7 кључних индикатора ризика активног директоријума на Варонис контролној табли

Све што је нападачу потребно је време и мотивација да провали у вашу мрежу. Али наш посао је да га спречимо у томе, или бар да му што више отежамо овај задатак. Морате да почнете тако што ћете идентификовати слабости у активном директоријуму (у даљем тексту АД) које нападач може да користи да добије приступ и да се креће по мрежи, а да га не открије. Данас ћемо у овом чланку погледати индикаторе ризика који одражавају постојеће рањивости у сајбер одбрани ваше организације, користећи АД Варонис контролну таблу као пример.

Нападачи користе одређене конфигурације у домену

Нападачи користе разне паметне технике и рањивости да продру у корпоративне мреже и ескалирају привилегије. Неке од ових рањивости су поставке конфигурације домена које се могу лако променити када се идентификују.

АД контролна табла ће вас одмах упозорити ако ви (или ваши системски администратори) нисте променили КРБТГТ лозинку у последњих месец дана или ако је неко извршио аутентификацију помоћу подразумеваног уграђеног администраторског налога. Ова два налога пружају неограничен приступ вашој мрежи: нападачи ће покушати да им приступе како би лако заобишли сва ограничења у привилегијама и дозволама за приступ. И, као резултат, добијају приступ свим подацима који их занимају.

Наравно, можете сами да откријете ове пропусте: на пример, поставите подсетник у календару да проверите или покренете ПоверСхелл скрипту за прикупљање ових информација.

Варонис контролна табла се ажурира аутоматски да бисте обезбедили брзу видљивост и анализу кључних показатеља који истичу потенцијалне рањивости како бисте могли да предузмете хитне мере да их решите.

3 Кључни индикатори ризика на нивоу домена

Испод је низ виџета доступних на Варонис контролној табли, чија употреба ће значајно побољшати заштиту корпоративне мреже и ИТ инфраструктуре у целини.

1. Број домена за које лозинка Керберос налога није мењана у значајном временском периоду

КРБТГТ рачун је посебан рачун у АД који све потписује Керберос карте . Нападачи који добију приступ контролеру домена (ДЦ) могу користити овај налог за креирање Златна карта, што ће им омогућити неограничен приступ скоро сваком систему на корпоративној мрежи. Наишли смо на ситуацију у којој је, након успешног добијања Златне карте, нападач имао приступ мрежи организације две године. Ако лозинка КРБТГТ налога у вашој компанији није промењена у последњих четрдесет дана, виџет ће вас обавестити о томе.

Четрдесет дана је више него довољно времена да нападач добије приступ мрежи. Међутим, ако редовно спроводите и стандардизујете процес промене ове лозинке, нападачу ће бити много теже да упадне у вашу корпоративну мрежу.

Запамтите да, према Мицрософтовој имплементацији Керберос протокола, морате промените лозинку два пута КРБТГТ.

У будућности, овај АД виџет ће вас подсећати када је време да поново промените КРБТГТ лозинку за све домене на вашој мрежи.

2. Број домена на којима је недавно коришћен уграђени администраторски налог

Према принцип најмање привилегија — администраторима система су обезбеђена два налога: први је налог за свакодневну употребу, а други је за планиране административне послове. То значи да нико не би требало да користи подразумевани администраторски налог.

Уграђени администраторски налог се често користи за поједностављење процеса администрације система. Ово може постати лоша навика, што може довести до хаковања. Ако се то догоди у вашој организацији, имаћете потешкоћа да разликујете правилно коришћење овог налога и потенцијално злонамерни приступ.

Ако виџет приказује било шта осим нуле, онда неко не ради исправно са административним налозима. У том случају морате предузети кораке да исправите и ограничите приступ уграђеном администраторском налогу.
Када постигнете нулту вредност виџета и систем администратори више не користе овај налог за свој рад, онда ће у будућности свака промена на њему указивати на потенцијални сајбер напад.

3. Број домена који немају групу Заштићених корисника

Старије верзије АД подржавале су слаб тип шифровања - РЦ4. Хакери су хаковали РЦ4 пре много година, а сада је врло тривијалан задатак за нападача да хакује налог који још увек користи РЦ4. Верзија Ацтиве Дирецтори-а представљена у Виндовс Сервер 2012 увела је нови тип групе корисника под називом Група заштићених корисника. Пружа додатне сигурносне алате и спречава аутентификацију корисника помоћу РЦ4 енкрипције.

Овај виџет ће показати да ли неком домену у организацији недостаје таква група, тако да можете да је поправите, тј. омогући групу заштићених корисника и користи је за заштиту инфраструктуре.

Лаке мете за нападаче

Кориснички налози су мета број један за нападаче, од почетних покушаја упада до континуиране ескалације привилегија и прикривања њихових активности. Нападачи траже једноставне мете на вашој мрежи користећи основне ПоверСхелл команде које је често тешко открити. Уклоните што је могуће више ових лаких мета из АД.

Нападачи траже кориснике са лозинкама које никада не истичу (или којима нису потребне лозинке), технолошке налоге који су администратори и налоге који користе застарелу РЦ4 енкрипцију.

Било који од ових налога је или тривијалан за приступ или се генерално не надгледа. Нападачи могу преузети ове налоге и слободно се кретати унутар ваше инфраструктуре.

