Угрозы в Active Directory: предупрежден, значит, вооружен

Параллельно с развитием интернет-технологий, сегодня активно совершенствуют свои тактики и хакеры. Они разрабатывают собственные методики доступа к тем или иным сервисам, службам, расширяют границы взлома. На сегодня ни один сайт, ресурс и любое другое онлайн-представительство не может чувствовать себя в безопасности. Так, одной из чрезвычайно «лакомых» целей для интернет злоумышленников, работающих в сфере корпоративных устройств будет доменная служба Active Directory.

Чтобы не оказаться в руках хакеров, не попасть на их уловки необходимо знать, какие методы они используют на практике и тем самым повысить безопасность собственной системы. Да, здесь работы предстоят немалые. На то, чтобы выявить у себя слабые места, внести корректировки и тем самым обеспечить высокий уровень защиты от подобных атак необходимо обладать достаточными знаниями, навыками и временем. Практика показывает, что на эти работы может потребоваться от нескольких дней и вплоть до нескольких недель. Но можете быть уверены, что все ваши усилия оправдают себя и окупятся на практике.

В рамках сегодняшнего обзора остановимся более подробно на том, что же представляет собой среда Active Directory, какими функциональными возможностями она наделена. Выделим ряд основных преимуществ, что делает ее настолько востребованным продуктом в корпоративной среде. Познакомься более подробно с шестью основными видами атак, которые чаще всего используют на практике злоумышленники чтобы получить доступ к Active Directory. Обладая такой информацией, вы будете знать, как повысить безопасность своего сервиса, тем самым сделав его минимально уязвимым к действиям хакеров.

Краткое знакомство с Active Directory: функции возможности

Active Directory — это решение от корпорации Майкрософт, при помощи которого можно объединить в единую систему различные объекты локальной сети, будь то серверы, компьютеры, принтеры и любые другие сервисы. В этом случае служба Active Directory будет выступать в качестве базы данных, то есть будет хранить всю необходимую информацию о персональных компьютерах и пользователях, серверах и тех, кто имеет к ним доступ, всех периферийных, сетевых устройствах.

Чтобы реализовать на практике данное решение используется контролер домена. Это отдельно выделенный сервер, который будет выполнять все работы, связанные с аутентификацией пользователей и соответствующих устройств в локальной сети. Параллельно с этим он также будет использоваться как хранилище базы данных. На практике это выглядит так: определенный пользователь пытается получить доступ к серверу, персональному компьютеру либо же принтеру, подключенному к данной сети. Выполняется автоматическое обращение к Active Directory, который либо же разрешает данное подключение, если видит, что все необходимые права присутствуют, либо же, блокируют его, если определенный пользователь не обладает такими правами доступа.

Среди основных функциональных возможностей, обеспечивающих надежную работу сервиса. Выделим:

