Grup İlkesi saldırıları: Onlara karşı nasıl savunulur

Grup İlkesi saldırılarını engellemenin en iyi yolu, NIST Siber Güvenlik Çerçevesi (CSF) tarafından ayrıntılı olarak açıklanan tüm sütunları kapsayan derinlemesine savunma yaklaşımıdır. Bu makale bilmeniz gerekenleri açıklamaktadır: Grup İlkesi'ne bugün tam olarak nasıl saldırılıyor, Grup İlkesini bu kadar çekici bir hedef haline getiren belirli faktörler ve kuruluşunuzun Grup İlkenizi ve işinizi savunmak için uygulayabileceği temel stratejiler.

Grup İlkesini kötüye kullanan gerçek dünyadaki siber saldırıların anatomisi

Mandiant tarafından geliştirilen taktik kitabı, Grup Politikası istismarının daha geniş bir siber saldırıyla nasıl örtüştüğünü gösteriyor. Siber saldırıları sonuçları açısından düşünmek yaygın olsa da (örneğin, bir şirketin tüm verilerini şifreleyen fidye yazılımları gibi), gerçek şu ki çoğu siber saldırı, oldukça uzun bir süre boyunca dikkatli bir şekilde ortaya çıkıyor. Mandiant'ın taktik kitabı aşağıdaki beş operasyonel aşamayı özetlemektedir:

1. Sınırda yaşamak — Öncelikle, saldırganın kurbanın ağına girmesi gerekir. (Elbette, içerideki kötü niyetli kişiler zaten ağın içinde oldukları için bu aşamayı tamamen atlayabilirler.) Mandiant, saldırganların genellikle yönlendiriciler, VPN'ler, güvenlik duvarları ve posta gibi uç altyapı bileşenlerini tehlikeye atarak hedef ortama erişim elde ettiğini (veya yeniden kazandığını) belirtiyor. sunucular.
2. Karadan geçinmek — Kötü niyetli aktörler içeri girdikten sonra tespit edilmekten kaçınarak çevrede hareket etmek ister. Önemli bir teknik, işletim sistemi bileşenleri ve önceden yüklenmiş yazılımlar gibi yerleşik araçları kullanmaktır, böylece bunların etkinlikleri normal günlük işlemlerle harmanlanır.
3. GPO'ya yönelmek — Siber suçlular genellikle sıradan bir kullanıcı hesabının kontrolü gibi nispeten sınırlı erişimle başlar. Ancak bu haklar genellikle değerli verileri çalmak veya fidye yazılımını tek bir kullanıcı iş istasyonunun ötesine yayarak operasyonları durma noktasına getirmek gibi hedefleri gerçekleştirmek için yetersizdir. Bu nedenle erişim alanlarını genişletmek için günlerce, haftalarca, aylarca, hatta yıllarca dikkatle çalışıyorlar. Grup İlkesinin kötüye kullanılması ayrıcalıklı yükseltme için etkili bir stratejidir.
4. Rahatsız edin ve reddedin — Düşmanlar ihtiyaç duydukları erişim haklarına sahip olduktan sonra fidye yazılımlarını, dosya sileceklerini ve diğer kötü amaçlı yükleri dağıtırlar. Grup İlkesi bu operasyonel aşamada da kötüye kullanılabilir; çünkü birçok meşru kullanımlarından biri, yazılımı bir ağdaki cihazlara dağıtmaktır.
5. Telegraf "başarısı" — Son olarak, düşmanlar başarılı bir kesinti öyküsünü yaymak için Telegram gibi anlık mesajlaşma hizmetlerini kullanıyor. Mandiant'ın belirttiği gibi, bunu saldırının gerçek etkisinden bağımsız olarak yapıyorlar.

Bu taktik kitabı pratikte nasıl görünüyor? Son olaylardan bazılarını gözden geçirelim ve kötü niyetli aktörlerin, kurban organizasyonu ihlal ettikten sonra Grup Politikasını nasıl kötüye kullandıklarını tam olarak görelim.

SwiftSlicer: Ağa bağlı bilgisayarlara kötü amaçlı yazılım dağıtmak için Grup İlkesini kötüye kullanmak

Ocak 2023'te Ukrayna'nın ulusal haber ajansı, dosyaları silmek ve hatta Windows etki alanlarının tamamını çökertmek için tasarlanmış kötü amaçlı yazılım SwiftSlicer'ın saldırısına uğradı. Saldırının Rusya destekli Sandworm adlı örgüte atfedildiği belirtildi.

