{"id":53879,"date":"2019-12-12T00:00:00","date_gmt":"2019-12-11T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/problema-konfidentsialnosti-dannyh-v-active-directory"},"modified":"2020-02-18T14:01:49","modified_gmt":"2020-02-18T11:01:49","slug":"problema-konfidentsialnosti-dannyh-v-active-directory","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","title":{"rendered":"Het probleem van gegevensprivacy in Active Directory","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Het
\n
\nIk was bezig met penetratietests met behulp van PowerView<\/a><\/noindex> en gebruikte het om informatie over gebruikers uit Active Directory (hierna \u2013 AD) te extraheren. In die tijd legde ik de nadruk op het verzamelen van informatie over lidmaatschappen in beveiligingsgroepen en gebruikte vervolgens deze informatie om door het netwerk te navigeren. Hoe dan ook, AD bevat gevoelige gegevens over medewerkers, waarvan sommige werkelijk niet voor iedereen binnen de organisatie toegankelijk zouden moeten zijn. In feite bestaat er in Windows-bestandssystemen een equivalente \u2018Everyone\u2019 problematiek<\/a><\/noindex>, die zowel door interne als door externe aanvallers kan worden misbruikt.<\/p>\n

Maar voordat we het hebben over privacyproblemen en manieren om deze aan te pakken, laten we eens kijken naar de gegevens die in AD worden opgeslagen.
\n<\/a><\/noindex><\/p>\n

Active Directory is als een zakelijke Facebook <\/h2>\n

\nMaar in dit geval ben je al vrienden met iedereen! Misschien weet je niet wat de favoriete films, boeken en restaurants zijn van je collega's, maar AD bevat gevoelige contactgegevens
\nen andere velden die door hackers en zelfs insiders zonder al te veel technische vaardigheden kunnen worden gebruikt.<\/p>\n

Systeembeheerders zijn natuurlijk bekend met de onderstaande schermafdruk. Dit is de interface van Active Directory Users and Computers (ADUC), waar ze informatie over gebruikers instellen en bewerken, en gebruikers toewijzen aan de juiste groepen.<\/p>\n

\"Het
\n
\nAD bevat velden met de naam van de medewerker, adres en telefoonnummer, waardoor het lijkt op een telefoongids. Maar er is veel meer! Op andere tabbladen zijn er ook e-mailadressen en webadressen, directe leidinggevende en notities.<\/p>\n

Moet iedereen in de organisatie deze informatie zien, vooral in het tijdperk van OSINT<\/a><\/noindex>, waarin elk nieuw detail het zoeken naar aanvullende informatie nog gemakkelijker maakt?<\/p>\n

Natuurlijk niet! Het probleem wordt verergerd wanneer gegevens van het hogere management van het bedrijf voor alle medewerkers toegankelijk zijn.<\/p>\n

PowerView voor iedereen<\/h2>\n

\nHier komt PowerView in het spel. Het biedt een zeer gebruiksvriendelijke PowerShell-interface voor de onderliggende (en complexe) Win32-functies die toegang krijgen tot AD. Kortom:
\nmaakt het ophalen van AD-velden net zo eenvoudig als het invoeren van een zeer kort cmdlet.<\/p>\n

Laten we een voorbeeld nemen van het verzamelen van informatie over de medewerker Cruella Deville, die een van de leidinggevenden van het bedrijf is. Hiervoor gebruiken we de PowerView cmdlet get-NetUser:<\/p>\n

\"Het
\n
\nDe installatie van PowerView is geen groot probleem \u2013 overtuigd u zelf op de pagina github<\/a><\/noindex>. En belangrijker nog, je hebt geen verhoogde privileges nodig om veel PowerView-commando's uit te voeren, zoals get-NetUser. Zo kan een gemotiveerde, maar niet erg technisch onderlegde medewerker beginnen te rommelen in AD zonder al te veel moeite.<\/p>\n

Uit de bovenstaande screenshot blijkt dat een insider snel veel nieuws kan leren over Cruella. Heeft u ook opgemerkt dat in het veld 'info' informatie over persoonlijke gewoonten en het wachtwoord van de gebruiker wordt onthuld?<\/p>\n

Dit is geen theoretische mogelijkheid. Uit gesprekken met andere pentesters<\/a><\/noindex> leerde ik dat zij AD scannen op wachtwoorden in niet-gecodeerde vorm, en vaak zijn deze pogingen, helaas, succesvol. Ze weten dat bedrijven nalatig omgaan met informatie in AD, en zijn meestal niet op de hoogte van het volgende onderwerp \u2013 machtigingen in AD.<\/p>\n

In Active Directory zijn er eigen ACL's<\/h2>\n

\nDe interface AD Users and Computers maakt het mogelijk om machtigingen voor AD-objecten in te stellen. In AD zijn er ACL's en beheerders kunnen toegang via deze instellen of verbieden. Je moet op 'Geavanceerd' klikken in het menu ADUC-weergave, en wanneer je de gebruiker opent, zie je de tab 'Beveiliging', waar je de ACL instelt. <\/p>\n

