Active Directory'deki saldırı yolları: Bilmeniz gerekenler
Saldırı yolları günümüzde siber güvenlik tartışmalarının ön sıralarında yer almaktadır. Peki saldırı yolu tam olarak nedir? Active Directory (AD) neden özellikle savunmasızdır? Peki kuruluşunuzu korumak için ne yapabilirsiniz? Bu blog yazısı tüm bu soruları ve daha fazlasını içeriyor.
Saldırı yolu nedir?
Bir saldırı yolunun ne olduğunu anlamanın en iyi yolu ne olmadığını anlamaktır. BT uzmanları, Active Directory'nin güvenliğini sağlamaya yönelik iki hayati en iyi uygulamaya çok aşinadır: yama uygulama ve güvenlik açığı yönetimi. Düzeltme eki, Microsoft Windows Server işletim sistemindeki kusurlar gibi, saldırganlar tarafından kullanılabilecek kod tabanlı güvenlik açıklarını düzeltmek için güncellemeleri uygulama işlemidir. Güvenlik açığı yönetimi, Active Directory'de, saldırganların yararlanabileceği yanlış yapılandırmaları tanımlayıp düzelterek (örneğin, bir kullanıcının parolasını tahmin etmek için sınırsız girişimde bulunmalarına izin vererek) başka bir güvenlik katmanı ekler.
Saldırı yolu, kod tabanlı bir güvenlik açığı veya tek bir yanlış yapılandırma değildir. Daha ziyade, bir saldırı yolu, bir kullanıcı hesabının güvenliğini ihlal eden bir saldırganın yönetim ayrıcalıkları elde etmesine, hatta BT ortamının tam kontrolünü ele geçirmesine olanak tanıyan, kötüye kullanılabilir ayrıcalıklar ve eylemlerden oluşan bir zincirdir.
Active Directory neden özellikle savunmasızdır?
Saldırı yolları her kimlik ve erişim yönetimi (IAM) sistemi için bir sorundur çünkü kimlik platformunun kontrolünü ele geçirmek, saldırgana kuruluşun tüm kullanıcıları, sistemleri ve verileri üzerinde tam kontrol sağlar.
Ancak birçok nedenden dolayı sorun Active Directory için çok ciddidir. Birincisi, Active Directory açık ara en yaygın kullanılan dizin hizmetidir: Fortune 1000 şirketlerinin yüzde 95'inin Active Directory kullandığı yaygın olarak bildirilmektedir. Bu nedenle, Active Directory'deki saldırı yollarını anlamaya ve bunlardan yararlanmaya odaklanan saldırganların seçebilecekleri çok sayıda hedef vardır. Üstelik BloodHound, Mimikatz ve Responder dahil olmak üzere Active Directory ve Windows'un özelliklerini kötüye kullanmak için özel olarak tasarlanmış çeşitli araçlara sahiptirler.
Active Directory'yi saldırı yollarına karşı savunmasız kılan bir diğer faktör de karmaşıklığı ve şeffaflık eksikliğidir. AD yöneticileri, hem doğrudan hem de Active Directory güvenlik grupları aracılığıyla hesaplara izin vermek için çok çeşitli seçeneklere sahiptir ve Grup İlkesi, erişim kontrolünü de etkileyen kelimenin tam anlamıyla binlerce ayar sunar. Aynı zamanda, örneğin belirli bir AD nesnesi üzerinde kimin izinlere sahip olduğunu veya bir güvenlik grubuna hangi etkin hakların verildiğini belirlemek için izinleri doğru bir şekilde denetlemek neredeyse imkansızdır.
Benzer şekilde, Grup İlkesi nesnelerine (GPO'lar) yönelik izinleri düzgün bir şekilde yönetmek zor olabilir; yalnızca GPO'nun kendisine verilen izinleri değil, aynı zamanda Grup İlkesi Oluşturucu Sahipleri grubuna, AD'deki System/Policies klasörüne, etki alanı denetleyicilerindeki (DC'ler) sysvol klasörüne ve etki alanı kökündeki ve kuruluştaki gpLink ve gpOptions niteliklerine yönelik izinleri de dikkate almanız gerekir. birimler (OU'lar). Ayrıca, mirasın engellenmesi, hatalı bağlantı önceliği ve bilgisayarların doğru kuruluş birimine yerleştirilememesi gibi sorunları ortaya çıkarmak ve bunların üstesinden gelmek gerçekten zorlu bir iştir.
