Заметки на полях: немного больше, чем сервисные учётные записи

Проводя исследование информационной системы Заказчика, первое, на что обращаешь внимание - доменные администраторы или учётные записи, которые имеют более высокие привилегии.

Очень часто системные администраторы не думают о последствиях, когда добавляют служебную учётную запись в группу администраторов домена. Причем некоторым служебным учётным записям права доменного администратора и не требуются. Но проще добавить, чем разбираться.

Делимся с вами небольшим списком таких служебных учётных записей, которые оооочень часто являются администраторами домена. Отметим сразу - для них такие большие права не требуются.

- Backup, NetBackup, CommVault, Altiris - учётные записи для резервного копирования

- Microsoft AGPM - учётная запись для управления объектами группой политики

- Archive - учётная запись для архивирования Exchange

- антивирусы (McAfee, Trend Micro)

- Azure - используется для AzureAD Connect

- Exchange, Mail, ExAdmin - учётные записи для почтовых серверов

- VMware - сервисные учётные записи для виртуальной среды

- VPN - учётная запись, чтобы была возможность сбросить забытый или истекший пароль пользователя

- ITSM решения (например, service now) - учётные записи для оказания технической поддержки пользователям

- Microsoft System Center Management - учётная запись для деплоя различных приложений, патчей, обновлений настроек

Ещё раз обращаем ваше внимание, что настроить корректную работу данных учётных записей можно без наделения их правами доменного администратора.

Ну и если вы встретили данные учётки в домене при проведении пентеста - высока вероятность, что они будут обладать немного бОльшими привилегиями, чем это необходимо. И вы этим можете попробовать воспользоваться.

#redteam