In mijn scenario met Cruella wilde ik niet dat alle geverifieerde gebruikers (Authenticated Users) haar persoonlijke informatie konden zien, dus heb ik hen de toegang tot lezen ontzegd:<\/p>\n

\"Het
\n
\nEn nu zal een normale gebruiker dit zien als hij probeert Get-NetUser in PowerView uit te voeren:<\/p>\n

\"Het
\n
\nIk heb erin geslaagd om waardevolle informatie voor onbevoegden te verbergen. Om toegang tot deze gegevens voor relevante gebruikers te behouden, heb ik een andere ACL gemaakt om leden van de VIP-groep (Cruella en andere hooggeplaatste collega\u2019s) toegang te geven tot deze vertrouwelijke gegevens. Met andere woorden, ik heb AD-machtigingsbeleid op basis van een rolmodel ge\u00efmplementeerd, waardoor gevoelige gegevens niet toegankelijk zijn voor de meeste medewerkers, inclusief insiders.<\/p>\n

Toch kun je het lidmaatschap van de groep onzichtbaar maken voor gebruikers, door de ACL voor het groepobject in AD dienovereenkomstig in te stellen. Dit helpt met betrekking tot privacy en veiligheid.<\/p>\n

In mijn epische pentest series<\/a><\/noindex> ik heb laten zien hoe je door het systeem kunt navigeren door groepslidmaatschappen te onderzoeken met PowerViews Get-NetGroupMember. In mijn scenario heb ik de leesrechten beperkt tot het lidmaatschap van een specifieke groep. Je ziet het resultaat van de opdracht v\u00f3\u00f3r en na de wijzigingen:<\/p>\n

\"Het
\n
\nIk slaagde erin om het lidmaatschap van Cruella en Monty Burns in de VIP-groep te verbergen, wat het voor hackers en insiders moeilijker maakte om de infrastructuur te verkennen.<\/p>\n

Dit bericht was bedoeld om je aan te moedigen om meer aandacht te besteden aan de velden
\nAD en de daarmee verbonden machtigingen. AD is een uitstekende hulpbron, maar denk na over hoe je
\ngevoelige informatie en persoonlijke gegevens zou willen delen, vooral
\nals het gaat om de leiders van jouw organisatie. \u00a0
\n
Bron: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430 \u043f\u0440\u043e\u043d\u0438\u043a\u043d\u043e\u0432\u0435\u043d\u0438\u0435 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c PowerView \u0438 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u0435\u0433\u043e \u0434\u043b\u044f \u0438\u0437\u0432\u043b\u0435\u0447\u0435\u043d\u0438\u044f \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f\u0445 \u0438\u0437 Active Directory (\u0434\u0430\u043b\u0435\u0435 \u2013 AD). \u0412 \u0442\u043e \u0432\u0440\u0435\u043c\u044f \u044f \u0434\u0435\u043b\u0430\u043b \u0430\u043a\u0446\u0435\u043d\u0442 \u043d\u0430 \u0441\u0431\u043e\u0440\u0435 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u0438 \u043e \u0447\u043b\u0435\u043d\u0441\u0442\u0432\u0435 \u0432 \u0433\u0440\u0443\u043f\u043f\u0430\u0445 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438, \u0430 \u0437\u0430\u0442\u0435\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043b \u044d\u0442\u0443 \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u0447\u0442\u043e\u0431\u044b \u043f\u0435\u0440\u0435\u043c\u0435\u0449\u0430\u0442\u044c\u0441\u044f \u043f\u043e \u0441\u0435\u0442\u0438. \u0412 \u043b\u044e\u0431\u043e\u043c \u0441\u043b\u0443\u0447\u0430\u0435, AD \u0441\u043e\u0434\u0435\u0440\u0436\u0438\u0442 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u044b\u0435 \u0434\u0430\u043d\u043d\u044b\u0435 \u043e \u0441\u043e\u0442\u0440\u0443\u0434\u043d\u0438\u043a\u0430\u0445, \u043d\u0435\u043a\u043e\u0442\u043e\u0440\u044b\u0435 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-53879","post","type-post","status-publish","format-standard","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Probleem van gegevensprivacy in Active Directory | ProHoster","description":"Ik was bezig met testen op.","canonical_url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"nl_NL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 \u0434\u0430\u043d\u043d\u044b\u0445 \u0432 Active Directory | ProHoster","og:description":"\u042f \u0437\u0430\u043d\u0438\u043c\u0430\u043b\u0441\u044f \u0442\u0435\u0441\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u044f\u043c\u0438 \u043d\u0430.","og:url":"https:\/\/prohoster.info\/nl\/blog\/administrirovanie\/problema-konfidentsialnosti-dannyh-v-active-directory","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-12-11T21:00:00+00:00","article:modified_time":"2020-02-18T11:01:49+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"53879","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 09:08:21","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:16:27","updated":"2026-01-24 09:08:21","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/53879","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/comments?post=53879"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/posts\/53879\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/media?parent=53879"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/categories?post=53879"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/nl\/wp-json\/wp\/v2\/tags?post=53879"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}