• Наличие единой точки аутентификации. Контроллер домена хранит в своей базе данных всю информацию об инфраструктуре сети и пользователях. То есть его можно использовать для обеспечения доступа системе. Здесь существует единая база данных, где хранятся логины и пароли пользователей. Благодаря этому работа с ними будет более простой и быстрой. Как только запускается процесс автоматизации, все компьютеры сразу же подключатся к данной базе и все те изменения, которые будут выполнены в ней тут же распространяться и на другие устройства, предусмотренные в этой сети. Также Active Directory используется для распределения прав доступа. То есть можно здесь настроить то, какие пользователи и к какому компьютеру, принтеру, серверу смогут подключиться, а к каким доступ им закрыт. То есть Active Directory позволяет быстро и просто реализовать политику безопасности корпоративной сети.
• Управление политиками. Используя, Active Directory системный администратор вашей компании сможет разделить все устройства, подключенные к сети на отдельные рабочие группы, выделив так называемые «организационные подразделения». Благодаря созданию подобной инфраструктуры значительно упростится последующая работа. В частности, можно будет оперативно вносить изменения в настройки отдельно взятой группы, что актуально в случае их модификации, расширения. При этом внесенные вами изменения автоматически будут распространены на все устройства, относящиеся к определенному подразделению. Также можно будет добавить нового пользователя непосредственно в конкретную группу. При этом этот человек сразу же получит те права доступа, которые заданы для его непосредственных коллег. То есть создание новой учетной записи значительно ускоряется. Точно так же вводятся и ограничения на использование возможностей операционной системы. Как вариант, можно ограничить установку приложений теми или иными пользователями, переложив подобные обязательства исключительно на администратора.
• Обеспечение безопасности. Наличие Active Directory в корпоративной сети позволяет значительно увеличить уровень ее защиты от любого несанкционированного доступа. Все дело в том, что все учетные записи будут храниться в одной базе, а именно самого контроллера доступа, что сделает их защищенными от внешних подключений. К тому же здесь при подключении к сети используется протокол для взаимной аутентификации клиента и сервера (Kerberos), на основании которого сервер и устанавливает соединение или же запрещает его. И здесь уже имеются инструменты, учитывающие перехват пакетов и их модификацию, что уже автоматически будет повышать надежность и безопасность. В сравнении с аутентификацией, которая используется в большей части рабочих групп сегодня, данный протокол по праву на можно назвать более совершенным и эффективным.
• Обмен файлами. В Active Directory можно без проблем реализовать технологию Distributed File System (DFS), предназначенную для управления файлами. Она представляет собой распределенную сеть для хранения данных и файлов, которые в реальности располагаются на нескольких серверах, имеющих отношение к одной и той же сети. Благодаря данной технологии появилась возможность легко и быстро масштабировать существующую инфраструктуру, добавлять к ней новые серверы без внесения каких-либо кардинальных изменений в уже работающие устройства.
• Интеграция оборудования и сервисов. Используя службы Active Directory, вы сможете объединить все разрозненное оборудование и сервисы вашей компании в единую замкнутую систему. Как вариант, здесь присутствует поддержка протокола для доступа к службе каталогов Х.500, а именно стандарт LDAP. Он позволяет организовать удобную работу с почтовыми сервисами, как вариант Exchange Server, ISA Server. При этом наряду с непосредственными продуктами Microsoft здесь реализована возможность взаимодействие также с 1С, IP-телефонией, шлюзам удаленных рабочих столов. Также здесь предусмотрены инструменты для организации интеграции Windows Server. Для этого применяется специальный протокол RADIUS, который, среди прочего, позволяет использовать ВПН-подключение в случае, когда необходимо организовать работу удаленно, за пределами офиса.

То есть, если проанализировать данные функции то, то можно сделать выводы, что Active Directory — достаточно удобный инструмент для любой корпоративной сети. Более того, теперь понятно, почему злоумышленники настолько хотят получить доступ к данной службе.

Как обеспечить стабильную работу Active Directory

Сегодня Active Directory — это центральный узел инфраструктуры большого количества предприятий. И если произойдет так, что он выйдет из строя, то вся система будет недоступна для пользователей. Это скорее недостаток данной системы. Чтобы минимизировать отказ системы стоит воспользоваться следующими рекомендациями:

1. Подключайте дублирующие контроллеры. В частности, речь идет о развертывании одновременно нескольких контроллеров доменов, дублирующих друг друга. При этом необходимо будет настроить автоматическую репликацию всех изменений. В этом случае если один из контроллеров выйдет из строя, в работу тут же включится два, имеющий в себе те же самые настройки и хранящий аналогичную информацию. То есть так вы обеспечите стабильность работы корпоративной сети даже в случае, если один из контроллеров пойдет в отказ.
2. Используйте систему резервного копирования. Благодаря регулярным бэкапам можно быстро восстановить работоспособность сервера. К тому же резервное копирование — это то, что позволит исключить простои даже в том случае если вы используете всего один контроллер, а не два и более, о чем мы говорили выше. В этом случае экономится не только время на восстановление сервера, но и средства. Но все же для обеспечения максимально стабильной работы рекомендуется совместить и резервное копирование, и дублирующий контролер.
3. Доверьте подключение и настройки Active Directory опытным специалистам. Только так вы сможете обеспечить максимальную надежность работы контроллера доменов и избежите частых ошибок, которые допускают новички на данном этапе. Также важно уделить внимание тестированию системы перед тем, как запускать ее непосредственно в использование в рабочем режиме.

Ну а теперь перейдем непосредственно к знакомству с видами атак, которым подвержен Active Directory.

