ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਡੇਟਾ ਗੋਪਨੀਯਤਾ ਸਮੱਸਿਆ

ਮੈਂ ਵਰਤ ਕੇ ਪ੍ਰਵੇਸ਼ ਟੈਸਟ ਕੀਤਾ ਹੈ ਪਾਵਰਵਿiew и использовал его для извлечения информации о пользователях из Active Directory (далее – AD). В то время я делал акцент на сборе информации о членстве в группах безопасности, а затем использовал эту информацию, чтобы перемещаться по сети. В любом случае, AD содержит конфиденциальные данные о сотрудниках, некоторые из них действительно не должны быть доступны всем в организации. Фактически в файловых системах Windows существует эквивалентная "ਹਰ ਕੋਈ" ਸਮੱਸਿਆ, ਜਿਸਦੀ ਵਰਤੋਂ ਅੰਦਰੂਨੀ ਅਤੇ ਬਾਹਰੀ ਹਮਲਾਵਰਾਂ ਦੁਆਰਾ ਵੀ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।

ਪਰ ਇਸ ਤੋਂ ਪਹਿਲਾਂ ਕਿ ਅਸੀਂ ਗੋਪਨੀਯਤਾ ਮੁੱਦਿਆਂ ਬਾਰੇ ਗੱਲ ਕਰੀਏ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਕਿਵੇਂ ਠੀਕ ਕਰਨਾ ਹੈ, ਆਓ AD ਵਿੱਚ ਸਟੋਰ ਕੀਤੇ ਡੇਟਾ 'ਤੇ ਇੱਕ ਨਜ਼ਰ ਮਾਰੀਏ।

ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਕਾਰਪੋਰੇਟ ਫੇਸਬੁੱਕ ਹੈ

ਪਰ ਇਸ ਮਾਮਲੇ ਵਿੱਚ, ਤੁਸੀਂ ਪਹਿਲਾਂ ਹੀ ਹਰ ਕਿਸੇ ਨਾਲ ਦੋਸਤੀ ਕਰ ਲਈ ਹੈ! ਹੋ ਸਕਦਾ ਹੈ ਕਿ ਤੁਸੀਂ ਆਪਣੇ ਸਹਿਕਰਮੀਆਂ ਦੀਆਂ ਮਨਪਸੰਦ ਫ਼ਿਲਮਾਂ, ਕਿਤਾਬਾਂ ਜਾਂ ਰੈਸਟੋਰੈਂਟਾਂ ਬਾਰੇ ਨਾ ਜਾਣਦੇ ਹੋਵੋ, ਪਰ AD ਵਿੱਚ ਸੰਵੇਦਨਸ਼ੀਲ ਸੰਪਰਕ ਜਾਣਕਾਰੀ ਸ਼ਾਮਲ ਹੈ।
ਡੇਟਾ ਅਤੇ ਹੋਰ ਖੇਤਰ ਜੋ ਹੈਕਰਾਂ ਅਤੇ ਇੱਥੋਂ ਤੱਕ ਕਿ ਅੰਦਰੂਨੀ ਲੋਕਾਂ ਦੁਆਰਾ ਵਿਸ਼ੇਸ਼ ਤਕਨੀਕੀ ਹੁਨਰਾਂ ਤੋਂ ਬਿਨਾਂ ਵਰਤੇ ਜਾ ਸਕਦੇ ਹਨ।

ਸਿਸਟਮ ਪ੍ਰਸ਼ਾਸਕ ਬੇਸ਼ਕ ਹੇਠਾਂ ਦਿੱਤੇ ਸਕ੍ਰੀਨਸ਼ਾਟ ਤੋਂ ਜਾਣੂ ਹਨ। ਇਹ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਯੂਜ਼ਰਸ ਐਂਡ ਕੰਪਿਊਟਰਜ਼ (ADUC) ਇੰਟਰਫੇਸ ਹੈ ਜਿੱਥੇ ਉਹ ਉਪਭੋਗਤਾ ਜਾਣਕਾਰੀ ਨੂੰ ਸੈੱਟ ਅਤੇ ਸੰਪਾਦਿਤ ਕਰਦੇ ਹਨ ਅਤੇ ਉਪਭੋਗਤਾਵਾਂ ਨੂੰ ਉਚਿਤ ਸਮੂਹਾਂ ਨੂੰ ਸੌਂਪਦੇ ਹਨ।

