Grup İlkesi ve GPO'lar: Active Directory'ye Nasıl Saldırılur - Microsoft Platform Yönetimi - Bloglar - Quest Community

Şşşt! Fidye yazılımını kurumsal bir ağa yaymanın harika bir yolunu bilmek ister misiniz? Kuruluşun Grup İlkesini tehlikeye atmayın.

Bir kuruluşun veri hırsızlığına karşı savunmasını felce uğratmanın harika bir yolunu bilmek ister misiniz? Grup İlkesinden Uzlaşma.

Aslında, bir Active Directory alanının tamamı üzerinde tam kontrol sahibi olmanın harika bir yolunu bilmek ister misiniz? Grup İlkesinden Uzlaşma.

Endişelenmeyin; bilgisayar korsanlarına herhangi bir sır vermiyorum. Bütün bunları zaten biliyorlar. Aslında, yıllardır verileri çalmak, kötü amaçlı yazılım yerleştirmek ve başka şekilde BT güvenliğini zayıflatmak için Active Directory'nin bu güç özelliğinden aktif olarak yararlanıyorlar. Kanıt mı istiyorsunuz? FireEye'ın 2016 M-Trends raporu, 2015 yılında Grup İlkesi nesneleri (GPO'lar) aracılığıyla fidye yazılımı dağıtmaya çalışan bir saldırganı tanımlıyor ve benzer Active Directory saldırılarının bundan çok önce de gerçekleştiğini düşünmek için her türlü neden var.

Savunma stratejinizde biraz geride mi hissediyorsunuz? Umutsuzluğa kapılmayın. Siber güvenlik riskinizi önemli ölçüde azaltmaya başlamak için bilmeniz gerekenleri burada bulabilirsiniz.

Bilgisayar korsanları neden Grup İlkesini hedef alıyor?

Bilgisayar korsanları Grup İlkesi'ni iki ana nedenden dolayı hedef alır: son derece güçlüdür ve son derece savunmasızdır.

Ne kadar güçlü?

Muhtemelen bildiğiniz gibi, Grup İlkesi herhangi bir Microsoft Active Directory ortamındaki kullanıcıların ve bilgisayarların merkezi olarak yönetilmesini sağlar ve ilgili ayarların her bir grubuna Grup İlkesi nesnesi adı verilir. İşte onlarla yapabileceğiniz kelimenin tam anlamıyla binlerce faydalı şeyden sadece birkaç örnek:

Belirli sayıda yanlış şifre girildikten sonra hesabı kilitleyin.
Uzak bilgisayarlardaki kimliği belirsiz kullanıcıların bir ağ paylaşımına bağlanmasını engelleyin.
Yardım masanıza kolayca ulaşabilmeleri veya diğer önemli kaynaklara erişebilmeleri için tüm iş kullanıcılarına standart bir yer imleri seti verin.
Belirli klasörlere erişimi kısıtlayın.
Aynı yazılımı tüm etki alanı denetleyicilerinize (DC'ler) yükleyin.
Kullanıcıların makinelerinde komut istemini devre dışı bırakın.
Windows güncellemelerinin derhal uygulandığından emin olun.
NTLM v1 kimlik doğrulama protokolünün (Kerberos'tan daha zayıf olan) kullanımını devre dışı bırakın.

Güvenlik kontrollerini aşmak ve hassas verilere erişim sağlamak için GPO'ların nasıl kötüye kullanılabileceğini görmek çok fazla hayal gücü gerektirmez. Tek yapmanız gereken yukarıda sıralanan politikaları alıp tersini düşünmek:

Bir hesap şifresini tahmin etmek için sınırsız denemeye izin verin.
Uzak bilgisayarlardaki kimliği belirsiz kullanıcıların bir ağ paylaşımına bağlanmasına izin verin.
Standart yer imleri kümesini kötü amaçlı sitelere olan bağlantılarla değiştirin.
Kritik verilere sahip klasörlere erişime izin verin.
Tüm DC'lerinize kötü amaçlı yazılım yükleyin.
Kullanıcıların makinelerinde komut istemini etkinleştirin.
Windows güncellemelerini uygulamayı bırakın.
Daha zayıf NTLM v1 kimlik doğrulama protokolünün kullanımını etkinleştirin.

Bu değişikliklerden herhangi biri kuruluşunuza ciddi şekilde zarar verebilir ve değişiklik dakikalar, hatta saniyeler içinde ağa yayılır. Bu güçlü bir teknoloji değilse ne olduğunu bilmiyorum.

Onu savunmasız kılan şey nedir?

Group Policy'yi bu kadar çekici bir hedef haline getiren diğer faktör ise birçok açıdan savunmasız olmasıdır. Her şeyden önce açık bir kitap. Active Directory'nin tasarımı, her kullanıcının sahip olduğunuz politikaları, bunların nerede uygulandığını ve bunlara kimlerin erişebileceğini görmesini sağlar. Dahası, BT ekipleri genellikle Active Directory'deki nesneler için açıklayıcı adlar kullanır; bu, yönetimi kolaylaştırır ancak bilgisayar korsanlarına saldırılarını yönlendirmek ve geliştirmek için kullanabilecekleri kritik bilgileri vermek gibi talihsiz bir yan etkiye sahiptir.

