0 
0 Uma pergunta comum feita pelos clientes após a implantação é: “Os caminhos de ataque no Active Directory são tão ruins para todos?”
A resposta geralmente é “sim”, o que não os faz se sentir melhor. No entanto, o que muitas vezes os anima é saber que muitos desses caminhos de ataque podem ser corrigidos de maneira rápida e fácil, agora que a equipe de segurança sabe que eles existem.
Tipos de caminho de ataque
Do ponto de vista de um defensor, existem três tipos de caminhos de ataque:
- Aqueles que podem ser corrigidos em minutos
- Aqueles que levam dias ou semanas para resolver, e
- Aqueles que não podem ser corrigidos sem mudanças estruturais significativas ou quebra de software crítico.
Aqui estão alguns antecedentes para ajudar a entender por que eles se dividem nessas categorias.
Os caminhos de ataque de identidade são o alvo favorito do adversário para movimentos laterais e aumento de privilégios. Eles permitem que um adversário com acesso inicial passe de um usuário com poucos privilégios para um alvo de alto valor ou controle total do ambiente, explorando configurações incorretas e comportamentos do usuário em um serviço de diretório como o Active Directoryou o Azure Active Directory. Esses caminhos são numerosos e explorar qualquer caminho de ataque único é difícil para os defensores detectarem, pois os invasores geralmente usam ferramentas e credenciais legítimas e suas atividades parecem idênticas à atividade normal do usuário.
Os defensores vão querer eliminar o maior número possível de caminhos de ataque, mas alguns são mais fáceis do que outros de corrigir. De acordo com nossa experiência, esses caminhos de ataque de identidade podem ser agrupados em três categorias principais:
Conserto rápido
Uma porcentagem decente de caminhos de ataque no ambiente de AD corporativo médio pode ser corrigida em minutos simplesmente alterando as configurações.
Por exemplo, um dos meus caminhos de ataque favoritos para corrigir são administradores que não são de domínio com direitos de propriedade sobre controladores de domínio. Esse caminho de ataque é um subproduto comum de contas de automação que unem sistemas ao domínio. Também pode acontecer quando alguém promove um computador a um controlador de domínio ( DC ). A promoção de um sistema a um controlador de domínio não altera o proprietário de segurança do objeto no Active Directory. Portanto, “Bob” poderia ter criado um servidor no diretório e algum tempo depois esse sistema é promovido a um DC – agora Bob possui um DC. Qualquer um que possa ter acesso a Bob agora tem um caminho para comprometer um DC.
Eis por que esse é meu caminho de ataque favorito: seus aplicativos internos de negócios normalmente não usam o relacionamento “proprietário” para funcionar. Isso significa que, diferentemente de outros direitos de ACL, como “GenericWrite”, você pode ter certeza de que alterar o proprietário de um objeto para o grupo Admins. do Domínio não deve causar problemas imprevistos no ambiente. Isso pode ser feito localizando cada objeto Controlador de Domínio em Usuários e Computadores do Active Directory, clicando com o botão direito do mouse e selecionando “Propriedades”, depois “Segurança”, depois “Avançado”, depois “Alterar” e alterando a propriedade para o grupo Administradores de Domínio.
Há exemplos disso que são bastante óbvios quando você os vê. Algumas semanas atrás, encontrei um objeto de usuário “WIFIAuth” que tinha controle total sobre todo o domínio. Nenhum sistema corporativo precisará de um uso excessivo de privilégios para funcionar e é outra configuração incorreta óbvia que pode ser corrigida imediatamente.
Algumas dessas correções podem ter resultados dramáticos, removendo milhares de caminhos de ataque com apenas algumas horas de trabalho.
Correção moderada
A próxima categoria são os caminhos de ataque que levam dias ou semanas de trabalho para serem corrigidos.