AD ਵਿੱਚ ਕਰਮਚਾਰੀ ਦਾ ਨਾਮ, ਪਤਾ, ਅਤੇ ਫ਼ੋਨ ਨੰਬਰ ਲਈ ਖੇਤਰ ਸ਼ਾਮਲ ਹੁੰਦੇ ਹਨ, ਇਸਲਈ ਇਹ ਇੱਕ ਟੈਲੀਫੋਨ ਡਾਇਰੈਕਟਰੀ ਦੇ ਸਮਾਨ ਹੈ। ਪਰ ਹੋਰ ਵੀ ਬਹੁਤ ਕੁਝ ਹੈ! ਹੋਰ ਟੈਬਾਂ ਵਿੱਚ ਈਮੇਲ ਅਤੇ ਵੈੱਬ ਪਤਾ, ਲਾਈਨ ਮੈਨੇਜਰ, ਅਤੇ ਨੋਟਸ ਵੀ ਸ਼ਾਮਲ ਹਨ।

ਕੀ ਸੰਗਠਨ ਵਿੱਚ ਹਰ ਕਿਸੇ ਨੂੰ ਇਹ ਜਾਣਕਾਰੀ ਦੇਖਣ ਦੀ ਲੋੜ ਹੈ, ਖਾਸ ਕਰਕੇ ਇੱਕ ਯੁੱਗ ਵਿੱਚ OSINT, ਜਦੋਂ ਹਰ ਨਵਾਂ ਵੇਰਵਾ ਹੋਰ ਜਾਣਕਾਰੀ ਲਈ ਖੋਜ ਕਰਨਾ ਹੋਰ ਵੀ ਆਸਾਨ ਬਣਾਉਂਦਾ ਹੈ?

ਬਿਲਕੁੱਲ ਨਹੀਂ! ਸਮੱਸਿਆ ਉਦੋਂ ਵਧ ਜਾਂਦੀ ਹੈ ਜਦੋਂ ਕਿਸੇ ਕੰਪਨੀ ਦੇ ਉੱਚ ਪ੍ਰਬੰਧਨ ਤੋਂ ਡੇਟਾ ਸਾਰੇ ਕਰਮਚਾਰੀਆਂ ਲਈ ਉਪਲਬਧ ਹੁੰਦਾ ਹੈ.

ਹਰ ਕਿਸੇ ਲਈ ਪਾਵਰਵਿਊ

ਇਹ ਉਹ ਥਾਂ ਹੈ ਜਿੱਥੇ ਪਾਵਰਵਿਊ ਖੇਡ ਵਿੱਚ ਆਉਂਦਾ ਹੈ। ਇਹ ਅੰਡਰਲਾਈੰਗ (ਅਤੇ ਉਲਝਣ ਵਾਲੇ) Win32 ਫੰਕਸ਼ਨਾਂ ਲਈ ਇੱਕ ਬਹੁਤ ਹੀ ਉਪਭੋਗਤਾ-ਅਨੁਕੂਲ ਪਾਵਰਸ਼ੇਲ ਇੰਟਰਫੇਸ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ ਜੋ AD ਤੱਕ ਪਹੁੰਚ ਕਰਦੇ ਹਨ। ਸੰਖੇਪ ਵਿੱਚ:
ਇਹ AD ਖੇਤਰਾਂ ਨੂੰ ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਨਾ ਇੱਕ ਬਹੁਤ ਹੀ ਛੋਟਾ cmdlet ਟਾਈਪ ਕਰਨ ਜਿੰਨਾ ਆਸਾਨ ਬਣਾਉਂਦਾ ਹੈ।

ਆਉ ਕ੍ਰੂਏਲਾ ਡੇਵਿਲ ਦੇ ਇੱਕ ਕਰਮਚਾਰੀ ਬਾਰੇ ਜਾਣਕਾਰੀ ਇਕੱਠੀ ਕਰਨ ਦੀ ਇੱਕ ਉਦਾਹਰਣ ਲਈਏ, ਜੋ ਕੰਪਨੀ ਦੇ ਨੇਤਾਵਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ। ਅਜਿਹਾ ਕਰਨ ਲਈ, PowerView get-NetUser cmdlet ਦੀ ਵਰਤੋਂ ਕਰੋ:

ਪਾਵਰਵਿਊ ਨੂੰ ਸਥਾਪਿਤ ਕਰਨਾ ਕੋਈ ਗੰਭੀਰ ਸਮੱਸਿਆ ਨਹੀਂ ਹੈ - ਪੰਨੇ 'ਤੇ ਆਪਣੇ ਲਈ ਦੇਖੋ GitHub. ਅਤੇ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ, ਤੁਹਾਨੂੰ ਬਹੁਤ ਸਾਰੀਆਂ ਪਾਵਰਵਿਊ ਕਮਾਂਡਾਂ, ਜਿਵੇਂ ਕਿ get-NetUser ਨੂੰ ਚਲਾਉਣ ਲਈ ਉੱਚੇ ਅਧਿਕਾਰਾਂ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਇਸ ਤਰੀਕੇ ਨਾਲ, ਇੱਕ ਪ੍ਰੇਰਿਤ ਪਰ ਬਹੁਤ ਜ਼ਿਆਦਾ ਤਕਨੀਕੀ-ਸਮਝਦਾਰ ਕਰਮਚਾਰੀ ਬਿਨਾਂ ਜ਼ਿਆਦਾ ਕੋਸ਼ਿਸ਼ ਕੀਤੇ AD ਨਾਲ ਟਿੰਕਰਿੰਗ ਸ਼ੁਰੂ ਕਰ ਸਕਦਾ ਹੈ।

ਉਪਰੋਕਤ ਸਕ੍ਰੀਨਸ਼ੌਟ ਤੋਂ, ਤੁਸੀਂ ਦੇਖ ਸਕਦੇ ਹੋ ਕਿ ਇੱਕ ਅੰਦਰੂਨੀ ਕ੍ਰੂਏਲਾ ਬਾਰੇ ਬਹੁਤ ਕੁਝ ਸਿੱਖ ਸਕਦਾ ਹੈ. ਕੀ ਤੁਸੀਂ ਇਹ ਵੀ ਦੇਖਿਆ ਹੈ ਕਿ "ਜਾਣਕਾਰੀ" ਖੇਤਰ ਉਪਭੋਗਤਾ ਦੀਆਂ ਨਿੱਜੀ ਆਦਤਾਂ ਅਤੇ ਪਾਸਵਰਡ ਬਾਰੇ ਜਾਣਕਾਰੀ ਪ੍ਰਗਟ ਕਰਦਾ ਹੈ?

ਇਹ ਕੋਈ ਸਿਧਾਂਤਕ ਸੰਭਾਵਨਾ ਨਹੀਂ ਹੈ। ਤੋਂ ਹੋਰ ਪੇਂਟਸਟਰਾਂ ਨਾਲ ਸੰਵਾਦ ਮੈਂ ਸਿੱਖਿਆ ਕਿ ਉਹ ਪਲੇਨ ਟੈਕਸਟ ਪਾਸਵਰਡ ਲੱਭਣ ਲਈ AD ਨੂੰ ਸਕੈਨ ਕਰਦੇ ਹਨ, ਅਤੇ ਅਕਸਰ ਇਹ ਕੋਸ਼ਿਸ਼ਾਂ ਬਦਕਿਸਮਤੀ ਨਾਲ ਸਫਲ ਹੁੰਦੀਆਂ ਹਨ। ਉਹ ਜਾਣਦੇ ਹਨ ਕਿ ਕੰਪਨੀਆਂ AD ਵਿੱਚ ਜਾਣਕਾਰੀ ਤੋਂ ਲਾਪਰਵਾਹ ਹਨ, ਅਤੇ ਉਹ ਅਗਲੇ ਵਿਸ਼ੇ ਤੋਂ ਅਣਜਾਣ ਹਨ: AD ਅਨੁਮਤੀਆਂ।

ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਦੇ ਆਪਣੇ ACL ਹਨ

AD ਉਪਭੋਗਤਾ ਅਤੇ ਕੰਪਿਊਟਰ ਇੰਟਰਫੇਸ ਤੁਹਾਨੂੰ AD ਵਸਤੂਆਂ 'ਤੇ ਅਨੁਮਤੀਆਂ ਸੈਟ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ। AD ਕੋਲ ACLs ਹਨ ਅਤੇ ਪ੍ਰਸ਼ਾਸਕ ਉਹਨਾਂ ਦੁਆਰਾ ਪਹੁੰਚ ਪ੍ਰਦਾਨ ਜਾਂ ਅਸਵੀਕਾਰ ਕਰ ਸਕਦੇ ਹਨ। ਤੁਹਾਨੂੰ ADUC ਵਿਊ ਮੀਨੂ ਵਿੱਚ "ਐਡਵਾਂਸਡ" ਤੇ ਕਲਿਕ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਅਤੇ ਫਿਰ ਜਦੋਂ ਤੁਸੀਂ ਉਪਭੋਗਤਾ ਨੂੰ ਖੋਲ੍ਹਦੇ ਹੋ ਤਾਂ ਤੁਸੀਂ "ਸੁਰੱਖਿਆ" ਟੈਬ ਵੇਖੋਗੇ ਜਿੱਥੇ ਤੁਸੀਂ ACL ਸੈਟ ਕਰਦੇ ਹੋ।

ਮੇਰੇ ਕ੍ਰੂਏਲਾ ਦ੍ਰਿਸ਼ ਵਿੱਚ, ਮੈਂ ਨਹੀਂ ਚਾਹੁੰਦਾ ਸੀ ਕਿ ਸਾਰੇ ਪ੍ਰਮਾਣਿਤ ਉਪਭੋਗਤਾ ਉਸਦੀ ਨਿੱਜੀ ਜਾਣਕਾਰੀ ਦੇਖਣ ਦੇ ਯੋਗ ਹੋਣ, ਇਸਲਈ ਮੈਂ ਉਹਨਾਂ ਨੂੰ ਪੜ੍ਹਨ ਦੀ ਪਹੁੰਚ ਤੋਂ ਇਨਕਾਰ ਕਰ ਦਿੱਤਾ:

ਅਤੇ ਹੁਣ ਇੱਕ ਆਮ ਉਪਭੋਗਤਾ ਇਸਨੂੰ ਦੇਖੇਗਾ ਜੇਕਰ ਉਹ PowerView ਵਿੱਚ Get-NetUser ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦੇ ਹਨ:

ਮੈਂ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਲਾਭਦਾਇਕ ਜਾਣਕਾਰੀ ਨੂੰ ਅੱਖਾਂ ਤੋਂ ਛੁਪਾਉਣ ਵਿੱਚ ਕਾਮਯਾਬ ਰਿਹਾ. ਇਸ ਨੂੰ ਸੰਬੰਧਿਤ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਪਹੁੰਚਯੋਗ ਰੱਖਣ ਲਈ, ਮੈਂ VIP ਸਮੂਹ ਦੇ ਮੈਂਬਰਾਂ (ਕ੍ਰੂਏਲਾ ਅਤੇ ਉਸਦੇ ਹੋਰ ਉੱਚ-ਰੈਂਕਿੰਗ ਸਹਿਕਰਮੀਆਂ) ਨੂੰ ਇਸ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਤੱਕ ਪਹੁੰਚ ਕਰਨ ਦੀ ਆਗਿਆ ਦੇਣ ਲਈ ਇੱਕ ਹੋਰ ACL ਬਣਾਇਆ ਹੈ। ਦੂਜੇ ਸ਼ਬਦਾਂ ਵਿੱਚ, ਮੈਂ ਇੱਕ ਰੋਲ ਮਾਡਲ ਦੇ ਆਧਾਰ 'ਤੇ AD ਅਨੁਮਤੀਆਂ ਨੂੰ ਲਾਗੂ ਕੀਤਾ ਹੈ, ਜਿਸ ਨੇ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ ਨੂੰ ਅੰਦਰੂਨੀ ਸਮੇਤ ਜ਼ਿਆਦਾਤਰ ਕਰਮਚਾਰੀਆਂ ਲਈ ਪਹੁੰਚਯੋਗ ਨਹੀਂ ਬਣਾਇਆ।

