एक्सचेन्ज कमजोरी: डोमेन प्रशासकलाई विशेषाधिकारको उचाइ कसरी पत्ता लगाउने

यो वर्ष पत्ता लाग्यो विनिमय मा जोखिम कुनै पनि डोमेन प्रयोगकर्तालाई डोमेन प्रशासक अधिकारहरू प्राप्त गर्न र सक्रिय निर्देशिका (AD) र अन्य जडान गरिएका होस्टहरू सम्झौता गर्न अनुमति दिन्छ। आज हामी तपाईलाई यो आक्रमण कसरी काम गर्छ र कसरी पत्ता लगाउने भनेर बताउनेछौं।

यहाँ यो आक्रमण कसरी काम गर्दछ:

1. एक आक्रमणकर्ताले एक्सचेन्जबाट पुश सूचना सुविधाको सदस्यता लिनको लागि सक्रिय मेलबक्सको साथ कुनै पनि डोमेन प्रयोगकर्ताको खाता लिन्छ।
2. आक्रमणकारीले एक्सचेन्ज सर्भरलाई छल गर्न NTLM रिले प्रयोग गर्दछ: नतिजा स्वरूप, एक्सचेन्ज सर्भरले एचटीटीपी विधिमा NTLM प्रयोग गरेर सम्झौता गरिएको प्रयोगकर्ताको कम्प्युटरमा जडान गर्दछ, जसलाई आक्रमणकारीले एक्सचेन्ज खाता प्रमाणहरू सहित LDAP मार्फत डोमेन नियन्त्रकमा प्रमाणीकरण गर्न प्रयोग गर्दछ।
3. आक्रमणकारीले आफ्ना विशेषाधिकारहरू बढाउनको लागि यी एक्सचेन्ज खाता प्रमाणहरू प्रयोग गरेर समाप्त हुन्छ। यो अन्तिम चरण पनि एक विरोधी प्रशासक द्वारा प्रदर्शन गर्न सकिन्छ जससँग पहिले नै आवश्यक अनुमति परिवर्तन गर्न वैध पहुँच छ। यो गतिविधि पत्ता लगाउन नियम बनाएर, तपाईं यो र यस्तै आक्रमणहरूबाट सुरक्षित हुनुहुनेछ।

पछि, आक्रमणकारीले, उदाहरणका लागि, डोमेनका सबै प्रयोगकर्ताहरूको ह्यास पासवर्डहरू प्राप्त गर्न DCSync चलाउन सक्छ। यसले उसलाई विभिन्न प्रकारका आक्रमणहरू लागू गर्न अनुमति दिनेछ - गोल्डेन टिकट आक्रमणहरूदेखि ह्यास ट्रान्समिशनसम्म।

Varonis अनुसन्धान टोलीले यस आक्रमण भेक्टरलाई विस्तृत रूपमा अध्ययन गरेको छ र हाम्रा ग्राहकहरूलाई यो पत्ता लगाउनको लागि एक गाइड तयार गरेको छ र एकै समयमा तिनीहरूसँग पहिले नै सम्झौता गरिएको छ कि छैन जाँच गर्नुहोस्।

डोमेन विशेषाधिकार एस्केलेसन पत्ता लगाउने

В डाटा अलर्ट वस्तुमा विशेष अनुमतिहरूमा परिवर्तनहरू ट्र्याक गर्न अनुकूलन नियम सिर्जना गर्नुहोस्। डोमेनमा रुचिको वस्तुमा अधिकार र अनुमतिहरू थप्दा यो ट्रिगर हुनेछ:

1. नियम नाम निर्दिष्ट गर्नुहोस्
2. वर्गलाई "विशेषाधिकारको उचाइ" मा सेट गर्नुहोस्
3. "सबै स्रोत प्रकारहरू" मा स्रोत प्रकार सेट गर्नुहोस्
4. फाइल सर्भर = DirectoryServices
5. तपाईंले रुचि राख्नु भएको डोमेन निर्दिष्ट गर्नुहोस्, उदाहरणका लागि, नामद्वारा
6. AD वस्तुमा अनुमतिहरू थप्न फिल्टर थप्नुहोस्
7. र "चाइल्ड वस्तुहरूमा खोजी गर्नुहोस्" विकल्प अचयनित छोड्न नबिर्सनुहोस्।

र अब रिपोर्ट: डोमेन वस्तु को अधिकार मा परिवर्तन को पहिचान

AD वस्तु अनुमतिहरूमा परिवर्तनहरू धेरै दुर्लभ छन्, त्यसैले यो चेतावनीलाई ट्रिगर गर्ने कुनै पनि कुराको छानबिन गरिनु पर्छ। यो पनि युद्धमा नियम सुरु गर्नु अघि रिपोर्टको उपस्थिति र सामग्री परीक्षण गर्न राम्रो विचार हुनेछ।

यो प्रतिवेदनले यो पनि देखाउनेछ कि यदि तपाइँ पहिले नै यो आक्रमणबाट सम्झौता गरिएको छ:

एक पटक नियम सक्रिय भएपछि, तपाईंले DatAlert वेब इन्टरफेस प्रयोग गरेर अन्य सबै विशेषाधिकार वृद्धि घटनाहरूको अनुसन्धान गर्न सक्नुहुन्छ:

एकचोटि तपाईंले यो नियम कन्फिगर गरेपछि, तपाईंले यी र यस्तै प्रकारका सुरक्षा कमजोरीहरू विरुद्ध निगरानी र सुरक्षा गर्न सक्नुहुन्छ, AD डाइरेक्टरी सेवा वस्तुहरूसँग घटनाहरूको अनुसन्धान गर्न सक्नुहुन्छ, र यदि तपाईं यो महत्वपूर्ण जोखिमको लागि संवेदनशील हुनुहुन्छ भने निर्धारण गर्न सक्नुहुन्छ।

स्रोत: www.habr.com