Son olarak, zamanın amansız akışı var. Active Directory yirmi yılı aşkın bir süredir varlığını sürdürüyor; birçok kuruluşun karmaşık politikalar, derinlemesine iç içe geçmiş ayrıcalıklar ve daha fazlası şeklinde önemli miktarda teknik borç oluşturması için bolca zaman var. Bu faktörler bir araya geldiğinde, herhangi bir Active Directory ortamında saldırı yollarını neredeyse kaçınılmaz hale getirir ve çok acil bir siber güvenlik sorunu haline getirir.
Bir siber saldırının beş aşaması
Gördüğümüz gibi saldırı yolları, saldırganın Active Directory'nin kontrolünü ele geçirmesine olanak tanır. AD'nin kontrolünü ele geçirmek onların gerçek hedeflerine ulaşmalarını sağlar: veri çalmak, fidye yazılımını serbest bırakmak, kesintiye neden olmak vb.
Bu süreç genellikle zaman alır; gerçekten de, bir davetsiz misafirin BT ekosisteminde ortalama kalış süresi artık 287 gün, yani 9 aydan fazladır. Tüm bunların nasıl çalıştığını anlamak için bir siber saldırının beş aşamasını inceleyelim.
1. Keşif
Rakipler, hedef kuruluşları belirleyerek ve onlar hakkında bilgi toplayarak işe başlar. Temel odak noktaları arasında hangi değerli verileri çalabilecekleri, bir fidye yazılımı saldırısından ne kadar büyük kazanç elde edebilecekleri ve görevin ne kadar zor olabileceği yer alıyor. Keşif pasif olabilir; bu da kuruluşun hangi sistem ve uygulamaları kullandığını, çalışanlarının adlarını vb. keşfetmek için vergi kayıtları, iş ilanları ve sosyal medya gibi kamuya açık kaynakları kullanmayı içerir. Keşif ayrıca hedef kuruluşun ağ mimarisini, güvenlik duvarlarını ve izinsiz giriş tespit programlarını, işletim sistemlerini ve uygulamalarını ve bağlantı noktalarında barındırılan hizmetleri anlamak için ağ ve bağlantı noktası taraması gibi aktif teknikleri de içerebilir.
2. Planlama
Daha sonra saldırgan, sızma için hangi saldırı vektörünün kullanılacağını belirler. Örnekler arasında sıfır gün güvenlik açığından yararlanma, kimlik avı kampanyası başlatma veya bir çalışana kimlik bilgileri sağlaması veya kötü amaçlı yazılım dağıtması için rüşvet verilmesi yer alır.
3. İzinsiz Giriş
Düşman daha sonra seçilen saldırı vektörünü kullanarak kuruluşun ağ çevresini ihlal etmeye çalışır. Örneğin, saldırgan bir çalışanın kullanıcı kimliğini ve şifresini tahmin etmeyi başarabilir, yama uygulanmamış veya yanlış yapılandırılmış bir sistem üzerinden giriş yapabilir veya bir çalışanı kimlik avı e-postasının kötü amaçlı bir ekinde gizlenmiş kötü amaçlı yazılım başlatması için kandırabilir.
4. Yanal hareket ve ayrıcalık artışı
Saldırgan, ağa girdikten sonra ayrıcalıklarını artırmaya çalışacak ve hassas verileri bulmak veya diğer kritik kaynaklara ulaşmak için ek sistemleri tehlikeye atmaya çalışacaktır. Ayrıca erişimlerini sürdürmek istiyorlar. Bu kalıcılığı sağlamak için yeni kullanıcı hesapları oluşturabilir, ayarları değiştirebilir ve hatta arka kapılar kurabilirler.
Saldırı yolları burada devreye giriyor. Bir saldırgan, bir saldırı yolunu kullanarak ayrıcalıklarını sıradan kullanıcıdan yöneticiye ve hatta Etki Alanı Yöneticisine yükseltebilir, bu da onlara etki alanında sınırsız güç sağlar.
Ayrıca saldırganlar, yetkili kullanıcı ve yönetici hesaplarını ele geçirerek etkinliklerinin fark edilmesini zorlaştırabilir. Yeterli ayrıcalığa sahip olduklarında, sistemlerin her şeyin normal çalıştığını yanlış bir şekilde rapor etmesine neden olarak tespit edilmekten daha da kurtulabilirler.