Üstelik Grup İlkesi, gücüne rağmen genellikle bir kuruluşun güvenlik stratejisinin merkezinde yer almaz. Genellikle “ayarla ve unut” teknolojisi olarak görüldüğü için dipnotta bile yer almayabilir. Aynı zamanda, yıllar içinde belirli sorunları çözmek için oluşturulan binlerce politika ve bu GPO'ları oluşturma, değiştirme ve silme izinleri verilen çok sayıda kişiye bağlı olarak, genellikle çok karmaşıktır. Hepsini çözmek inanılmaz derecede zor olabilir ve politikaları ve atanmış yöneticileri uygun araştırma ve doğrulama olmadan kaldırmak risklidir. Sonuç olarak pek çok kuruluş bunu denemiyor bile. Bu da BT ekosistemlerini son derece savunmasız bırakıyor.

Saldırılar nasıl çalışır?

Artık saldırganların Grup Politikasını neden hedeflediğini bildiğimize göre, bu politikayı aşmayı nasıl başardıklarını inceleyelim. Ne yazık ki düşündüğünüzden daha kolay. Her şeyden önce bilgisayar korsanlarının BT ekosisteminizde bir yer edinmesi gerekiyor. Ne yazık ki, bu çoğu zaman karmaşık beceriler veya egzotik teknikler gerektirmez: Parola püskürtme saldırısı, "123456" veya "password" gibi kalıcı olarak yaygın bir parolaya veya "CovidSucks2020! gibi trend olan bir parolaya sahip bir kullanıcı hesabını muhtemelen hızlı bir şekilde bulacaktır." ”. Aslında, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), son saldırıların ardındaki tehdit aktörlerinin kurban kuruluşlara ilk erişim elde etmesinin en önemli yollarından ikisinin, denenmiş ve doğrulanmış temel taktikler olan şifre tahmin etme ve şifre püskürtme olduğunu bildirmektedir.

Saldırganlar bir başlangıç noktası edindikten sonra, GPO'larınızı anlamak ve ihtiyaç duydukları hesaplara erişim sağlamak için hangi hesapları hedefleyeceklerini anlamak için çok fazla teknik bilgiye ihtiyaç duymazlar. Birkaç "Kolay" düğmesi vardır: BloodHound, PowerSploit ve Mimikatz, onlar için işin zor kısmını yapacak açık kaynaklı araçlardan yalnızca üç örnektir. Örneğin, BloodHound saldırganlara ihtiyaç duydukları tüm bilgileri hızlı bir şekilde verecektir; ortamınız çok sayıda politika ve engellenmiş miras vb. içeren karmaşık olsa bile. Saldırgan aslında şunu söylüyor: “Sanırım bu sisteme erişmek istiyorum; bu sisteme hangi GPO'lar uygulanıyor ve bu GPO'ların yöneticileri kimler?" ve BloodHound, hedef odaklı kimlik avı veya diğer saldırı vektörlerini kullanarak tam olarak hangi hesapları hedeflemeleri gerektiğinin bir listesi de dahil olmak üzere ayrıntıları açıklayacak.

Kimlik bilgisi arayan saldırılardan biri başarılı olduğunda oyun biter. Grup İlkesi, her sisteme erişim ve kontrol sağlar; böylece bilgisayar korsanlarına hemen hemen her görevi gerçekleştirme olanağı sağlar ve aynı zamanda tespit edilmekten kaçınır. Fidye yazılımı dağıtabilir veya veri sızdırabilir ve ardından, tüm DC'lerinizde çalıştırılacak bir miktar kod bırakarak, faaliyetlerine dair tüm kanıtları yakıp yok edebilirler.

Nasıl karşılık verilir

Açıkçası, Active Directory güvenliğinizi güçlendirmek istiyorsanız etkili Grup Politikası yönetimine ihtiyacınız var. Microsoft, çeşitli görevlere yardımcı olan ücretsiz bir araç olan Grup İlkesi Yönetim Konsolu'nun (GPMC) yanı sıra birçok işleme programlı erişim için bir dizi GPMC arayüzü sunar. Bununla birlikte, bu araçların her ikisinin de sınırlamaları vardır ve sorunun özünü ortadan kaldırmanıza yardımcı olmazlar: GPO'larınızı değiştirme izinleri verilmiş olan tüm bu ilginç hesaplar - BloodHound gibi araçların yalnızca tanımlama ve hizmet verme konusunda fazlasıyla yetenekli olduğu hesaplar hackerlara kadar. Kuruluşların çoğu zaman bu türden düzinelerce veya yüzlerce hesabı vardır ve bunların hepsi devralınmaya hazırdır.

Saldırı yüzey alanınızı önemli ölçüde azaltmanın harika bir yolu, GPO erişim haklarına sahip hesapların sayısını minimuma indirmektir. Elbette Alan Yöneticilerinin ve Kurumsal Yöneticilerin izinleri kaldırılamaz, ancak politikalarınız üzerinde haklara sahip düzinelerce veya yüzlerce yerine yalnızca bir hesabınız olsaydı, bunun ne kadar sinir bozucu olacağını bir düşünün. herhangi bir saldırgan.

GPOADmin gibi proxy tabanlı bir çözüm size bu işlevselliği sağlar. Tüm GPO'larınızı GPOADmin'e kaydedersiniz ve sizi bu kadar savunmasız bırakan tüm yerel delegasyonu kaldırırsınız. Yalnızca Etki Alanı Yöneticileri, Kurumsal Yöneticiler ve GPOADmin'in kendisi GPO'larınızı değiştirme iznine sahip olduğundan BloodHound ve diğer gözetleme araçları anında işe yaramaz hale gelir. Ek olarak, GPOADmin'e erişimi olan kullanıcılar da dahil olmak üzere hiç kimsenin belirli değişiklikler yapmamasını sağlayabilirsiniz, bu da en kritik ayarlarınızın hiçbir şekilde değiştirilmesini engeller.