Рањивост размене: Како открити повећање привилегија администратору домена

Откривено ове године рањивост у Екцханге-у омогућава сваком кориснику домена да добије администраторска права домена и угрози Ацтиве Дирецтори (АД) и друге повезане хостове. Данас ћемо вам рећи како овај напад функционише и како га открити.

Ево како овај напад функционише:

1. Нападач преузима налог било ког корисника домена са активним поштанским сандучетом како би се претплатио на функцију пусх обавештења из Екцханге-а
2. Нападач користи НТЛМ релеј да превари Екцханге сервер: као резултат тога, Екцханге сервер се повезује са рачунаром компромитованог корисника користећи НТЛМ преко ХТТП методе, који нападач затим користи за аутентификацију контролеру домена преко ЛДАП-а са акредитивима Екцханге налога
3. Нападач на крају користи ове акредитиве Екцханге налога да би повећао сопствене привилегије. Овај последњи корак такође може да изврши непријатељски администратор који већ има легитиман приступ да изврши потребну промену дозволе. Креирањем правила за откривање ове активности бићете заштићени од овог и сличних напада.

Након тога, нападач би могао, на пример, да покрене ДЦСинц да би добио хеширане лозинке свих корисника у домену. Ово ће му омогућити да примени различите врсте напада - од напада са златним тикетом до хеш преноса.

Варонис истраживачки тим је детаљно проучио овај вектор напада и припремио водич за наше клијенте да га открију и да у исто време провере да ли су већ компромитовани.

Детекција ескалације привилегија домена

В ДатаАлерт Направите прилагођено правило за праћење промена одређених дозвола на објекту. Покреће се када се додају права и дозволе објекту од интереса у домену:

1. Наведите име правила
2. Подесите категорију на „Повишење привилегија“
3. Подесите тип ресурса на „Сви типови ресурса“
4. Филе Сервер = ДирецториСервицес
5. Наведите домен за који сте заинтересовани, на пример, именом
6. Додајте филтер да бисте додали дозволе за АД објекат
7. И не заборавите да не изаберете опцију „Тражи у подређеним објектима“.

А сада извештај: откривање промена права на објекту домена

Промене дозвола на АД објекту су прилично ретке, тако да све што је изазвало ово упозорење треба и треба да се истражи. Такође би било добро да тестирате изглед и садржај извештаја пре него што се само правило покрене у борбу.

Овај извештај ће такође показати да ли сте већ били компромитовани овим нападом:

Када се правило активира, можете истражити све друге догађаје ескалације привилегија користећи ДатАлерт веб интерфејс:

Када конфигуришете ово правило, можете да надгледате и штитите од ових и сличних типова безбедносних пропуста, да истражујете догађаје са објектима услуга АД директоријума и утврдите да ли сте подложни овој критичној рањивости.

Извор: ввв.хабр.цом