5. Süzme ve temizleme
Son olarak, saldırgan kuruluşun verilerini sızdırır veya şifreler ya da belki de iş operasyonlarını aksatmak için sistemleri bozar. Ayrıca, soruşturmaları engellemek ve örgütün gelecekteki saldırılara karşı savunmasını güçlendirmesini engellemek için sıklıkla izlerini silmeye çalışıyorlar. Teknikler arasında saldırıda kullanılan programların veya komut dosyalarının kaldırılması, oluşturulan klasörlerin veya hesapların silinmesi ve denetim günlüklerinin değiştirilmesi, bozulması veya silinmesi yer alır.
Bazı yaygın saldırı yolları nelerdir?
Bir saldırı yolu genellikle gizli izinlerin, iç içe geçmiş grup üyeliğinin ve AD mimarisindeki doğal güvenlik açıklarının bir kombinasyonunu içerir. Birkaç örneğe bakalım.
örnek 1
İlk olarak, bir saldırganın Alex kullanıcısının hesabının kimlik bilgilerini ele geçirdiğini varsayalım. Bu, saldırgana doğrudan izin ataması, doğrudan grup üyeliği veya iç içe geçmiş grup üyeliği aracılığıyla Alex'e atanan tüm ayrıcalıkları verir. Bu durumda, Alex hesabı HelpDesk grubunun bir üyesidir ve bu da burada gösterildiği gibi Workstation Admins grubunun bir üyesidir:
Güvenlik gruplarının bu şekilde iç içe geçmesi oldukça yaygındır ve sıradan bir kullanıcı hesabına, sahip olması gerekenden ve herkesin sahip olduğunu düşündüğünden çok daha fazla ayrıcalık verebilir. Bu durumda, İş İstasyonu Yöneticileri grubu, SVC_PRDRMV AD hizmet hesabından oturum açma oturumuna sahip olan PCI-Server-01 makinesi için yerel Yönetici izinlerine sahiptir:
Düşmanın Windows belirteç modelini kötüye kullanması ve bu hizmet hesabının kimlik bilgilerini toplaması önemsizdir; bu da onlara Domain Admins grubu üzerinden Üye Ekleme izni verir. Hesaplarını bu gruba ekledikten sonra saldırgan, saldırı yolunu kullanmayı tamamlamış olur ve artık Active Directory üzerinde tam kontrole sahip olur.
Örnek 2
Ek örnekler, isteğe bağlı web yayınında Güvenli Olmayan GPO'ların AD'de Nasıl Gerçek Saldırı Yolları Oluşturduğu'nda paylaşılmaktadır. GPO'ların saldırı yollarında nasıl bir rol oynayabileceğine dair tam bir açıklama için web yayınını izlemelisiniz, ancak burada bir saldırı yolunun kısa bir açıklaması bulunmaktadır: Bir GPO'yu düzenleme izinleri verilmiş bir kullanıcı hesabını düşünün. Saldırgan, bu kullanıcının kimlik bilgilerini ele geçirerek AD etki alanını kontrol edecek bir saldırı yoluna sahip olur. GPO'yu değiştirerek, başka bir kullanıcı hesabının bir sonraki oturum açışında kötü amaçlı bir PowerShell betiği yürütmesine neden olabilirler. Komut dosyası, saldırgana, Domain Admins grubunda genel haklara sahip olan bu hesabın kontrolünü verecektir. Sonuç olarak, saldırgan istediği hesabı Domain Admins'e ekleyebilir ve bu da oyun biter: Active Directory'nin kontrolü onlardadır.
Saldırı yolları nasıl bulunur ve kapatılır: saldırı yolu yönetimi
Yukarıdaki örneklerin hiçbirinde yamalı bir sistem ya da basit bir yanlış yapılandırmanın bulunmadığına dikkat edin. Bu nedenle ne yama yönetimi ne de güvenlik açığı yönetimi saldırıyı engelleyemez ve bir tehdit yönetimi çözümü saldırıyı tespit ettiğinde düşman bir Etki Alanı Yöneticisi olur.
