CISA и пет международни агенции за киберсигурност публикуваха подробни насоки, описващи 17 чести техники, които хакерите използват за компрометиране на среди с Microsoft Active Directory.

Техническото ръководство обяснява как атакуващите се възползват от конфигурации за идентичност, остарели протоколи, сертификатни услуги и привилегировани системи, за да ескалират достъпа си, да се придвижват странично и да осигурят дългосрочно присъствие в корпоративните мрежи.

Разработени от Австралийския център за киберсигурност към Australian Signals Directorate в сътрудничество с Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA) и Агенцията за национална сигурност (NSA), насоките включват и принос от Канадския център за киберсигурност, Националния център за киберсигурност на Обединеното кралство и Националния център за киберсигурност на Нова Зеландия.

То обхваща атаки срещу Active Directory Domain Services, Active Directory Certificate Services и Active Directory Federation Services.

Според техническите насоки, публикувани от CISA, Active Directory остава привлекателна цел, тъй като контролира автентификацията и оторизацията в множество корпоративни системи.

Успешното компрометиране на Active Directory може да даде на хакерите достъп до потребителски акаунти, работни станции, сървъри, електронна поща, бизнес приложения и свързани облачни услуги.

Агенциите предупреждават, че разрешителните настройки по подразбиране, поддръжката на остарели протоколи и сложните взаимовръзки между потребители, групи и системи създават голяма повърхност за атака, която защитниците трудно могат да разберат напълно.

17 техники, използвани от хакери за компрометиране на Active Directory

  1. Kerberoasting: Атакуващите изискват Kerberos сервизни билети за акаунти, конфигурирани със Service Principal Names (SPNs), след което се опитват да разбият билетите офлайн и да възстановят паролите на сервизните акаунти.
  2. AS-REP Roasting: Атакуващите получават криптирани отговори за автентификация за акаунти, които не изискват предварителна Kerberos автентификация, и ги разбиват офлайн, за да извлекат паролите.
  3. Password Spraying: Атакуващите тестват малък брой чести или предварително разкрити пароли срещу множество акаунти, намалявайки вероятността от задействане на блокиране на акаунт.
  4. MachineAccountQuota Compromise: Потребител без привилегии се възползва от квотата за компютърни акаунти на домейна, за да създаде компютърен обект и да използва наследените му права за странично придвижване или ескалация на привилегии.
  5. Unconstrained Delegation: Атакуващите компрометират компютър с активирано неограничено делегиране и извличат кеширани Ticket Granting Tickets от LSASS, като по този начин могат да придобият идентификационни данни на привилегировани потребители.
  6. Group Policy Preferences Password Compromise: Атакуващите търсят в SYSVOL остарели стойности за GPP cpassword, които могат да бъдат декриптирани с публично известен AES ключ.
  7. AD CS Compromise: Неправилно конфигурирани шаблони в Active Directory Certificate Services или издатели на сертификати позволяват на атакуващите да изискват сертификати за автентификация за други потребители, включително администратори на домейна.
  8. Golden Certificate: След кражба на сертификата и частния ключ на издател на сертификати, атакуващите подправят доверени сертификати, за да се представят за потребители и да поддържат дългосрочен достъп.
  9. DCSync: Атакуващ с права за репликация на директорията се представя за домейн контролер и изисква хашове на пароли, включително изключително чувствителния KRBTGT хаш.
  10. Dumping ntds.dit: Атакуващите копират базата данни на Active Directory и системния регистър SYSTEM от домейн контролер или резервно копие, осигурявайки офлайн извличане на хашове на идентификационни данни в домейна.
  11. Golden Ticket: Атакуващите използват компрометирания KRBTGT хаш, за да подправят Kerberos Ticket Granting Tickets, осигурявайки си обширни привилегии в домейна и дългосрочно присъствие.
  12. Silver Ticket: Атакуващите използват откраднат хаш на сервизен или компютърен акаунт, за да подправят Kerberos сервизни билети и да получат достъп до конкретни услуги, заобикаляйки нормалния процес на автентификация.
  13. Golden SAML: Атакуващите открадват сертификата за подписване на токени в AD FS и частния ключ, за да подправят SAML отговори, да се представят за потребители и да получат достъп до федерирани услуги като Microsoft 365 или Azure.
  14. Microsoft Entra Connect Compromise: Атакуващите се насочват към Password Hash Synchronization, Pass-Through Authentication или акаунти за синхронизация с високи привилегии, за да преминават между локален Active Directory и Microsoft Entra ID.
  15. One-Way Domain Trust Bypass: След получаване на хаш на парола на обект в доверен домейн, атакуващите изискват Kerberos билети от друг домейн и заобикалят предвидената посока на еднопосочното доверие.
  16. SID History Compromise: Атакуващите добавят привилегирован идентификатор за сигурност към атрибута sIDHistory на акаунт, което му позволява да наследи повишени права, скривайки източника на достъпа.
  17. Skeleton Key: Атакуващите модифицират процеса на автентификация в LSASS на домейн контролер така, че един главен паролен ключ да работи за множество акаунти, докато редовните потребителски пароли продължават да функционират.

Shadow Credentials добавят контролиран от атакуващия публичен ключ към атрибута msDS-KeyCredentialLink на акаунт. Shadow Credentials могат да активират сертификатна автентификация като жертвата, без да се променя паролата на акаунта, което прави неоторизирания достъп по-труден за откриване чрез конвенционален мониторинг на пароли.

Агенциите препоръчват домейн контролерите, сертификатните органи, AD FS сървърите и системите Entra Connect да се третират като активи от ниво Tier 0.

Организациите трябва да изолират привилегированото администриране, да внедрят устойчива на фишинг многофакторна автентификация, да използват защитени администраторски работни станции, да минимизират делегираните права, да премахнат ненужните Service Principal Names и да заменят конвенционалните сервизни акаунти с Group Managed Service Accounts, където е възможно.

Администраторите трябва също така да наложат Kerberos предварителна автентификация и AES криптиране, да настроят MS-DS-MachineAccountQuota на нула, да премахнат неограниченото делегиране, да отстранят остарелите пароли в Group Policy, да деактивират NTLM и SMBv1, където е приложимо, и да защитят LSASS.

При съмнение за компрометиране паролата на KRBTGT трябва да бъде нулирана два пъти последователно, както и редовно да се преглеждат шаблоните за сертификати, промените в SID History и msDS-KeyCredentialLink. Откриването изисква централизиран мониторинг на логовете от домейн контролерите, сертификатните органи, AD FS и Entra Connect.

Насоките наблягат на събития като 4768 и 4769 за необичайна Kerberos активност, 4662 и 5712 за репликация на директории, 4741 за неочаквано създаване на компютърен акаунт, 4886 и 4887 за заявки за сертификати и 5136 за съмнителни промени по обекти в директорията.

Дефинирането на базови линии за нормална автентификация остава от критично значение, тъй като много от техниките за атака срещу Active Directory съзнателно имитират легитимно административно поведение.