Основные виды атак на Active Directory

То есть Active Directory — это сервис, который используется для управления идентификацией и доступом к корпоративной среде. Несмотря на то, что он появился на рынке уже более 20 лет назад, у него нет достойных аналогов. Более того, сама технология от корпорации Майкрософт, лежащая в основе данной службы, не претерпела кардинального изменения. К сожалению, это известно не только администраторам, работающим с Active Directory, но и хакерам. Именно эти слабые места они используют при организация своих атак.

Чтобы минимизировать все возможные риски компании должны выработать единый надежный подход, позволяющий обеспечить максимальный уровень защиты собственной сетевой инфраструктуры. Сами атаки, которые злоумышленники используют при работе с Active Directory, основаны на достаточно сложных технологиях, предполагающих воздействие как из внутренней, так и из внешней среды. Все те инструменты, которые на сегодня используются в сфере корпоративной безопасности отличаются низкой эффективностью в данном случае. И это уже показала практика, так как численность успешных атак на Active Directory в последнее время сильно увеличилась. И одна из сложностей здесь в том, что нет единого решения и инструментов, которые могли бы предотвратить подобное посягательство.

Чтобы обеспечить достаточную защиту необходимо использовать отдельные технологии для каждой разновидности атак. В частности, речь идет о следующих вариантах воздействия:

1. Использование слабых, скомпрометированных паролей.
2. Атака с передачей хэша, или как еще называют Pass-the-hash.
3. Атака на сервисные учетные записи в доменных службах, а именно атака Kerberoasting.
4. Имитация процесса репликации контроллера домена или атака DCSync.
5. Атака с золотым билетом, то есть Golden Ticket.
6. Таргетинг на уязвимые приложения, подключенные к Active Directory.

Рассмотрим каждый из этих вариантов воздействии на Active Directory более подробно и подскажем способы повышения защиты от них.

Использование слабых и скомпрометированных паролей

Вне зависимости от того, о какой системе, сервисе идет речь, слабые либо же скомпрометированные пароли – это то, что делает ее особо уязвимой. Актуально это и для Active Directory. Это значит, что злоумышленники смогут легко расшифровать эти данные либо же взломать их, используя тот же брутфорс или другие похожие методики.

И уже здесь становится явным способ предотвращения подобной атаки: повышение надежности паролей. Сделать это можно путем внедрения новых правил, на основании которых корпоративные пользователи будут подключаться к сети. Как вариант, вы, как системный администратор можете поставить блокировку на наиболее частые используемые термины, последовательное введение символ на цифровой или буквенной клавиатуре. Более того, можно составить специальные словари паролей, которые пользователи вашей системы смогут использовать для себя.

То есть, если окажется, что система определит пароль того или иного человека как слабый, она отправит ему уведомление с просьбой изменить его при последующем подключении, выбрав вариант, соответствующий установленным правилам. Если пользователь проигнорирует эту просьбу, то больше к системе он подключится со своим старым паролем не сможет.

С этим по большому счету все понятно. Но вот как быть со скомпрометированными паролями? Речь идет о данных, которые злоумышленникам уже удалось похитить ранее. Происходит это в основном по причине того, что для доступа к разным сервисам либо же учетным записям используются одни и те же символы. Поэтому, чтобы исключить использование скомпрометированных паролей необходимо с определенной периодичностью сканировать Active Directory, выявляя проблемные данные и сообщая их владельцам о необходимости изменить их.

Атака с передачей хэша

Атака с передачей хэша или, как ей еще часто называют Pass-the-hash предполагает поиск криптографической, то есть хэшированой формы пароля. Дело в том, что операционная система, установленная на клиентских пользовательских устройствах, обычно хранит эти параметры в своей памяти. Для этого злоумышленники забрасывают на устройство вредоносное программное обеспечение, которое проберется в память компьютера и извлечет оттуда зашифрованный пароль. Этим самым хакеры и получают доступ к памяти Active Directory, то есть им даже не придется перебирать пароли, что подобрать правильный вариант.

