Ищем недостатки и уязвимости в Active Directory

Обеспечить безопасность AD - задача непростая. Особенно в больших компаниях с филиалами в разных городах. Поэтому при проведении аудитов, необходимо проверять не встречаются ли в AD компании следующие уязвимости или недостатки:

1. Отсутствие парольной политики в домене

В 2020 году это кажется нереальным. Как у уважающей себя компании может отсутствовать парольная политика??? В мире ИБ существует неразрешимый спор о парольных политиках: кто-то считает, что пароли должны быть огромные, сложные и меняться каждую неделю, а кто-то считает, что такого рода требования бессмысленны и пользователь будет чувствовать себя комфортнее, если не усложнять ему жизнь. Поэтому возникают ситуации, когда компания просто отказывается от парольных политик. Однако отказ от парольной политики влечет за собой сразу 100% существование пункта 2 из нашего списка.

2. Наличие слабых паролей у учетных записей в домене

Наличие словарных паролей или (при отсутствии парольной политики) пустые пароли, а также пароли, состоящие из одной буквы или цифры и т.д.

3. Наличие в домене "мертвых душ"

Очень часто аккаунты, созданные для тестирования, какие-то временные учетные записи, учетки уволенных сотрудников не блокируются, а остаются активными в домене, хотя ими никто не пользуется. А для злоумышленника они являются лакомыми кусочками, потому что очень часто тестовым учетным записям выдают более высокие права, чем обычным пользователям домена.

4. Не истекающие пароли у привилегированных учетных записей

Особенно если это учетная запись какого-то начальника, которому надо что-то смотреть раз в полгода (но надо же! Поэтому ему выдают повышенные права) и которого бесит постоянная смена пароля (и ему ставят, чтобы пароль не истекал). А пароль там обычно - либо 4 цифры, либо 6 (как дата рождения).

5. Хранение учетных данных в папках SYSVOL

Иногда администраторы для запуска приложения на клиентских компьютерах (сразу, при входе в систему), который требует прав администратора - хранят пароли в папке sysvol, к которой может получить доступ любой пользователь, прошедший аутентификацию

6. Отсутствие реакции со стороны средств защиты на DCSync, запуск mimikatz или PSexec

Средства защиты должны быть грамотно настроены, чтобы реагировать на стандартные атаки и утилиты, которые используют злоумышленники. Если кто не знает про DCSync - можно почитать тут (https://attack.stealthbits.com/privilege-escalation-using-mimikatz-dcsync)

7. Большое количество учетных записей в привилегированных группах (domain admins, enterprise admins)

Чем больше учетных записей, тем их сложнее контролировать - тем больше шансов у злоумышленника найти лазейку

8. Наличие "теневых доменных администраторов"

Иногда пользователю не выдают высокие привилегии, однако дают права на совершение каких-то привилегированных действий. Например, возможность сменить пароль другим пользователям или обновление любых атрибутов объекта. О таких пользователях забывают сразу, а с их помощью можно совершить большое количество противоправных действий в домене. Подробнее можно почитать тут (https://www.ired.team/offensive-security-experiments/active-directory-kerberos-abuse/abusing-active-directory-acls-aces)

9. Возможность проведения атаки Kerberoasting

Наличие "слабых" паролей у сервисных учетных записей позволяет злоумышленнику провести атаку kerberoasting и расшифровать пароли. Подробнее можно почитать тут (https://attack.stealthbits.com/cracking-kerberos-tgs-tickets-using-kerberoasting/)

Мы рассказали вам о наиболее часто встречающихся проблемах, которые есть у 98% компаний и которые стоит проверять как при проведении аудита, так и при проведении RedTeam кампании.