Helyi fiókjelszavak megtámadása
Az Active Directory biztonságához nem elég megtanulni, hogy a támadók hogyan célozzák meg a gyenge tartományi fiók jelszavait. Tekintsünk túl a tartományfiókokon, és értsük meg, hogyan támadják meg az ellenfelek a helyi fiókokat a Windows szervereken és asztali számítógépeken. Ebben a bejegyzésben a legfontosabb helyi fiókra összpontosítunk: a rendszergazdára.
Az Adminisztrátori fiók minden Windows operációs rendszerbe be van építve, és teljes irányítást biztosít a rendszer felett, beleértve a tartományfiókok feltörését a Pass the Hash és a Pass the Ticket támadásokon keresztül.
Az adminisztrátori fiók két okból sebezhető a jelszavas támadásokkal szemben:
- A rendszergazdai fiókhoz nincs kizárási szabályzat. A Microsoft megjegyzi, hogy ez a fiókot „elsődleges célpontjává teszi a brutális erejű, jelszót kitaláló támadásoknak”.
- A rendszergazdai fiókok gyakran ugyanazt a jelszót használják, így ha egy fiókot feltörhet, gyakran újra felhasználhatja a jelszót a környezetben lévő többi helyi fiókban.
Nézzünk meg egy tipikus támadást a rendszergazdai fiók ellen egy népszerű eszköz, a CrackMapExec segítségével.
1. lépés: Találja ki az egyszerű szöveges jelszót brute force támadás segítségével
Mivel az adminisztrátori fióknak nincs kizárási szabályzata, korlátlanul kitalálhatja a fiók jelszavát. A jelszavas listák, például a SecList gyűjtemények használatával az ellenfél egyéni listát állíthat össze a jól ismert jelszavakból, amellyel megpróbálhat bejelentkezni a rendszergazdai fiókkal.
Célzottabb támadás létrehozásához fel tudják sorolni a célrendszerek jelszóházirendjét. Ez felfedi a minimális jelszóhosszt és a jelszó összetettségi beállításait, így a listát csak az életképes jelszavakra korlátozhatják. Ha ezt a parancsot egy tagkiszolgálón vagy munkaállomáson adjuk ki, akkor a rendszer helyi házirend-információkat ad vissza.
cme smb [hostname or list] –u [username] –p [password] –pass-pol
A célkiszolgáló helyi jelszóházirend-beállításainak felsorolása a CrackMapExec segítségével
Miután az ellenfél rendelkezik a valószínű jelszavak listájával, használhatja a következő parancsot, amely brute-force támadást indít a helyi rendszergazdai fiók ellen, felváltva tesztelve az egyes jelszavakat:
cme smb [hostname or list] –u Administrator –d builtin –p [password list]
Az adminisztrátori fiók durva kényszerítése a CrackMapExec segítségével
Itt láthatja, hogy egyértelműen túlléptem a 10 rossz jelszóra vonatkozó helyi fiókzárolási szabályzatot, de még így is képes voltam veszélyeztetni a rendszergazdai fiók egyszerű szöveges jelszavát.
2. lépés. Használja a jelszót, hogy oldalról terjedjen más rendszerekre.
Egy rendszergazdai fiók jelszavával a kézben az ellenfelek megpróbálhatják ugyanazt a jelszót használni a környezet más rendszerein. Ez a stratégia gyakran sikeres, mert nehéz lehet különböző jelszavakat beállítani és kezelni a rendszergazdai fiókhoz az egyes végpontokon. Ezért a támadók nagyon könnyen oldalirányban mozognak a kezdeti gépről nagyszámú gépre.
Védelmi stratégiák
Szerencsére számos hatékony módszer létezik a helyi rendszergazdai fiókok jelszavas támadásai elleni védekezésre. Az egyik lehetőség a fiók teljes letiltása, és új adminisztrátori fiók létrehozása a helyén.
Egy másik stratégia a Microsoft helyi adminisztrátori jelszómegoldásának (LAPS) használata a rendszergazdai jelszavak automatikus randomizálására a tartományhoz csatlakozó számítógépeken, és központilag az Active Directoryban tárolja a titkokat. Ez garantálhatja, hogy a jelszavak hosszúak és összetettek, és ne használják fel újra a számítógépeken, ami minimálisra csökkenti a sikeres támadások kockázatát.
A harmadik védekezés a csoportházirend használata az összes helyi rendszergazdai fiók hálózati bejelentkezésének megtagadására. Ez segít megelőzni a jelszó-visszajátszási támadások sikerét.
Hogyan segíthet a Netwrix
Biztosítsa Active Directoryját a végétől a végéig a Netwrix Active Directory biztonsági megoldással. Lehetővé teszi, hogy:
- Fedezze fel a biztonsági kockázatokat az Active Directoryban, és rangsorolja a mérséklési erőfeszítéseit.
- Erősítse meg a biztonsági konfigurációkat IT-infrastruktúrájában.
- Még a fejlett fenyegetéseket, például a DCSync-et, az NTDS.dit kivonást és a Golden Ticket támadásokat is azonnal észlelheti és visszatarthatja.
- Azonnal reagálhat az ismert fenyegetésekre az automatizált válaszlehetőségekkel.
- Minimalizálja az üzleti megszakításokat az Active Directory gyors helyreállításával.