Bu durumda, kötü amaçlı yazılımı ağdaki birden fazla bilgisayara dağıtmak için Grup İlkesi kullanıldı. Daha önceki saldırılarda Sandworm, HermeticWiper ve CaddyWiper gibi diğer temizleme amaçlı kötü amaçlı yazılımları yerleştirmek için Grup İlkesi'ni kötüye kullanma tekniğinin aynısını kullanmıştı.

UNC3810: Grup İlkesi'nin kötü amaçlı yazılım dağıtmak ve yürütmek amacıyla kötüye kullanılması

Rus askeri istihbaratına (GRU) bağlı bir tehdit grubu olan UNC3810, son yıllarda Ukraynalı kuruluşlara karşı birçok casusluk ve yıkıcı operasyon gerçekleştirdi. Bir devlet kurumuna yönelik saldırılardan birinde, dosya sisteminin fiziksel sürücülerini numaralandırmak ve boş baytlarla dosya içeriğinin ve bölümlerinin üzerine yazmak için tasarlanan CADDYWIPER kötü amaçlı yazılımı kullanıldı.

Olayda UNC3810, Grup İlkesini iki şekilde kötüye kullandı:

• SwiftSlicer gibi onlar da kötü amaçlı yazılımı kurban kuruluşun Active Directory etki alanlarına katılan tüm sistemlere dağıtacak şekilde GPO'ları değiştirdiler.
• Ayrıca, kötü amaçlı yazılımı çalıştıran zamanlanmış bir görev oluşturmak için Grup İlkesi'ni de kullandılar.

Mango Sandstorm: Savunma kontrollerini köreltmek ve buluta yayılmak için Grup İlkesini kötüye kullanmak

Nisan 2023'te Microsoft Tehdit İstihbaratı, İran İstihbarat ve Güvenlik Bakanlığı'na bağlı bir kötü amaçlı yazılım çetesi olan Mango Sandstorm'un (daha önce Mercury veya Muddywater olarak biliniyordu) bir saldırı düzenlediğini bildirdi. Olay, kurbanın şirket içi ortamında başladı ve buluta doğru genişleyerek sunucu çiftliklerini, depolama hesaplarını, sanal makineleri ve sanal ağları yok etti.

Bu durumda tehdit aktörleri Grup İlkesini iki şekilde kötüye kullandı:

• Kuruluşun güvenlik kontrollerine zarar verecek şekilde GPO'ları değiştirdiler ve bu da kötü amaçlı yazılımın tespit edilmeden devreye alınmasına olanak sağladı.
• UNC3810 gibi onlar da fidye yazılımını dağıtmak amacıyla zamanlanmış bir görevi kaydetmek için Grup İlkesi'ni kullandılar.

Grup İlkesini kötüye kullanmanın temel teknikleri

Bu olaylar, saldırganların Grup İlkesini kötüye kullanarak gerçekleştirdiği dört temel hedefi ortaya koyuyor:

• Tespitten kaçının
• Bir cihazdan veya sistemden diğerine geçiş yapın
• Erişim haklarını artırın
• Kötü amaçlı yazılım dağıtma

Peki kötü niyetli aktörler bu hedeflere ulaşmak için tam olarak nasıl kullanıyor? İşte en yaygın tekniklerden bazıları.

Algılanmayı önlemek için savunma kontrollerini devre dışı bırakma

Birçok güvenlik çözümünde Grup İlkesi arayüzü bulunur. Örneğin, BT uzmanları bazı Microsoft Defender Antivirus ayarlarını yapılandırmak ve yönetmek için Grup İlkesi'ni kullanabilir. Ne yazık ki, rakipler bu yeteneği kötüye kullanabilir. Örneğin, belirli dosya veya klasörleri Microsoft Defender Antivirus taramalarının dışında tutabilirler, böylece kötü amaçlı kod veya diğer dosyaları tespit edilmeden ve engellenmeden sisteme yerleştirebilirler.

Aslında, bu tür Grup İlkesi kötüye kullanımı, daha önce açıklanan Mango Sandstorm saldırısının önemli bir parçasıydı: Grup, fidye yazılımını yerleştirirken ve çalıştırırken tespit edilmekten kaçınmak için kurban kuruluşun antivirüs yazılımına zarar vermek için Grup İlkesi'ni kullandı.

Kötü amaçlı yazılım dağıtmak için zamanlanmış bir görev oluşturma

Windows Görev Zamanlayıcı hizmeti, herhangi bir yürütülebilir dosyayı belirli bir zamanda veya belirli bir olay meydana geldiğinde otomatik olarak çalıştırabilir. Yöneticiler, bu yeteneği Grup İlkesi ile birleştirerek, kullanıcı oturumu kapattığında belirli temizleme işlemlerini yürütmek gibi çeşitli yararlı görevleri gerçekleştirebilir. Ne yazık ki, hem Mango Sandstorm hem de UNC3810 olaylarında olduğu gibi, saldırganlar kötü amaçlı yazılımları yürütmek için zamanlanmış bir görev oluşturmak amacıyla bu işlevi kolaylıkla kötüye kullanabilirler.