Güçlü Active Directory güvenliği için saldırı yolu yönetimine ihtiyaç vardır. Saldırı yolu yönetimi, güvenlik açıklarına veya yapılandırma hatalarına tek başına bakmak yerine, bir saldırganın güvenliği ihlal ederken atabileceği adımların sırasını belirlemek için Active Directory'deki nesneler arasındaki ilişkileri ve aralarında uygulanan karmaşık izinleri analiz eder. Sıradan bir kullanıcı hesabıyla kritik varlıklar ve hatta Active Directory'nin kendisi üzerinde kontrol sahibi olabilirsiniz.
Elbette yalnızca saldırı yollarını belirlemek yeterli değildir; ayrıca rakiplerin AD'nizi ele geçirmesini önlemek için bunları düzeltebilmek istersiniz. Ancak gerçek şu ki çoğu kuruluşta binlerce, hatta milyonlarca saldırı yolu vardır. Bunları tek tek engellemek kesinlikle mümkün değil. Bunun yerine, birden fazla saldırı yolu tarafından paylaşılan tıkanma noktalarını tanımlayacak bir saldırı yolu yönetim aracına ihtiyacınız var. Tıkanma noktası, birçok saldırı yolu için olaylar zincirindeki son bölümdür. Bir boğulma noktasını düzelterek ona bağlı olan tüm saldırı yollarını ortadan kaldırırsınız.
Örneğin, kullanıcı hesaplarınızın yüzde 92'sinin belirli bir saldırı yolunu kötüye kullanmak için kullanılabileceğini, yüzde 21'inin bir başkası için olası bir başlangıç noktası olarak hizmet verebileceğini ve yüzde 57'sinin üçüncü bir saldırı yolunu başlatmak için kullanılabileceğini varsayalım (toplam yüzde 100'ün üzerindedir) çünkü herhangi bir hesap birden fazla saldırı yolunda ilk adım olabilir). İlk saldırı yolunun tıkanma noktasını iyileştirerek, altındaki tüm kullanıcı hesaplarındaki saldırı yollarını ortadan kaldırırsınız, bu da saldırı yüzey alanınızı önemli ölçüde azaltabilir.
Bir diğer hayati bileşen: saldırı yolunun izlenmesi
Daralma noktalarını düzeltmek saldırı yolu sorununa ideal çözüm olsa da, bunu hemen yapmak her zaman pratik değildir. Gerçek şu ki, birçok kuruluş, Active Directory'lerinde çok fazla teknik borç olduğundan, tüm tıkanıklık noktalarını hızlı bir şekilde çözemiyor. Active Directory'deki nesneler ve aralarında uygulanan izinler arasındaki ilişkiler o kadar karmaşıktır ki, değişiklik yapmak belirli bir izne dayanan kritik bir uygulama gibi bazı şeylerin bozulması riskini doğurur.
Buna göre, saldırı yolu tanımlamayı saldırı yolu izleme ile birleştirmek çok önemlidir; herhangi bir saldırı yolunun gerçekten kullanılıp kullanılmadığını görmek için sürekli izlemek, böylece davetsiz misafirin saldırı yolu boyunca ilerlemesi için uzatılmış bekleme süresi lüksüne izin vermek yerine derhal harekete geçebilirsiniz. kritik BT varlıklarınız. Özellikle aşağıdakileri sağlayacak gerçek zamanlı bir tehdit izleme ve değişiklik yönetimi çözümü arayın:
- AD veritabanı sızma girişimleri, Altın Bilet istismarları ve DCSync saldırıları gibi aktif saldırılar ve güvenlik ihlali göstergeleri (IOC'ler) için Active Directory'yi gerçek zamanlı olarak izleyin.
- Değişiklikleri ve ayrıcalıklı gruplar, GPO'lar ve NTDS.dit dosyası gibi kritik varlıklara erişimi engelleyerek saldırganların saldırı vektörlerinden yararlanmasını engelleyin.
- Active Directory ve Azure AD ortamlarınızdaki güvenlik değişikliklerini denetleyin.
Çözüm
Saldırı yolu yönetiminin "bir kez ve yapılan" bir görev olmadığını hatırlamak hayati önem taşımaktadır. Modern bilgi işlem ortamları, hesaplarda, izinlerde, uygulamalarda ve GPO'larda sürekli değişiklik yapılan karmaşık ve son derece dinamiktir. Sonuç olarak, sürekli olarak yeni saldırı yolları ortaya çıkıyor; dolayısıyla bunları düzenli olarak aktif bir şekilde aramanız ve bunları düzeltmek veya en azından izlemek için derhal adımlar atmanız gerekiyor.