Isso pode exigir pesquisas adicionais da equipe de analistas, um processo de correção mais complicado, exigir mudanças no comportamento ou dificultar o trabalho de outros usuários de negócios. Corrigi-los pode envolver pesar os riscos do caminho de ataque versus os efeitos colaterais da correção ou fazer mais trabalho para garantir que a correção tenha o menor impacto possível. Aqui estão alguns exemplos:
Uma conta de serviço com GenericWrite em um controlador de domínio. Para responder como isso deve ser remediado, você precisa entender o que o serviço está fazendo e com que frequência isso está ocorrendo. Isso geralmente pode ser respondido usando os logs de eventos do Windows. Para a maioria das ações que exercem um direito de entrada de controle de acesso (ACE) no Active Directory, será gerado um log de eventos do Windows correspondente. Antes de corrigir o problema, é importante coletar esses logs e verificar se esse serviço está usando esse direito. Caso contrário, remover esse direito removerá esse caminho do adversário. No entanto, se o serviço estiver em uso, ele deverá ser revisado para ver se deve, de fato, ser executado em um controlador de domínio. Talvez possa ser segmentado de alguma forma (por exemplo, usando apenas contas Tier Zero em sistemas Tier Zero).
Outro exemplo são os Administradores de Domínio (DA) que efetuam login em servidores ou estações de trabalho com suas credenciais de DA. As credenciais de DA devem ser limitadas ao uso em controladores de domínio ou outros sistemas de nível zero. Os administradores devem ter outras credenciais para modificar servidores ou estações de trabalho. Essa correção pode levar algum tempo, pois envolve a alteração do comportamento do usuário e um GPO terá que ser enviado para o ambiente para criar um novo grupo para “Administradores de estação de trabalho” e “Administradores de servidor” para acesso em ambos, respectivamente (os administradores de domínio têm acesso a esse acesso por padrão, e é por isso que eles são comumente usados dessa maneira). Abusar dos logins do DA é uma maneira extremamente comum de abusar do domínio, portanto, embora a correção possa exigir alguns ajustes, a recompensa pela segurança vale a pena.
não vai consertar
A categoria final são os caminhos de ataque que provavelmente não serão corrigidos. A correção desses caminhos geralmente requer uma quantidade tão significativa de alterações para corrigir que outros controles de mitigação podem ser preferíveis.
Por exemplo, considere o Microsoft Exchange local. O Exchange tem um histórico de exigir uma tonelada de privilégios, o que basicamente tornou o comprometimento do Exchange igual ao comprometimento do próprio AD. Embora isso tenha melhorado ao longo dos anos e a Microsoft explique como reduzir essas permissões , o Exchange Server só pode ser completamente segmentado com a introdução de um modelo de permissão dividida . O trabalho aqui pode ser muito tedioso, interromper outras integrações e causar problemas ao entrar em contato com o suporte. Por esse motivo, muitos de nossos clientes optam por não implementar totalmente as permissões divididas, mas seguem um dos seguintes procedimentos:
- Introduzir um DENY ACE em contas Tier Zero bloqueando este acesso
- Use essa descoberta para acelerar a transição para o Office 365
- Implante controles de monitoramento compensatórios em torno dessas contas específicas
Qualquer uma das três são abordagens válidas, pois a segurança é um processo de gerenciamento de risco.
Conclusão
O objetivo é fazer com que todos tenham uma taxa de exposição tão baixa quanto possível. Uma vez que uma organização possa medir a porcentagem de exposição para seus ambientes de AD, sugiro que ela trabalhe para que essa exposição fique abaixo de 20%.
Já vi clientes em 0%, mas o esforço para passar de 20% para 0% é significativo e, dependendo do cliente, eles podem ter outras iniciativas de segurança para resolver antes de voltar e apagar completamente essa exposição. Mesmo os clientes que começam em 70%-100% (que é a maioria deles) se beneficiam do conhecimento e conscientização das diferentes vias que um adversário pode explorar para assumir o domínio. Esse entendimento fornece clareza sobre o que precisa acontecer e onde uma organização pode investir para reduzir esse risco o máximo possível.
Observar os caminhos de ataque nessas três categorias ajuda os defensores a priorizar seu trabalho para obter o máximo de redução de risco para seu tempo e ser realistas sobre quais remediações serão buscadas e quais podem ser mitigadas por outros meios.
Mesmo que alguns caminhos de ataque não possam ser totalmente eliminados, a maioria das organizações pode reduzir significativamente sua exposição ao caminho de ataque com o mínimo de trabalho e efeitos colaterais. Exorto fortemente todas as organizações a usar a ferramenta de mapeamento gratuita e de código aberto BloodHound AD, encontrar e corrigir algumas dessas vitórias rápidas e começar a dificultar para o adversário.
FONTE: HELPNET SECURITY