Üstelik zamanlanmış görevleri kötüye kullanmanın başka yolları da var. Örneğin, bir saldırgan acil bir görev oluşturabilir ve bunu bir AD kullanıcı hesabı altında çalıştırabilir: Görev, kullanıcı oturum açtığı anda çalışacak, hesabın çalıştırma ayrıcalıklarına sahip olduğu herhangi bir yürütülebilir dosyayı başlatacak ve ardından kendisini kaldıracaktır. Bu teknik hem yanal hareketi hem de ayrıcalık artışını mümkün kılabilir; örneğin, bir düşman ek hesapları tehlikeye atmak için kimlik bilgileri dökümü yapabilir. Rakipler, eğer mevcut hedefleri açısından daha uygunsa, görevleri belirli bir kullanıcı yerine SİSTEM olarak da çalıştırabilirler.

Dahası, meşru bir kullanıcı olarak çalıştığı için etkinlik neredeyse görünmez olacaktır; hesabı kötüye kullanılan kullanıcı bile bunun gerçekleştiğini bilemez.

Bir başlangıç betiğini SYSTEM olarak çalıştırma

Zamanlanmış bir görev, bazı durumlarda engel teşkil edebilecek harici bir yürütülebilir dosya gerektirir. Bu sorunu aşmak için, bir rakip bir betiği bir GPO ile paketleyebilir ve onu başlatma veya kapatma sırasında yürütülecek şekilde ayarlayabilir. Başka bir deyişle, komut dosyası Grup İlkesi nesnesinde depolanır ve bu da rakiplere tamamen bağımsız bir seçenek sunar.

Bu tekniğin birincil dezavantajı, komut dosyasının yalnızca başlatma veya kapatma sırasında çalışacak şekilde ayarlanabilmesi, zamanlanmış görevlerin ise belirli bir zamanda veya belirli bir olay üzerine tetiklenebilmesidir. Sonuç olarak saldırganın betiğin tam olarak ne zaman yürütüleceğini bilmesi daha zordur.

Grup İlkesi neden en önemli hedeftir?

Grup İlkesi'nden yararlanan saldırılara karşı etkili savunma stratejileri geliştirmek amacıyla, Grup İlkesi'nin saldırganlar için neden bu kadar çekici bir hedef olduğunu tam olarak düşünmek yararlı olacaktır. Temel faktörler Grup İlkesi'nin:

• Her yerde bulunur — Siber suç, kâr odaklı fidye yazılımı çeteleri ve yıkım ve yıkıma eğilimli ulus devletler de dahil olmak üzere, giderek daha iyi organize olmuş grupların bir aracı haline geliyor. Bu kötü niyetli aktörler, etkinliklerini en üst düzeye çıkarmak için ortamların yüksek bir yüzdesinde kullanılan teknolojileri hedef alıyor. Grup İlkesi, Active Directory'nin ayrılmaz bir bileşeni olduğundan ve günümüzde hemen hemen her kuruluşta Active Directory bulunduğundan, bu amaca mükemmel bir şekilde uymaktadır. İş yüklerini buluta taşıyan kuruluşlar bile eski iş yüklerini desteklemeleri, sıkı veri güvenliği gereksinimlerine uymaları vb. gerektiğinden genellikle şirket içi Active Directory'lerini korurlar.
• Esnek — Bir GPO, en az bir siteye, etki alanına, kuruluş birimine (OU) veya başka bir Active Directory kapsayıcısına bağlanana kadar hiçbir şey yapmaz. Bu bağlantı çok hızlı bir şekilde oldukça karmaşık hale gelebilir! Belirli bir kapsayıcının kendisine bağlı birden fazla GPO'su olabilir (ve çoğu zaman da vardır). Bu GPO'ların çakışan ayarları varsa, GPO'ların uygulanma sırasını ve dolayısıyla hangi ayarların etkili olacağını belirleyen kurallar vardır. Düşmanlar bu esnekliği kötüye kullanıyor; örneğin, Windows Yönetim Araçları (WMI) filtrelerini kullanarak hangi GPO'ların hangi cihazlara uygulanacağını değiştirebilirler.
• Herkes tarafından okunabilir — Tasarım gereği her kullanıcı yalnızca mevcut GPO'ları değil aynı zamanda bunların nereye uygulandığını ve bunlara kimlerin erişebileceğini de görebilir. Bu, herhangi bir kullanıcı hesabını ele geçiren bir bilgisayar korsanının da tüm bu bilgileri görebileceği anlamına gelir. BT ekipleri yönetimi kolaylaştırmak amacıyla genellikle Active Directory'deki nesneler için açıklayıcı adlar seçtiklerinden, saldırganlar saldırılarını yönlendirmek ve geliştirmek için ihtiyaç duydukları bilgileri kolayca bulabilirler.
• Yerel denetim kullanılarak izlenmesi zor — Varsayılan olarak, yerel Grup İlkesi denetimi etkin değildir. Öyle olsa bile, güvenlik günlüğünü inceleyen yöneticiler bir GPO'nun değiştirildiğini görebilir ancak tam olarak hangi değişikliğin yapıldığını göremez. Üstelik ayrıntılar oldukça gizemli; örneğin GPO, GUID'i ile tanımlanır ve bu pek kullanışlı değildir. Son olarak, Grup İlkesini yerel araçları kullanarak izlemek ve yönetmek için gereken derin Active Directory eğitimine sahip yeterli sayıda BT uzmanı yok.
• Son derece güçlü — Grup İlkesi, BT yöneticilerinin, BT yöneticileri gibi yüksek ayrıcalıklı kullanıcılar ve etki alanı denetleyicileri (DC'ler) gibi kritik sunucular da dahil olmak üzere, bir AD etki alanındaki kullanıcıları ve bilgisayarları merkezi olarak yönetmesine olanak tanır. Üstelik Group Policy tam anlamıyla binlerce ayar sunuyor ve çok ayrıcalıklı bir süreç altında çalışıyor. Grup İlkesi'nin kontrolünü ele geçiren rakipler, görevlerini tamamlamak için haftalarca veya aylarca titizlikle çalışmak zorunda kalmak yerine neredeyse istedikleri her şeyi yapabilirler.
• Genellikle kalem testçileri tarafından ihmal edilir — Sızma testçileri rakipler gibi düşünmek üzere eğitilir, ancak gerçek bir rakibin davranacağı şekilde davranacak risk toleransına sahip değillerdir. Sonuçta saldırganlar hasar vermek isterken, kırmızı takımın amacı herhangi bir hasar vermeden bir güvenlik açığının var olduğunu kanıtlamaktır. Gördüğümüz gibi, Grup İlkesi hem karmaşık hem de güçlüdür ve kalem testçileri genellikle bunu etkili bir şekilde değiştirecek uzmanlığa ve test uygulaması tamamlandıktan sonra onu tekrar eski haline getirebileceklerine dair güvene sahip değildir. Sonuç olarak, raporları genellikle Grup İlkesinin saldırılara karşı ne kadar savunmasız olduğunu ayrıntılarıyla anlatmakta başarısız oluyor.

Grup İlkenizi korumaya yönelik derinlemesine savunma yaklaşımı

Mango Sandstorm saldırısının ardından Microsoft, savunmalarını geliştirmek isteyen kuruluşlara rehberlik sağladı. Ne yazık ki, Grup İlkesini korumaya yönelik tavsiyeleri, kuruluşların mobil cihaz yönetimi (MDM) çözümlerini, müşterilerin Grup İlkesini göz ardı edecek şekilde yapılandırmalarıdır. Bu, birçok nedenden dolayı harika bir çözüm değil; Bunlardan en önemlilerinden biri, MDM çözümlerinin sunucular için geçerli olmamasıdır ve bu, Grup İlkesi açısından büyük bir risk faktörüdür.

Grup İlkesi çevresinde güvenliği artırmaya yönelik daha iyi bir yaklaşım, NIST CSF gibi zaman içinde test edilmiş bir çerçeve kullanan derinlemesine savunma stratejisidir. Dikkat edilmesi gereken beş (yakında altı olacak) temel işlevi ayrıntılarıyla anlatıyor: Tanımla, Koru, Yönet (çalışmalarda), Tespit Et, Yanıt Ver ve Kurtar. Kuruluşunuzun bu önemli alanların her birinde Grup İlkesi güvenliğini nasıl geliştirebileceğini inceleyelim.

Tanımlayın: GPO saldırı yollarını keşfedin.

Etki alanı denetleyicileri ve Etki Alanı Yöneticileri gibi yüksek ayrıcalıklı kullanıcılar gibi en kritik (Kademe 0) varlıklarınıza hangi GPO'ların uygulandığını bilmek kritik öneme sahiptir. Ancak Grup İlkesi karmaşıktır ve çoğu kuruluş, hangi Katman 0 varlıklarına sahip oldukları konusunda sağlam bir anlayışa bile sahip değildir.

