Meghatározva a támadási felület csökkentése

A szervezet támadási felülete magában foglalja a hálózat, az eszköz vagy az IT-infrastruktúra bármely olyan területét, amely veszélybe kerülhet egy kibertámadás során. Ahogy el tudja képzelni, a támadási felületek olyan gyorsan nőnek, mint a különféle eszközökre és távoli alkalmazásokra való támaszkodásunk.

Ebben a blogban a támadási felület csökkentésével (ASR) foglalkozunk - ez a kiberbiztonság kulcsfontosságú koncepciója, amely a potenciális támadók által a rendszeren belül kihasználható sebezhetőségek minimalizálására, valamint az Active Directory biztonságának központi szerepére összpontosít teljes támadási felület.

Mi a támadási felület csökkentése?

Röviden, a rendszer támadási felülete mindazon támadási vektorok összessége, amelyeket egy jogosulatlan felhasználó felhasználhat, hogy megpróbáljon betörni egy környezetbe, hogy elérje céljait, például pusztítást, adatok kiszűrését vagy további támadások indítását. egyéb) célpontok. A támadási felület csökkentése (ASR) a kiberbiztonság egyik alapfogalma, és magában foglalja azon sebezhetőségek minimalizálását, amelyeket a potenciális támadók kihasználhatnak a rendszerben.

Az ASR-stratégiák célja, hogy csökkentsék ezeket a támadási felületeket a szükségtelen funkciók megszüntetésével, a szolgáltatások és funkciók általános megkeményítésével, a hozzáférés-szabályozás szigorításával és a szoftverek rendszeres frissítésével.

Többek között a környezet támadási felületének csökkentésére irányuló stratégiák a következők lehetnek:

• A legkisebb kiváltság elve. Korlátozza azt a kárt, amelyet a támadók okozhatnak, amikor feltörik a felhasználói fiókot vagy alkalmazást azáltal, hogy korlátozza a hozzáférést, hogy csak azt engedélyezze, ami szükséges egy felhasználói szerep és semmi több.
• Hálózati szegmentálás. Ossza fel a hálózatot külön szegmensekre, így korlátozza a fenyegetések terjedését a hálózaton belül, vagy jelentősen megnehezíti a kihívást. Ha a támadó hozzáfér a hálózat egy részéhez, a hálózati szegmentáció segíthet abban, hogy a hálózat ezen részén belül maradjon, további lépésekre kényszerítve, hogy a környezetben mozogjanak, és több időt és lehetőséget biztosítanak a rosszindulatú tevékenységek észlelésére. .
• A konfiguráció keményítése (biztosítása). Fokozza alkalmazásai és rendszerei biztonsági konfigurációját. Például tiltsa le a szükségtelen szolgáltatásokat, zárja be a nem használt portokat, telepítse és konfigurálja a megfelelő biztonsági eszközöket (például egy végpontészlelési és válaszadási megoldást) stb.
• Auditálás és felügyelet. Rendszeresen ellenőrizze és figyelje a rendszereket és hálózatokat szokatlan viselkedés, irányelvsértések vagy támadások jelei miatt. Ez segíthet a lehetséges sebezhetőségek vagy folyamatban lévő támadások azonosításában.

Most, hogy megvizsgáltuk a támadási felület csökkentésének általános koncepcióját, nézzük meg, hogyan vonatkozik ez az Active Directoryra - az IT-infrastruktúra egyik legkritikusabb összetevőjére.

Miért gyakori támadási felület az Active Directory?

A több mint két évtizedes múltra visszatekintő Microsoft Active Directory a Microsoft egyik legrégebbi terméke. Még ma is kulcsfontosságú eleme marad számos környezetben, olyan alapvető szolgáltatásokat nyújtva, mint a hitelesítés és a házirendek érvényesítése (csoportházirendek). Míg az Active Directory jelentős fejlődésen ment keresztül, és számos fejlesztésen ment keresztül, továbbra is kihívást jelent a szervezetek számára, gyakran Achilles-sarkaként szolgál a biztonsági rések során. Ahogy Alex Weinert, a Microsoft személyazonosság-biztonsági igazgatója a 2022-es atlantai The Experts Conference rendezvényen kiemelte, a jogsértések elsősorban a helyszínen történnek.

Figyelembe véve az Active Directory fennállásának hosszú időtartamát, feltételezhető, hogy a védők ügyesek lettek volna a védelmében. Sajnos ennek az ellenkezője igaz. Ahogy a felhőtechnológia egyre terjed, és vonzza a munkaerőt, úgy tűnik, az Active Directory ismerete gyorsan csökken. Sőt, a támadóknak több mint két évtizede lehetőségük nyílt arra is, hogy fejlesszék képességeiket, és ez a katasztrófa lehetséges receptje.

Ha valami, a fentiek mindegyike rávilágít a robusztus Active Directory-infrastruktúra fenntartásának rendkívül fontosságára. A szervezeteknek törekedniük kell arra, hogy minimalizálják a támadási felületet a környezetükben. Ezzel javíthatják az Active Directory biztonsági helyzetét, és mérsékelhetik vagy drámaian csökkenthetik a lehetséges kockázatokat.

Az Active Directory felületkezelésének bevált módszerei

Az Active Directory támadási felületének csökkentése több elem figyelembevételét és konkrét intézkedések végrehajtását igényli, beleértve a következő területeket:

Rendszeres javítás és frissítés

A szoftverrel hibák fordulnak elő. A hiba (a) típusától függően előfordulhat egy biztonsági rés, amely lehetőséget biztosít a támadóknak, hogy hozzáférjenek a környezethez. Bár nem minden hiba és sebezhetőség azonos, van egy közös bennük: szoftverfrissítéseket adnak ki ezek orvoslására. Ezért elengedhetetlen, hogy naprakész maradjon a legújabb szoftverfrissítésekkel és javításokkal. A foltkezelés valószínűleg a leghatékonyabb támadási felület csökkentésére irányuló tevékenység.

Többszintű adminisztráció megvalósítása

Az adminisztratív tevékenységek és a szokásos felhasználói tevékenységek elkülönítése minimálisra csökkenti az oldalirányú mozgás és a jogosultságok fokozódásának kockázatát. Ez a megközelítés korlátozza a feltört fiókok lehetséges hatását, és csökkenti a támadási felületet. Mivel a többszintű adminisztráció témája önmagában is megérdemel egy cikket, további információért fontolja meg a 0. szintről szóló cikk elolvasását.

Monitoring és auditálás végrehajtása

Az Active Directory figyelésének és auditálásának számos szempontja van.

• Győződjön meg arról, hogy figyelemmel kíséri a környezetben végzett tevékenységeket. Ehhez rendszeresen meg kell néznie a bejelentkezési naplókat, hogy ellenőrizze, van-e valami szokatlan. Ez lehetővé teszi a potenciálisan rosszindulatú tevékenységek észlelését, amikor azok megtörténnek, és lehetővé teszi, hogy időben reagáljon. Ezeknek a tevékenységeknek a figyelése nem egyszerű, különös tekintettel arra, hogy az Active Directory sok szolgáltatásért felelős. Bár létrehozhatja megfigyelőrendszerét a fejlett auditálás és naplózás engedélyezésével, valamint ezeknek a naplóknak a SIEM-be való exportálásával az események korrelációja érdekében, sokkal hatékonyabb, ha olyan kész, harmadik féltől származó auditálási megoldásokat fontolgat, amelyek leegyszerűsíthetik ezeket a folyamatokat.
• Fontolja meg a környezet módosításainak ellenőrzését. Elegendő jogosultság birtokában a támadók szívesen módosítanak a környezet konfigurációján, így például észrevétlenül maradhatnak, szélesebb körű hozzáférést biztosítanak a rendszerekhez, vagy hátsó ajtót hoznak létre a folyamatos hozzáféréshez. . A Change Auditor for Active Directory egy kiváló példa arra a megoldásra, amely segíthet tudatában maradni a történéseknek. Még a tévedésből vagy rosszindulatú módosítások gyors visszaállítását is lehetővé teszi.
• Rendszeresen ellenőrizze a környezet konfigurációját. Sok alkalmazáshoz hasonlóan az Active Directory is egy élő környezet: a konfiguráció idővel változhat, fiókok jönnek létre és eltávolíthatók, engedélyek adódnak stb. Minél nagyobb a környezet, annál nehezebb lehet tájékozódni mindenről, ami benne történik. Figyelembe véve, hogy egyetlen hibás konfiguráció növelheti a környezet kitettségét, rendszeresen felül kell vizsgálnia a konfigurációt. Itt ugyanaz az ajánlás érvényes, mint korábban: bár megteheti ezt saját maga is, fontolja meg harmadik féltől származó megoldások igénybevételét, amelyek segítenek az olyan feladatokban, mint a megfigyelés, az auditálás és a támadási útvonalak feltárása.

Rendszeresen állítsa vissza a KRBTGT jelszót kétszer

A KRBTGT-fiók kritikus célpont a támadók számára, mivel feltörésével minden tartományi erőforráshoz érvényes tokeneket hozhatnak létre. A jelszó kétszeri visszaállítása - egy meghatározott eljárást követően - érvényteleníti a korábbi jelszavakat, és használhatatlanná teszi a feltört fiók által kibocsátott tokeneket. Ne feledje, hogy ez csak egy része a munkának: a jelszó visszaállítása nem akadályozza meg a támadókat abban, hogy hozzáférjenek a környezethez, ha más támadási útvonalakat vagy hátsó ajtókat hoztak létre.

Védje a tartományvezérlőket

Erősítse meg a tartományvezérlő rendszereket az internet-hozzáférés korlátozásával, a bejövő forgalom bizonyos jól ismert portokra való korlátozásával, valamint az operációs rendszer biztonságossá tételével olyan modern biztonsági eszközökkel, mint az Endpoint Detection & Response (EDR) és a rosszindulatú programok elleni megoldások.

Szüntesse meg a nem biztonságos protokollok és titkosítások használatát

Egyes, az Active Directory által támogatott protokollokról ismert, hogy érzékenyek a támadásokra. Ilyen például az SMB v1 és az NTLM v1. Hacsak másképp nem támogatható egyes régebbi alkalmazások, akkor törölnie kell ezeknek a protokolloknak a használatát a környezetéből úgy, hogy letiltja a támogatásukat a tartomány és a tartományvezérlő szintjén.

Erős jelszópolitikát valósítson meg

Ahelyett, hogy gyakran váltogatná a jelszavakat, fontolja meg egy erős jelszóházirend bevezetését, amely hosszabb jelszavakat igényel. Ha egy jelszó elég hosszú - például, mint egy jelmondat -, a jelszó összetettsége nem növeli drámaian a biztonságát. Egy tisztességes jelszópolitika mellett a jelszavak évente egyszeri megváltoztatása több mint elég. Ha tudja, növelje a jelszavas biztonságot a jelszavas védelem (Azure AD) megvalósításával a helyszíni Active Directoryhoz. Ezzel a helyszíni környezetből származó jelszókivonatokat összehasonlítja az ismert kiszivárgott/feltört jelszavakkal. A rendszergazdák figyelmeztetést kapnak, ha ilyen jelszót észlelnek a környezetben.

A támadási felület csökkentése és az AD biztonság létfontosságú

Az Active Directory biztonságossá tétele fontos a szervezet környezetében betöltött kritikus szerepe miatt. Noha előfordulhat, hogy a modern hitelesítési mechanizmusok, például a többtényezős hitelesítés natív támogatása hiányzik, számos egyéb intézkedést is megtehet a biztonság fokozása érdekében. A kulcs az, hogy a támadási felület csökkentésére és a környezet folyamatos monitorozására összpontosítsunk. A támadási felület csökkentésével korlátozza a támadók lehetőségeit a környezethez való hozzáférésre.

A folyamatos megfigyelés elengedhetetlen a napi tevékenységekhez és a környezet konfigurációjának rendszeres ellenőrzéséhez. A környezet aktív figyelésével gyorsabban és hatékonyabban észlelheti a gyanús vagy rosszindulatú tevékenységeket, és reagálhat rájuk.

Bár ezen intézkedések egyike sem garantálja, hogy soha nem fog találkozni a biztonsági résekkel, jelentősen lelassíthatják és akadályozhatják a támadókat, így több időt és lehetőséget biztosítanak a potenciális fenyegetések azonosítására és mérséklésére.