Один из наиболее простых способов предотвратить подобную атаку стоит в том, что администраторы должны стимулировать пользователей на установку более длинных и сложных паролей, не менее 15 символов в длину. При этом хранится они будут в надежном хэш-формате Windows NT. Если использовать более короткие пароли, то они банально не будут допущены в данное хранилище и автоматически окажется в хэше LAN Manager, где уровень шифрования гораздо ниже. К слову, в последних версиях Active Directory хэш LAN Manager уже не предусмотрен. Его по-прежнему можно увидеть в устаревших поколениях, где он включен уже изначально. То есть необходимо зайти в него вручную и отключить. К сожалению, подобное решение также не даст полной защиты, так как даже при отключенном хэше иные системы по-прежнему могут кэшировать хэш LAN менеджер, что оставит открытую лазейку для злоумышленников.

То есть один из наиболее эффективных способов предотвратить подобную хакерскую атаку — это запустить сложные пароли, длиной более 15 символов на всех пользовательских устройствах, подключенных к системе. Но еще очень важно убедиться в том, что они нигде не повторяются. В принципе можно использовать и дополнительные инструменты безопасности. Преодоление запретов потребует от хакеров больше времени и усилий. В ряде случаев такое решение заставит их вовсе отказаться от своей задумки. Как вариант, можно использовать мультифакторную аутентификацию MFA, способную обеспечить дополнительный уровень защиты в том случае, если пароль будет взломан. Но и это нельзя назвать панацеей от хакерской атаки.

Также в данном случае важно повысить безопасность каждой конечной пользовательской точки, в частности защитить ее от вредоносного программного обеспечения. Как вариант, в современных операционных системах Windows уже активно используются инструменты на основе виртуализации, в частности Virtualization-Based Security, VBS.

Атака на сервисные учетные записи в доменных служб

Такая атака получила название Kerberoasting. Ее суть состоит в том, что в данном случае злоумышленники нацелены на сервисные учетные записи, имеющиеся в доменных службах Active Directory. Получается, что изначально хакер получает доступ к самой сети. Для этого ему будет достаточно заполучить данные аккаунтов с самыми низкими привилегиями уровня доступа. Далее он уже подключается к центру распределения ключей KDC (Key Distribution Center) непосредственно самого Active Directory с просьбой предоставить билет обслуживания, но уже для учетных записей той или иной службы, относящейся к наиболее высокому уровню.

В ответ на это центр распределения ключей выдает билет для сервисной учетной записи, но при этом он будет зашифрован паролем. Этого будет достаточно для того, чтобы хакер смог извлечь данный билет из памяти той локальной машины, которую ему удалось взломать. После этого полученный билет переводится в автономный режим и далее запускается процесс взлома его паролей путем элементарного перебора с использованием соответствующего программного обеспечения. Эффективность подобной атаки на практике оказывается достаточно высокой, так как все учетные записи, принадлежащие службам, зачастую наделяют высокими разрешениями и, соответственно, привилегиями. И если саму атаку хакеры будут выполнять в автономном режиме, то вероятность ее обнаружение системой будет достаточно низкой.

Так как можно защититься от атаки Kerberoasting? Вот несколько достаточно простых рекомендаций:

• Возьмите за основу для своей корпоративной сети использование исключительно надежных паролей. Особенно это актуально для сервисных учетных записей. К тому же их необходимо постоянно мониторить на предмет взлома.
• Контролируйте сеть, в частности все запросы, которые будут предполагать регистрацию сервисной учетной записи. Здесь важно понимать, как работает ваша система в нормальном режиме. Так вы сможете легко заметить аномальное отклонение, в частности в запросах на регистрацию.
• Не используйте долго один и тот же пароль к сервисным учетным записям. Поставьте себе за правило менять его с той или иной периодичностью. Так вы сможете предотвратить использование устаревших паролей, доступ к которым уже может быть у злоумышленников.
• Следите за тем, чтобы актуальные политики паролей применялись не только к привилегированным учетным записям и тем, которые будут используются на практике активно, но и к устаревшим, в том числе и тем, что уже не используется. В своем большинстве именно на них и нацеливаются злоумышленники.