Када нападачи продру у безбедносни периметар, вероватно ће добити приступ најмање једном налогу. Можете ли их спречити да добију приступ осетљивим подацима пре него што напад буде откривен и обуздан?

Варонис АД контролна табла ће указати на рањиве корисничке налоге тако да можете проактивно да решавате проблеме. Што је теже продрети у вашу мрежу, веће су ваше шансе да неутралишете нападача пре него што изазове озбиљну штету.

4 Кључни индикатори ризика за корисничке налоге

Испод су примери Варонис АД виџета контролне табле који истичу најугроженије корисничке налоге.

1. Број активних корисника са лозинкама које никада не истичу

За сваког нападача добијање приступа таквом налогу је увек велики успех. Пошто лозинка никада не истиче, нападач има стално упориште унутар мреже, на шта се онда може користити ескалација привилегија или кретања унутар инфраструктуре.
Нападачи имају листе милиона комбинација корисничких и лозинки које користе у нападима пуњења акредитива, а вероватноћа је да
да је комбинација за корисника са „вечном“ лозинком на једној од ових листа, много већа од нуле.

Налозима са лозинкама које не истичу је лако управљати, али нису безбедни. Користите овај виџет да пронађете све налоге који имају такве лозинке. Промените ово подешавање и ажурирајте своју лозинку.

Када се вредност овог виџета постави на нулу, сви нови налози креирани са том лозинком ће се појавити на контролној табли.

2. Број административних налога са СПН

СПН (Сервице Принципал Наме) је јединствени идентификатор инстанце услуге. Овај виџет показује колико услужних налога има пуна администраторска права. Вредност на виџету мора бити нула. СПН са административним правима настаје зато што је давање таквих права погодно за продавце софтвера и администраторе апликација, али представља безбедносни ризик.

Давање административних права на налог услуге омогућава нападачу да добије потпуни приступ налогу који није у употреби. То значи да нападачи са приступом СПН налозима могу слободно да раде унутар инфраструктуре без праћења њихових активности.

Овај проблем можете да решите променом дозвола на услужним налозима. Такви налози треба да подлежу принципу најмањих привилегија и да имају само приступ који је заиста неопходан за њихово функционисање.

Користећи овај виџет, можете открити све СПН-ове који имају административна права, уклонити такве привилегије, а затим надгледати СПН-ове користећи исти принцип приступа најмање привилегованих права.

Новопојављени СПН ће бити приказан на контролној табли и моћи ћете да надгледате овај процес.

3. Број корисника којима није потребна Керберос претходна аутентикација

У идеалном случају, Керберос шифрира карту за аутентификацију користећи АЕС-256 енкрипцију, која је до данас нераскидива.

Међутим, старије верзије Кербероса су користиле РЦ4 енкрипцију, која се сада може разбити за неколико минута. Овај виџет показује који кориснички налози још увек користе РЦ4. Мицрософт и даље подржава РЦ4 за компатибилност уназад, али то не значи да треба да га користите у свом огласу.

Када идентификујете такве налоге, морате да поништите избор у пољу за потврду „не захтева Керберос пре-ауторизацију“ у АД да бисте натерали налоге да користе софистициранију енкрипцију.

Самостално откривање ових налога, без контролне табле Варонис АД, одузима много времена. У стварности, бити свестан свих налога који су уређени да користе РЦ4 енкрипцију је још тежи задатак.

Ако се вредност на виџету промени, то може указивати на незакониту активност.

4. Број корисника без лозинке

Нападачи користе основне ПоверСхелл команде да прочитају ознаку „ПАССВД_НОТРЕКД“ из АД у својствима налога. Коришћење ове заставице указује да не постоје захтеви за лозинком или захтеви за сложеношћу.
Колико је лако украсти налог са једноставном или празном лозинком? Сада замислите да је један од ових налога администратор.

Шта ако је један од хиљада поверљивих фајлова отворених за све предстојећи финансијски извештај?

Игнорисање обавезне лозинке је још једна пречица системске администрације која се често користила у прошлости, али данас није ни прихватљива ни безбедна.

Решите овај проблем ажурирањем лозинки за ове налоге.

Праћење овог виџета у будућности ће вам помоћи да избегнете налоге без лозинке.

Варонис изједначава шансе

У прошлости је посао прикупљања и анализе метрика описаних у овом чланку трајао много сати и захтевао је дубоко познавање ПоверСхелл-а, захтевајући од безбедносних тимова да додељују ресурсе за такве задатке сваке недеље или месеца. Али ручно прикупљање и обрада ових информација даје нападачима предност да се инфилтрирају и украду податке.

С Варонис Провешћете један дан да примените АД контролну таблу и додатне компоненте, прикупите све рањивости о којима се расправља и још много тога. У будућности, током рада, надзорни панел ће се аутоматски ажурирати како се стање инфраструктуре промени.

Извођење сајбер напада је увек трка између нападача и бранилаца, жеља нападача да украде податке пре него што стручњаци за безбедност могу да им блокирају приступ. Рано откривање нападача и њихових незаконитих активности, заједно са снажном сајбер одбраном, кључ је за чување ваших података безбедним.

Извор: ввв.хабр.цом