SpecterOps Bloodhound Enterprise, Seviye 0 varlıklarınızı sizin için otomatik olarak kataloglayacak ve bu Seviye 0 varlıkların herhangi biri için geçerli olan tüm GPO'ları tanımlayacaktır. Kuruluşlar genellikle analizin ortaya çıkardığı şey karşısında şok oluyor. Örneğin, şirket içi dizini Microsoft bulutuyla eşitleyen bir sunucuya sahip olmak yaygındır. Bu sunucu açıkça kritik bir varlıktır ancak genellikle etki alanı denetleyicileriyle aynı kuruluş biriminde değildir. Bunun yerine, bazı genel sunucuların kuruluş birimine gömülü olduğundan, kendisine uygulanan GPO'lar onun hassasiyet düzeyine uygun değildir. Çoğu kuruluş, kimliği doğrulanmış tüm kullanıcıların en azından bazı Grup İlkesi nesneleri üzerinde haklara sahip olduğunu da keşfeder. Bloodhound Enterprise, bu bilgileri net görselleştirmelerle sunar; böylece hangi politikaların hangi varlıklar için geçerli olduğunu tam olarak bilirsiniz.

Koruyun: Kritik GPO'larınızı kilitleyin.

Ayrıca en kritik GPO'larınızın değiştirilmesini de önlemek istiyorsunuz. Bu şekilde, rakiplerinizin BT ortamınızın kontrolünü ele geçirmesi daha zor olacaktır ki bu her zaman iyi bir şeydir. Doğru değişim yönetimi çözümü size bu hayati süper gücü verecektir.

Yönet: GPO yönetimini uygulayın.

Her boyuttaki kuruluş genellikle Grup İlkesini değiştirebilecek çok sayıda hesaba sahiptir. Bu, rakiplere birçok fırsat sunuyor: Bu hesaplardan herhangi birinin güvenliğini ihlal ederek, Active Directory'nin inanılmaz derecede güçlü bir özelliği üzerinde kontrol sahibi oluyorlar.

Bu riski azaltmanın harika bir yolu, bir Grup İlkesi yönetim çözümüne yatırım yapmaktır. Bu şekilde, Grup İlkesini yönetmek için tek bir kimlik bilgilerine sahip olursunuz. Tüm delegasyon yönetim aracı içinde gerçekleştirilir. Genellikle sürüm oluşturma, geri alma özellikleri ve onay iş akışları gibi diğer değerli avantajlardan da yararlanırsınız.

Algıla ve yanıtla: GPO uyumlu denetimi kullanın.

Ayrıca, Grup İlkesi çevresindeki etkinliği izleyebilmek, şüpheli olaylarla ilgili gerçek zamanlı uyarılar alabilmek, tam olarak nelerin değiştiğini ayrıntılı olarak görebilmek ve istenmeyen değişiklikleri anında geri döndürüp diğer yanıt eylemlerini gerçekleştirebilmek için gelişmiş Active Directory denetimine de ihtiyacınız vardır. Daha önce de belirtildiği gibi, yerel denetim bu kadar geniş bir görünürlük ve kontrol sunamaz, ancak üçüncü taraf Active Directory denetim çözümleri bunu sağlayabilir. Seçtiğiniz herhangi bir çözümün tamamen GPO uyumlu olduğundan emin olun.

Kurtar: Grup İlkenizi geri yükleyebildiğinizden emin olun.

Son fakat en az değil, felakete hazırlıklı olmalısınız. Bir saldırı özellikle Grup İlkenizi hedeflemese bile, Active Directory'niz silinirse GPO'larınız da onunla birlikte silinir.

Verilerinizin basit bir şekilde yedeklenmesinin Active Directory ve Grup İlkesi'ni geri yüklemenize olanak sağlamayacağını anlamanız hayati önem taşımaktadır. Tamamen GPO uyumlu, kurumsal kalitede bir Active Directory yedekleme ve kurtarma çözümüyle desteklenen, ayrıntılı bir Active Directory olağanüstü durum kurtarma stratejisine ihtiyacınız var.

Çözüm

Grup İlkesi, saldırganların giderek daha yaygın bir hedefi haline geliyor; o kadar yaygın ki Mandiant, beş adımlı taktik kitabının tüm adımını GPO'lara ayırıyor. Kuruluşunuzu savunmanın en iyi yolu, NIST CSF tarafından ayrıntılı olarak açıklanan tüm sütunları kapsayan derinlemesine savunma yaklaşımı oluşturmaktır.