हामीले गोपनीयता मुद्दाहरू र तिनीहरूलाई कसरी समाधान गर्ने बारे कुरा गर्नु अघि, AD मा भण्डारण गरिएको डाटालाई हेरौं।

सक्रिय निर्देशिका कर्पोरेट फेसबुक हो

तर यस अवस्थामा, तपाईंले पहिले नै सबैसँग मित्रता बनाउनुभएको छ! तपाईलाई आफ्ना सहकर्मीहरूको मनपर्ने चलचित्रहरू, पुस्तकहरू, वा रेस्टुरेन्टहरूको बारेमा थाहा नहुन सक्छ, तर AD ले संवेदनशील सम्पर्क जानकारी समावेश गर्दछ।
विशेष प्राविधिक सीपहरू बिना ह्याकरहरू र भित्री व्यक्तिहरूले प्रयोग गर्न सक्ने डेटा र अन्य क्षेत्रहरू।

प्रणाली प्रशासकहरू पक्कै पनि तलको स्क्रिनसटसँग परिचित छन्। यो एक्टिभ डाइरेक्टरी प्रयोगकर्ताहरू र कम्प्युटरहरू (ADUC) इन्टरफेस हो जहाँ तिनीहरूले प्रयोगकर्ता जानकारी सेट र सम्पादन गर्छन् र प्रयोगकर्ताहरूलाई उपयुक्त समूहहरूमा नियुक्त गर्छन्।

AD ले कर्मचारीको नाम, ठेगाना र फोन नम्बरका लागि क्षेत्रहरू समावेश गर्दछ, त्यसैले यो टेलिफोन डाइरेक्टरी जस्तै छ। तर त्यहाँ धेरै धेरै छ! अन्य ट्याबहरूमा इमेल र वेब ठेगाना, लाइन प्रबन्धक, र नोटहरू पनि समावेश छन्।

के संगठनमा सबैले यो जानकारी हेर्न आवश्यक छ, विशेष गरी युगमा OSINT, जब प्रत्येक नयाँ विवरणले थप जानकारी खोज्न अझ सजिलो बनाउँछ?

पक्कै होइन! कम्पनीको शीर्ष व्यवस्थापनबाट डाटा सबै कर्मचारीहरूलाई उपलब्ध हुँदा समस्या जटिल हुन्छ।

सबैका लागि PowerView

यो जहाँ PowerView खेलमा आउँछ। यसले AD पहुँच गर्ने अन्तर्निहित (र भ्रामक) Win32 प्रकार्यहरूमा धेरै प्रयोगकर्ता-अनुकूल PowerShell इन्टरफेस प्रदान गर्दछ। छोटकरीमा:
यसले AD क्षेत्रहरू पुन: प्राप्त गर्न धेरै छोटो cmdlet टाइप गर्न सजिलो बनाउँछ।

Cruella Deville को एक कर्मचारी को बारे मा जानकारी संकलन को एक उदाहरण लिनुहोस्, जो कम्पनी को नेताहरु मध्ये एक हो। यो गर्नको लागि, PowerView get-NetUser cmdlet प्रयोग गर्नुहोस्:

PowerView स्थापना गर्नु कुनै गम्भीर समस्या होइन - पृष्ठमा आफैलाई हेर्नुहोस् github। र अझ महत्त्वपूर्ण कुरा, तपाईंलाई धेरै PowerView आदेशहरू चलाउनको लागि उन्नत विशेषाधिकारहरू आवश्यक पर्दैन, जस्तै get-NetUser। यस तरिकाले, एक उत्प्रेरित तर धेरै प्राविधिक-ज्ञानी कर्मचारीले धेरै प्रयास बिना AD सँग टिंकर गर्न सुरु गर्न सक्छ।

माथिको स्क्रिनसटबाट, तपाईले देख्न सक्नुहुन्छ कि भित्री व्यक्तिले क्रुएलाको बारेमा धेरै कुरा सिक्न सक्छ। के तपाईंले यो पनि याद गर्नुभएको छ कि "जानकारी" फिल्डले प्रयोगकर्ताको व्यक्तिगत बानी र पासवर्ड बारे जानकारी प्रकट गर्दछ?

