Active Directory'de Zayıf Parolaları Denetleme

Active Directory etki alanındaki bir kullanıcı parolasının karmaşıklığı, hem kullanıcı verileri hem de tüm etki alanı altyapısı için temel güvenlik unsurlarından biridir. Parola olarak kişisel bilgilerin, sözlük sözcüklerinin ve basit kombinasyonların kullanılmaması tavsiyesine rağmen, birçok kullanıcı basit ve hatırlaması kolay parolalar kullanmayı tercih etmektedir. Bu yazımızda PowerShell kullanarak Active Directory kullanıcı şifrelerini nasıl denetleyeceğinizi, zayıf ve basit şifreleri nasıl bulacağınızı göstereceğiz.

Pa$$w0rd

P@ssw0rd

DSInternals (Directory Services Internals) PowerShell Modülü Nasıl Kurulur?

Active Directory veritabanında (ntds.dit dosyası) depolanan kullanıcı parolalarının karma değerlerini basit ve yaygın parolalardan oluşan bir sözlükle karşılaştırmak için üçüncü taraf bir PowerShell modülü kullanabilirsiniz - DSInternals. Bu modül AD veritabanıyla çevrimiçi veya çevrimdışı modda (doğrudan ntds.dit ile) farklı eylemler gerçekleştirmeye izin veren bir dizi cmdlet içerir. Özellikle, zayıf, benzer, standart, boş parolalara sahip (Parola Gerekli Değil) veya parolalarının süresi asla dolmayan kullanıcıların tespit edilmesini sağlayan Test-PasswordQuality cmdlet ile ilgileniyoruz.

PowerShell sürüm 5'te (ve daha yeni), DSInternals modülünü resmi PowerShell betik galerisinden çevrimiçi olarak aşağıdaki şekilde kurabilirsiniz:

Install-Module DSInternals

Önceki PowerShell sürümlerinde veya bağlantısı kesilmiş ortamda, GitHub'dan (https://github.com/MichaelGrafnetter/DSInternals/releases) en son modül sürümüyle .zip arşivini indirmeniz gerekir. Bu makale yazıldığında, en son sürüm DSInternals v4.4.1 idi. Bu arşivi PowerShell modüllerini içeren dizinlerden birine çıkarın:

• C:\Windows\system32\WindowsPowerShell 1.0\Modules\DSInternals

• C:\Users\%username%\Documents\WindowsPowerShell\Modules\DSInternals

Veya şu komutu kullanarak DSInternals modülünü mevcut PowerShell oturumunuza aktarın:

Import-Module C:\distr\PS\DSInternals\DSInternals.psd1

cannot be loaded because running scripts is disabled on this system

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force

Kullanılabilir modül cmdlet'lerinin listesi aşağıdaki gibi elde edilebilir:

Get-Command -Module DSInternals

Test-PasswordQuality Cmdlet ile Zayıf Aktif Dizin Parolalarını Bulun

Ardından, bir parola sözlüğü oluşturmanız gerekir. Yaygın olarak kullanılan, zayıf ve diğer kötü parolaların listesini içeren basit bir metin dosyası olacaktır. İnternetten bir şifre sözlük dosyası indirebilir veya kendiniz oluşturabilirsiniz. DSInternal modülü, kullanıcılarınızın Active Directory'deki parolalarının karmalarını bu dosyadaki sözcüklerin karmalarıyla karşılaştırmanıza olanak tanır. Şifreleri bir PasswordDict.txt metin dosyasına kaydedin.