Имитация процесса репликации контроллера домена

Такая атака получила название DCSync. Она предполагает искусственную имитацию процесса репликации контроллера домена, на котором и размещены доменные службы Active Directory. То есть репликация — это то, что синхронизирует все изменения в службах, делая их актуальными на всех устройствах. Для реализации такой атаки используется запрос GetNCChanges. С его помощью собираются хэши учетных данных с основного контроллера вашего домена. Осуществить подобную атаку можно достаточно легко и просто благодаря так называемым opensource-инструментам, как вариант Mimikatz. Такие решения сегодня представлены в сети в свободном доступе и ими может воспользоваться каждый желающий. По крайней мере тот, кто разбирается во всех нюансах.

Для того, чтобы защититься от подобной атаки стоит регулярно следить за правилами безопасности, установленными для каждого контроллера домена. В свою очередь это распространяется также на использование надежных паролей, способных обеспечить высокие показатели безопасности важных учетных записей. Также рекомендуется регулярно чистить систему Active Directory от тех профилей, которые уже сегодня не используются или устарели. Это относится не только к учетным записям из категории «важных», но даже к тем, которые применяются для предоставления услуг. То есть важно постоянно следить за изменениями в группах домена и со всеми теми действиями, которые связаны с ними. Для реализации такой задачи используется многоуровневый подход. Как вариант, внедрение передовых протоколов безопасности при работе с контроллером домена, выполнение комплексного аудита Active Directory. Так вы сможете определить все учетные записи, имеющейся в вашем распоряжении, в том числе и те, что используются на практике очень редко или вовсе уже не применяются.

Атака с золотым билетом

Атака при помощи такого метода, как золотой билет или Golden Ticket — это процесс, в ходе которого злоумышленнику удается заполучить NTLM-хэш учетной записи службы распространения ключей KRBTGT (Active Directory Key Distribution Service Account). Как только эти данные окажутся в руках хакера, он может самостоятельно создавать сервисные билеты или же передать эти права другим лицам. В обнаружении подобная атака достаточно сложная. К тому же она может скомпрометировать вашу корпоративную сеть на достаточно долгий период времени.

Чтобы обеспечить защиту от атаки Golden Ticket стоит:

• С высокой частотой обновлять учетную запись KRBTGT, в частности пароль к ней. Рекомендуется делать это хотя бы раз в полгода.
• Следовать политике использование надежных паролей. Так вы минимизируете шансы злоумышленников на проникновение в вашу среду и закрепление в ней.
• Непосредственно в настройках Active Directory внедрите политику наименьших привилегий и постоянно поддерживайте ее актуальность. В этом случае даже лица с наименьшими привилегиями смогут получить доступ только после прохождения нескольких этапов. Да, для людей это долго и проблематично, но зато эффективно с точки зрения безопасности.

Таргетинг на уязвимые приложения, подключенные к Active Directory

Это последняя атака на Active Directory, которую мы рассмотрим в нашем обзоре. Основана она на устаревших и уязвимых приложениях, что интегрированы в данный сервис. Речь идет о программном обеспечении, использующем слабое шифрование, жестко запрограммированные учетные данные, слабые протоколы сетевой безопасности, а также ряд других элементов программной архитектуры, имеющие уязвимости. Воспользовавшись подобными лазейками, злоумышленники могут легко взломать Active Directory.

Предотвращение подобной проблемы возможно только путем исправления устаревших, но вместе с тем критически важных приложений для вашего бизнеса. К сожалению, данные работы могут занять достаточно много времени и усилий, вплоть до нескольких месяцев. Только так можно будет успешно реализовать достойный уровень защиты. В ряде случаев может использоваться рефакторинг приложений, а то и полная их замена, что скорее всего вызовет на практике определенные затруднения. В этом случае очень важно хорошо разбираться в программном ландшафте, постоянно делать комплексный аудит системы безопасности. И здесь еще необходимо определить важность выполнения таких работ. В частности, надо понять, оправдают ли все ваши мероприятия, направленные на предотвращение рисков, связанных с таргетингом на уязвимые приложения перезапись или рефакторинг этих самых программ. Если окажется, что проводить такие работы нецелесообразно, то необходимо будет предусмотреть дополнительные меры безопасности, способные минимизировать риски.