ਹਾਲਾਂਕਿ, ਤੁਸੀਂ ਉਸ ਅਨੁਸਾਰ AD ਵਿੱਚ ਗਰੁੱਪ ਆਬਜੈਕਟ ਉੱਤੇ ACL ਸੈਟ ਕਰਕੇ ਸਮੂਹ ਮੈਂਬਰਸ਼ਿਪ ਨੂੰ ਉਪਭੋਗਤਾਵਾਂ ਲਈ ਅਦਿੱਖ ਬਣਾ ਸਕਦੇ ਹੋ। ਇਹ ਨਿੱਜਤਾ ਅਤੇ ਸੁਰੱਖਿਆ ਦੇ ਲਿਹਾਜ਼ ਨਾਲ ਮਦਦ ਕਰੇਗਾ।

ਉਸਦੇ ਵਿੱਚ ਮਹਾਂਕਾਵਿ ਪੈਂਟਸਟਾਂ ਦੀ ਲੜੀ ਮੈਂ ਦਿਖਾਇਆ ਕਿ ਤੁਸੀਂ PowerViews Get-NetGroupMember ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਗਰੁੱਪ ਮੈਂਬਰਸ਼ਿਪ ਦੀ ਜਾਂਚ ਕਰਕੇ ਸਿਸਟਮ ਨੂੰ ਕਿਵੇਂ ਨੈਵੀਗੇਟ ਕਰ ਸਕਦੇ ਹੋ। ਮੇਰੀ ਸਕ੍ਰਿਪਟ ਵਿੱਚ, ਮੈਂ ਇੱਕ ਖਾਸ ਸਮੂਹ ਵਿੱਚ ਸਦੱਸਤਾ ਤੱਕ ਪੜ੍ਹਨ ਦੀ ਪਹੁੰਚ ਨੂੰ ਪ੍ਰਤਿਬੰਧਿਤ ਕੀਤਾ ਹੈ। ਤੁਸੀਂ ਤਬਦੀਲੀਆਂ ਤੋਂ ਪਹਿਲਾਂ ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਕਮਾਂਡ ਚਲਾਉਣ ਦਾ ਨਤੀਜਾ ਦੇਖ ਸਕਦੇ ਹੋ:

ਮੈਂ ਵੀਆਈਪੀ ਸਮੂਹ ਵਿੱਚ ਕ੍ਰੂਏਲਾ ਅਤੇ ਮੋਂਟੀ ਬਰਨਜ਼ ਦੀ ਸਦੱਸਤਾ ਨੂੰ ਲੁਕਾਉਣ ਦੇ ਯੋਗ ਸੀ, ਜਿਸ ਨਾਲ ਹੈਕਰਾਂ ਅਤੇ ਅੰਦਰੂਨੀ ਲੋਕਾਂ ਲਈ ਬੁਨਿਆਦੀ ਢਾਂਚੇ ਦੀ ਖੋਜ ਕਰਨਾ ਮੁਸ਼ਕਲ ਹੋ ਗਿਆ ਸੀ।

ਇਸ ਪੋਸਟ ਦਾ ਉਦੇਸ਼ ਤੁਹਾਨੂੰ ਖੇਤਾਂ 'ਤੇ ਨੇੜਿਓਂ ਦੇਖਣ ਲਈ ਪ੍ਰੇਰਿਤ ਕਰਨਾ ਸੀ
AD ਅਤੇ ਸੰਬੰਧਿਤ ਅਨੁਮਤੀਆਂ। AD ਇੱਕ ਵਧੀਆ ਸਰੋਤ ਹੈ, ਪਰ ਇਸ ਬਾਰੇ ਸੋਚੋ ਕਿ ਤੁਸੀਂ ਕਿਵੇਂ ਕਰੋਗੇ
ਖਾਸ ਤੌਰ 'ਤੇ ਗੁਪਤ ਜਾਣਕਾਰੀ ਅਤੇ ਨਿੱਜੀ ਡੇਟਾ ਨੂੰ ਸਾਂਝਾ ਕਰਨਾ ਚਾਹੁੰਦਾ ਸੀ
ਜਦੋਂ ਤੁਹਾਡੀ ਸੰਸਥਾ ਦੇ ਉੱਚ ਅਧਿਕਾਰੀਆਂ ਦੀ ਗੱਲ ਆਉਂਦੀ ਹੈ।  

ਸਰੋਤ: www.habr.com