Şimdi küçük bir PowerShell betiği oluşturun. Aşağıdaki değişkenlerde parola dosyasının yolunu, etki alanı adını ve etki alanı denetleyici adını belirtin:

$DictFile = "C:\distr\PS\DSInternals\PasswordDict.txt"
$DC = "lon-dc01"
$Domain = "DC=a-d,DC=loc"

Ardından, Get-ADReplAccount cmdlet'ini kullanarak AD'deki kullanıcıların bir listesini alın (Get-ADUser gibi). Ek olarak, bu cmdlet NT ve LM karmalarının yanı sıra karma geçmişini de döndürür. Ardından, her kullanıcı için, parolanın sağlamasını sözlük dosyasındaki sağlamalarla karşılaştırın (kontrol, devre dışı bırakılmış kullanıcı hesapları için de yapılır):

Get-ADReplAccount -All -Server $DC -NamingContext $Domain | Test-PasswordQuality -WeakPasswordsFile $DictFile -IncludeDisabledAccounts

Komut dosyasını çalıştırmanın sonucu şöyle görünebilir:

Active Directory Password Quality Report
----------------------------------------
Passwords of these accounts are stored using reversible encryption:
LM hashes of passwords of these accounts are present:
These accounts have no password set:
TEST\DefaultAccount
TEST\Guest
Passwords of these accounts have been found in the dictionary:
TEST\a.adams
TEST\jbrion
TEST\jsanti
These groups of accounts have the same passwords:
Group 1:
TEST\a.novak
TEST\Administrator
TEST\amuller
TEST\k.brown
Group 2:
TEST\a.adams
TEST\jbrion
TEST\jsanti
These computer accounts have default passwords:
Kerberos AES keys are missing from these accounts:
Kerberos pre-authentication is not required for these accounts:
Only DES encryption is allowed to be used with these accounts:
These administrative accounts are allowed to be delegated to a service:
TEST\a.adams
TEST\a.novak
TEST\Administrator
TEST\jbrion
TEST\jsanti
TEST\k.brown
TEST\krbtgt
Passwords of these accounts will never expire:
TEST\a.adams
TEST\Administrator
TEST\DefaultAccount
TEST\Guest
TEST\k.brown
TEST\krbtgt
TEST\web
These accounts are not required to have a password:
TEST\ADFS1$
TEST\DefaultAccount
TEST\Guest
These accounts that require smart card authentication have a password:

ShowPlainText

Install-Module -Name DSInternals -RequiredVersion 2.23

AD'de saklanan kullanıcı şifresi geçmişi dahil olmak üzere karma aramalar gerçekleştirilir. Gördüğünüz gibi, basit parolalara sahip AD kullanıcıları başarıyla bulundu (parolalar sözlükle eşleşiyor). Aynı şifrelere sahip birkaç kullanıcı da bulundu. Bu komut dosyası, özel İnce Tanecikli Parola İlkelerine tabi olan basit parolalara sahip hesapları bulmanıza yardımcı olacaktır.

Active Directory veritabanı dosyasının (ntds.dit) çevrimdışı taramasını da gerçekleştirebilirsiniz. Ntds.dit dosyasının bir kopyasını bir gölge kopyadan veya bir etki alanı denetleyicisi yedeğinden alabilirsiniz.

Ntds.dit dosyasındaki kullanıcı karmalarını çevrimdışı kontrol etmek için aşağıdaki komutları kullanın:

$keyboot= Get-BootKey -SystemHiveFilePath 'C:\ADBackup\registry\SYSTEM'
Get-ADDBAccount -All -DatabasePath 'C:\ADBackup\ntds.dit -BootKey $keyboot | Test-PasswordQuality -WeakPasswordsFile $DictFile

Tüm karmaların listesini bir metin dosyasına da aktarabilirsiniz:

Get-ADDBAccount -All -DBPath 'C:\ADBackup\ntds.dit' -Bootkey $keyboot | Format-Custom -View HashcatNT | Out-File c:\ps\ad_hashes.txt -Encoding ASCII

Dolayısıyla, bu senaryoyu kullanarak AD kullanıcı parolalarının kalitesini, kaba kuvvet saldırılarına karşı dirençlerini, mevcut etki alanı parola politikası karmaşıklığını kolayca analiz edebilir ve gerekli sonuçları çıkarabilirsiniz. Active Directory yöneticileri bu denetimi düzenli olarak gerçekleştirebilir (ve yapmalıdır).