Общее рекомендации по обеспечению безопасности Active Directory

Выше мы уже рассмотрели наиболее распространенные варианты атак, к которым прибегают хакеры для того, чтобы получить доступ к в вашей системе Active Directory, а также те рекомендации, которые помогут минимизировать успешность атак. Но параллельно с этим за годы существования данного продукта на рынке Майкрософт предложил уже немало решений, призванных обеспечить безопасность данной системы. Но проблема здесь в том, что не успевает компания выпустить новое решение, как хакеры тут же находят способы обойти подобные ограничения. Но вот единственный инструмент, который работает на сегодня достаточно хорошо — это групповая политика. Несмотря на то, что она появилась уже достаточно давно, она остается актуальной сегодня. Во многом это обеспечивается постоянным совершенствованием на протяжении нескольких лет. В частности, здесь учитываются параметры групповой политики, настройки, расширенная политика ADM/ADMX аудита.

Но параллельно с этим основная структура безопасности остается актуальной:

1. Регулярное выполнение аудита и расширенного аудита.
2. Применения мастера конфигурации безопасности.
3. Использование конфигурации желаемого состояния.
4. Подключение менеджера соответствия безопасности.
5. Организация группы защищенных пользователей.
6. Использование локального пароля администрирования.

У каждого из этих решений есть одна общая проблема. Связана она с невозможностью обеспечить достаточный уровень защиты рабочей среды. То есть эти методы оказывают точечное воздействие на отдельные устройства, типы атак, учитывают настройки безопасности. Именно поэтому на практике рекомендуется использовать комплексные решения, предполагающие комбинирование разных методов.

Подводим итоги

Надеемся, что информация, представленная в рамках сегодняшнего обзора, оказалась полезной для вас и помогла разобраться во всех нюансах Active Directory, оценить все те риски, которым подвержена ваша система. Теперь вы знаете основные виды атак и те способы, которыми они могут быть реализованы на практике, понимаете, какие действия следует предпринять для того, чтобы предотвратить доступ злоумышленников к вашей корпоративной системе. В любом случае необходимо очень тщательно продумать пароли доступа, сделав ставку на сложные фразы, включающие более 15 символов. Также следует постоянно контролировать учетные записи, своевременно выявлять неактивные и закрывать их. В любом случае обеспечение безопасности в корпоративной среде Active Directory — это то, что требует комплексного подхода, в том числе постоянного мониторинга, сканирования, обновления очень важных компонентов.

Также важно повысить осведомленность пользователей. Каждый человек, который пользуется корпоративной системой должен понимать, с какими опасностями он может столкнуться и как их можно если не предотвратить, то хотя бы минимизировать. То есть только постоянная бдительность способна обеспечить достаточную защиту корпоративной инфраструктуры, а вместе с этим стабильность работы бизнес-процессов.

Но если слегка уйти от темы корпоративной безопасности к работе с персональными устройствами, не подключенными к такой сети, то обеспечение стабильности их работы и защиты от стороннего доступа возлагается непосредственно на конечного пользователя. Но здесь все не так масштабно, как в случае работы с корпоративными системами. В частности, достаточно будет подключить мобильные прокси для того, чтобы обеспечить себе необходимые показатели безопасности и конфиденциальности при работе в интернете.

Пройдите по ссылке https://mobileproxy.space/user.html?buyproxy, чтобы познакомиться более подробно с данным инструментом и тем, какими функциональными возможностями он наделен. Так, наряду с обеспечением конфиденциальности и защиты от любого несанкционированного доступа с мобильными прокси MobileProxy.Space вы получаете возможность обходить любые региональные ограничения и получать доступ к сайтам, заблокированным в вашей стране на законодательном уровне. Также можно будет воспользоваться программами для автоматизации действий сети, организовать стабильную работу с множественными аккаунтами в социальных сетях, мессенджерах, не опасаясь нарваться на блокировку от системы.

Также предлагаем оценить актуальные тарифы. Обратите внимание, что они напрямую зависят от того, на какой период времени вы их покупаете. Наиболее выгодное предложение — приобретение мобильных прокси на один год с быстрым простым продлением. В этом случае ваша выгода будет более, чем ощутимой в сравнении с приобретением тарифа на 1 день.

Если в работе возникнут сложности, технические проблемы, служба поддержки сервиса на связи круглосуточно.

Поделитесь статьёй: