Active Directory hitelesítési protokollok: A biztonsági kockázatok és megoldások megértése
Az Active Directory (AD) a legtöbb vállalati környezet kulcsfontosságú összetevője, mivel központosított módot biztosít a felhasználói fiókok, számítógépek és egyéb erőforrások kezelésére. Az érzékeny adatok biztonságának megőrzése érdekében különféle hitelesítési protokollok használhatók az AD mellett. Sajnos fontosságuk ellenére az AD hitelesítési protokollok nem védettek a biztonsági kockázatokkal szemben.
Mi az az AD-hitelesítés és hogyan működik?
Az Active Directory hitelesítés lehetővé teszi az IT-csapatok számára, hogy hitelesítsék és engedélyezzék a felhasználókat, végpontokat és szolgáltatásokat az Active Directory számára. Leegyszerűsíti a felhasználók és jogok kezelését, valamint központi vezérlést biztosít az eszközök és a felhasználói konfigurációk felett. Egyszeri bejelentkezési funkciót is kínál, és a gyenge protokollokat biztonságosabbakkal helyettesíti.
Az Active Directory hitelesítés általában két szabványt foglal magában, nevezetesen a Kerberost és a Lightweight Directory Access Protocolt (LDAP), amelyeket az alábbiakban részletesebben ismertetünk.
1. Kerberos protokoll
A Kerberos-alapú hitelesítés lehetővé teszi a felhasználók számára, hogy csak egyszer jelentkezzenek be a vállalati erőforrásokhoz való hozzáféréshez, egy munkamenetkulcs használatával, amely meghatározott ideig tart. A rendszer létrehoz egy jogkivonatot is, amely hozzáférési házirendeket és jogokat tartalmaz annak biztosítására, hogy a felhasználók csak az engedélyezett erőforrásokhoz férhessenek hozzá. Az AD-kiszolgálóhoz vagy a tartományvezérlőhöz való csatlakozáshoz az ügyfeleknek hitelesíteniük kell magukat egy megbízható harmadik félnél, a kulcselosztó központnál (KDC). A KDC tartalmaz egy hitelesítési szervert (AS) és egy jegykiadó szervert (TGS). Az AS hitelesíti a klienseket a hálózaton úgy, hogy titkosítja bejelentkezési adataikat a jelszavuk titkos kulcsával. Az AS sikeres hitelesítést követően jegykiadó jegyet (TGT) küld az ügyfélnek. A TGS dekódolja a TGT-t, és egy másik kulccsal titkosított tokent ad ki az ügyfélnek. A kliens ezután továbbítja a tokent a célkiszolgálónak, amely visszafejti azt, hogy korlátozott ideig hozzáférjen az erőforrásokhoz.
2. Lightweight Directory Access Protocol
Az LDAP egy olyan protokoll, amely támogatja az AD-hitelesítési szolgáltatásokat, és nyílt forráskódú és többplatformos is. Az AD LDAP-alapú hitelesítése két lehetőséget kínál: egyszerű hitelesítést és egyszerű hitelesítést biztonsági réteggel (SASL). Az egyszerű hitelesítéssel az LDAP szerverkérést generál a bejelentkezési hitelesítési adatok alapján, és lehetővé teszi az anonim és nem hitelesített kéréseket az erőforrásokhoz. A SASL viszont más hitelesítési szolgáltatásokat, például a Kerberost használ az LDAP-kiszolgálóhoz való csatlakozáshoz. Az informatikai csapatok ezt a módszert használhatják a fokozott biztonság érdekében, mivel szétválasztja a hitelesítési módszereket az alkalmazásprotokolloktól.
Linux-eszközök hitelesítése az Active Directory segítségével
Az Active Directory zökkenőmentesen integrálódik a Windows-alapú rendszerekkel és szolgáltatásokkal, de ahogy a Linux és a macOS egyre népszerűbbé válik, szükségessé vált e platformok központi hozzáférés-kezelése. A Linux-eszközök AD-hez való csatlakoztatásához újra kell konfigurálnia azokat, hogy kihasználja az LDAP csatlakoztatható hitelesítési modulját (PAM). Egy másik lehetőség a Samba - egy Windows együttműködési eszköz, amely támogatja az Active Directory hitelesítést Linux gépeken. A Samba tartományokat is létrehozhat, megosztott nyomtatószervert állíthat be, és beállíthatja a PAM-ot a helyi hitelesítéshez.
Mac-ek hitelesítése AD-n keresztül
Az informatikai csapatok LDAP/AD-összekötőt használhatnak a Mac számítógépek Active Directory infrastruktúrához való csatlakoztatásához. Az AD-összekötő az AD-identitásokat a macOS IAM-szerepkörökhöz is leképezi az egyesített SSO-hoz. A macOS 10.12 vagy újabb verzió azonban nem tud csatlakozni egy AD-tartományhoz Windows Server 2008+ tartományszolgáltatások nélkül.
Az Active Directory hitelesítés hiányosságai
Korábban az eszközkezelés és a hitelesítés főként a Windows operációs rendszerekre és az AD-re összpontosított, de a Linux, a macOS és a felhőalapú infrastruktúra megjelenésével a hozzáférés-szabályozás kezelése heterogén környezetben egyre nagyobb kihívást jelent. A régebbi AD-hitelesítés eredményeképpen több, kisebb címtárat használtak egyetlen központi platform helyett. A SaaS-alkalmazások bevezetése további kihívásokat jelent az IAM számára, mivel az alkalmazásokat áthidalták és a bonyolult beépítési folyamatokat. Azt is meg kell jegyezni, hogy a Mac számítógép AD-hez való csatlakoztatásához az informatikai csapatoknak engedélyezniük kell a gyenge kriptográfiát, ami nem tesz jót a biztonságnak.
Az AD hitelesítési protokollokkal kapcsolatos biztonsági kockázatok
Míg az Active Directory hitelesítési protokollok viszonylag biztonságosak, nem védettek a biztonsági kockázatokkal szemben. Az alábbiakban felsorolunk néhány általános biztonsági kockázatot, amelyek ezekhez a protokollokhoz kapcsolódnak:
1. Jelszó alapú támadások: A jelszó alapú támadások a támadók által gyakran használt módszer az AD-erőforrásokhoz való jogosulatlan hozzáféréshez. Ide tartoznak a szótári támadások, a brute force támadások és a jelszószórással kapcsolatos támadások. A jelszavak kiszórása különösen a támadások egyik fajtája, ahol a támadó néhány gyakran használt jelszót próbál ki számos felhasználói fiók ellen, abban a reményben, hogy valaki gyenge jelszót használt.
2. Man-in-the-middle támadások: A Man-in-the-middle támadások során a támadó elfogja a két fél közötti kommunikációt, és kiadja magát az egyik vagy mindkét félnek, gyakran azzal a céllal, hogy ellopja a bejelentkezési adatokat.
3. Pass-the-hash támadások: A kivonatolást átengedő támadások során a támadó jelszókivonatokat von ki egy feltört rendszerből, és ezzel hitelesít más rendszereket anélkül, hogy meg kellene adnia a tényleges jelszót.
4. Gyenge hitelesítési beállítások: A gyenge hitelesítési beállítások, például a gyenge jelszavak engedélyezése vagy a többtényezős hitelesítés nem kényszerítik ki, megkönnyíthetik a támadók számára, hogy jogosulatlan hozzáférést kapjanak érzékeny erőforrásokhoz.
Megoldások a biztonsági kockázatok csökkentésére
Az Active Directory hitelesítési protokollokhoz kapcsolódó biztonsági kockázatok csökkentése érdekében fontos a megfelelő biztonsági vezérlők bevezetése. Az alábbiakban felsoroljuk a legfigyelemreméltóbb megoldásokat:
1. Erős jelszószabályok: Az olyan erős jelszószabályok betartatása, amelyek megkövetelik a felhasználóktól, hogy bonyolult jelszavakat használjanak és rendszeresen módosítsák azokat, megnehezítheti a támadók számára a jelszavak kitalálását vagy feltörését.
2. Többtényezős hitelesítés (MFA): Az MFA egy hitelesítési folyamat, amelyhez legalább kétféle hitelesítés szükséges a személyazonosság igazolására. Ez magában foglalhat valamit, amit a felhasználó tud (pl. jelszó), és olyasmit, amivel a felhasználó rendelkezik (például token vagy intelligens kártya). Az MFA megvalósítása jelentősen javíthatja az AD hitelesítési protokollok biztonságát.
3. Titkosítás: Az ügyfél és a szerver közötti kommunikáció Secure Socket Layer (SSL) vagy Transport Layer Security (TLS) használatával történő titkosítása védelmet nyújthat a köztes támadásokkal szemben.
4. Least Privilege Access: A legkisebb jogosultság (PoLP) elvének alkalmazásával minimálisra csökkenthető a hash támadások kockázata. Ezt úgy lehet megtenni, hogy a felhasználók hozzáférését csak a munkájuk elvégzéséhez szükséges erőforrásokra korlátozzák.
5. Kiváltságos fiókfigyelés: Használjon valós idejű auditálási megoldást, amely segít azonosítani az anomáliás privilegizált fióktevékenységeket. Ide tartozik a túlzott kiváltságos felhasználók, az inaktív felhasználók/számítógépek, a nyílt megosztások, a régebbi problémák, a soha le nem járt jelszavak és egyebek azonosítása.
Következtetés
Az AD hitelesítési protokollok döntő szerepet játszanak a vállalati környezetek biztonságában. Az AD-ben tárolt információk érzékeny természete miatt azonban ezek a protokollok továbbra is a kiberbűnözők célpontjai maradnak. E kockázatok megértése és azok csökkentése kulcsfontosságú ahhoz, hogy biztonságos környezetet biztosítsunk a felhasználók és a szervezet egésze számára. Az erős jelszóházirendek, a többtényezős hitelesítés, a valós idejű megfigyelés és a titkosítás alkalmazása segíthet csökkenteni az AD-hitelesítési protokollokhoz kapcsolódó biztonsági kockázatokat.
Ha szeretné látni, hogy a Lepide hogyan segítheti az Active Directory hitelesítési protokollok védelmét, ütemezze be a bemutatót valamelyik mérnökünkkel, vagy kezdje el az ingyenes próbaverziót még ma.