यो सैद्धान्तिक सम्भावना होइन। बाट अन्य पेन्टेस्टरहरूसँग संवाद मैले सिकें कि तिनीहरूले सादा पाठ पासवर्डहरू फेला पार्न AD स्क्यान गर्छन्, र प्रायः यी प्रयासहरू दुर्भाग्यवश सफल हुन्छन्। उनीहरूलाई थाहा छ कि कम्पनीहरू AD मा जानकारीको साथ लापरवाह छन्, र तिनीहरू अर्को विषय: AD अनुमतिहरू बारे अनजान हुन्छन्।

सक्रिय निर्देशिकाको आफ्नै ACL छ

AD प्रयोगकर्ता र कम्प्युटर इन्टरफेसले तपाईंलाई AD वस्तुहरूमा अनुमतिहरू सेट गर्न अनुमति दिन्छ। AD सँग ACL हरू छन् र प्रशासकहरूले तिनीहरू मार्फत पहुँच प्रदान गर्न वा अस्वीकार गर्न सक्छन्। तपाईंले ADUC दृश्य मेनुमा "उन्नत" क्लिक गर्न आवश्यक छ र त्यसपछि तपाईंले प्रयोगकर्ता खोल्दा तपाईंले ACL सेट गर्नुभएको "सुरक्षा" ट्याब देख्नुहुनेछ।

मेरो Cruella परिदृश्यमा, म सबै प्रमाणिकरण प्रयोगकर्ताहरूले उनको व्यक्तिगत जानकारी हेर्न सक्षम भएको चाहन्न, त्यसैले मैले तिनीहरूलाई पढ्ने पहुँच अस्वीकार गरें:

र अब एक सामान्य प्रयोगकर्ताले यो देख्नेछन् यदि तिनीहरूले PowerView मा Get-NetUser प्रयास गरे:

मैले प्रिङ्ग आँखाबाट स्पष्ट रूपमा उपयोगी जानकारी लुकाउन व्यवस्थित गरें। यसलाई सान्दर्भिक प्रयोगकर्ताहरूका लागि पहुँचयोग्य राख्नको लागि, मैले VIP समूहका सदस्यहरू (Cruella र उनका अन्य उच्च-स्तरीय सहकर्मीहरू) लाई यो संवेदनशील डेटा पहुँच गर्न अनुमति दिन अर्को ACL सिर्जना गरेको छु। अर्को शब्दमा, मैले एक रोल मोडेलको आधारमा AD अनुमतिहरू लागू गरें, जसले भित्री व्यक्तिहरू लगायत अधिकांश कर्मचारीहरूलाई संवेदनशील डेटा पहुँचयोग्य बनायो।

यद्यपि, तपाईले समूहको सदस्यतालाई AD मा समूह वस्तुमा ACL सेट गरेर प्रयोगकर्ताहरूलाई अदृश्य बनाउन सक्नुहुन्छ। यसले गोपनीयता र सुरक्षाको सन्दर्भमा मद्दत गर्नेछ।

उनको मा महाकाव्य पेन्टेस्टहरूको श्रृंखला मैले PowerViews Get-NetGroupMember को प्रयोग गरेर समूह सदस्यता जाँच गरेर प्रणालीलाई कसरी नेभिगेट गर्न सकिन्छ भनेर देखाएको छु। मेरो स्क्रिप्टमा, मैले एक विशेष समूहमा सदस्यतामा पढ्ने पहुँचलाई प्रतिबन्धित गरेको छु। तपाईंले परिवर्तनहरू अघि र पछि आदेश चलाउने परिणाम देख्न सक्नुहुन्छ:

मैले VIP समूहमा क्रुएला र मोन्टी बर्न्सको सदस्यता लुकाउन सक्षम भएँ, जसले ह्याकरहरू र भित्रीहरूलाई पूर्वाधारको खोजी गर्न गाह्रो बनायो।

यो पोष्ट तपाईंलाई क्षेत्रहरूमा नजिकबाट हेर्न उत्प्रेरित गर्ने उद्देश्यले गरिएको थियो
AD र सम्बन्धित अनुमतिहरू। AD एक महान स्रोत हो, तर सोच्नुहोस् कि तपाईं कसरी गर्नुहुन्छ
विशेष गरी गोप्य जानकारी र व्यक्तिगत डेटा साझा गर्न चाहन्थे
जब यो तपाइँको संगठन को शीर्ष अधिकारीहरु को लागी आउँछ।  

स्रोत: www.habr.com