الحركة الجانبية: Pass-the-Hash وPass-the-Ticket

تشير الحركة الجانبية إلى الأساليب التي يستخدمها المهاجمون للانتقال تدريجيًا عبر الشبكة بعد إنشاء موطئ قدم أولي، بهدف الوصول إلى أهداف ذات قيمة أعلى مثل وحدات تحكم النطاق وقواعد البيانات ومحطات عمل المسؤولين. وعلى خلاف الوصول الأولي (الذي يستهدف عادةً نقطة نهاية واحدة)، تستغل الحركة الجانبية علاقات الثقة بين الأنظمة — مثل آليات المصادقة وبيانات الاعتماد المشتركة واتصال الشبكة والأدوات الإدارية — التي يعتمد عليها المستخدمون الشرعيون يوميًا. وتتيح الحركة الجانبية الفعالة لحساب واحد منخفض الصلاحيات تم اختراقه الوصول في نهاية المطاف إلى كل نظام في البيئة.

يُعد NTLM (NT LAN Manager) بروتوكول مصادقة قديمًا في Windows، ويعتمد على آلية التحدي والاستجابة. عند مصادقة عميل لدى خادم، يرسل الخادم تحديًا عشوائيًا؛ ويرد العميل عن طريق تجزئة التحدي باستخدام تجزئة NT الخاصة بالمستخدم (وهي تجزئة ثابتة مشتقة من كلمة المرور). ويتمثل العيب التصميمي الحرج في أن تجزئة NT نفسها تكفي للمصادقة، ولا يلزم استخدام كلمة المرور. تُخزَّن تجزئة NT في قاعدة بيانات Security Account Manager (SAM) على محطات العمل وفي NTDS.DIT على وحدات تحكم النطاق. وإذا حصل المهاجم على تجزئة NT، فيمكنه المصادقة باعتباره ذلك المستخدم من دون معرفة كلمة المرور مطلقًا.

يُعد Pass-the-Hash (PtH) أسلوب هجوم يستخدم فيه المهاجم تجزئة NTLM تم الحصول عليها لاعتماد نفسه على أنظمة أخرى دون معرفة كلمة المرور النصية الأصلية. بعد اختراق أحد الأنظمة واستخراج التجزئات من الذاكرة (LSASS) أو قاعدة بيانات SAM، يستبدل المهاجم مواد بيانات الاعتماد الخاصة به بالتجزئة المسروقة في طلبات المصادقة. ويُعد هذا الأمر بالغ الخطورة بصفة خاصة، لأن كلمات مرور مسؤولي النظام المحليين المشتركة (وهي شائعة في البيئات التي لا تستخدم LAPS) تعني أن تجزئة واحدة يمكن أن تتيح اختراق مئات الأجهزة أو آلافها. وتعمل أدوات مثل Mimikatz وImpacket's psexec.py وCrackMapExec على أتمتة هجمات PtH.

تقلل عدة إجراءات تخفيفية من فعالية هجمات PtH: Local Administrator Password Solution (LAPS) — أداة Microsoft التي تعيّن كلمات مرور فريدة ومتغيرة لمسؤولي النظام المحليين لكل جهاز، بحيث لا تتيح التجزئة المسروقة من جهاز واحد سوى فتح ذلك الجهاز؛ Credential Guard (في Windows 10/11) — يستخدم أمانًا قائمًا على المحاكاة الافتراضية لعزل LSASS داخل بيئة آمنة لا يمكن استخراج التجزئات منها؛ تعطيل NTLM لصالح Kerberos حيثما أمكن؛ تقييد الوصول الإداري من خلال محطات عمل الوصول ذي الامتيازات (PAWs) ونماذج الإدارة المتدرجة؛ ومجموعة الأمان Protected Users في Active Directory، التي تمنع التخزين المؤقت للتجزئات لحسابات أعضائها.

يُعد Kerberos بروتوكول المصادقة الافتراضي في بيئات Active Directory، ويتجنب إرسال كلمات المرور أو التجزئات عبر الشبكة باستخدام تذاكر مشفرة. وتتم العملية كما يلي: (1) يصادق العميل لدى Key Distribution Center (KDC) — وهو دور تؤديه وحدة تحكم النطاق — ويتلقى Ticket Granting Ticket (TGT) مشفرة باستخدام تجزئة حساب KRBTGT؛ (2) عندما يحتاج العميل إلى الوصول إلى خدمة، يقدّم TGT للحصول على Service Ticket (TGS/ST) مشفرة باستخدام مفتاح الخدمة المستهدفة؛ (3) يقدّم العميل تذكرة الخدمة إلى الهدف، الذي يتحقق من صحتها دون الاتصال بـ KDC. ويبلغ العمر الافتراضي للتذاكر 10 ساعات.

يُعد Pass-the-Ticket (PtT) النظير الخاص بـ Kerberos لهجوم Pass-the-Hash: يستخرج المهاجم تذكرة Kerberos صالحة من ذاكرة نظام مخترق ويستوردها إلى جلسته الخاصة للمصادقة باعتباره مالك التذكرة. تُخزَّن تذاكر Kerberos في الذاكرة على Windows، ويمكن استخراجها باستخدام الأمرين Mimikatz's kerberos::list وkerberos::ptt. وتُعد TGTs المسروقة الأعلى قيمة، إذ يمكن استخدامها لطلب تذاكر خدمة لأي خدمة يمكن لمالك التذكرة الوصول إليها. أما Service Tickets (TGS) المسروقة فهي محدودة بدرجة أكبر — إذ لا تمنح سوى الوصول إلى الخدمة المحددة التي أُصدرت لها.

يربط Over-Pass-the-Hash (oPtH)، الذي يُسمى أيضًا Pass-the-Key، بين سرقة تجزئة NT والحصول على تذكرة Kerberos. يستخدم المهاجم تجزئة NT أو مفتاح AES مسروقًا لـ طلب TGT لـ Kerberos من وحدة تحكم النطاق، حتى من دون معرفة كلمة المرور النصية. ويحوّل هذا الأسلوب التجزئة المسروقة إلى TGT كاملة لـ Kerberos، مما يوفر كل مرونة هجمات PtT. وتكمن قيمة هذا الأسلوب في أن العديد من المؤسسات عطّلت NTLM لصالح Kerberos — إذ يتيح oPtH نجاح الهجمات المعتمدة على التجزئة في البيئات التي تستخدم Kerberos فقط. وتنفذ Mimikatz هذا الأسلوب باستخدام sekurlsa::pth.

يستخدم المهاجمون عدة بروتوكولات للتحرك جانبيًا باستخدام بيانات الاعتماد أو التذاكر المسروقة: يتيح SMB (Server Message Block) تنفيذ الأوامر عن بُعد عبر PsExec، كما يوفر الوصول إلى الملفات عن بُعد وإنشاء الخدمات؛ ويتيح WMI (Windows Management Instrumentation) تنفيذ الأوامر عن بُعد، ويُستخدم على نطاق واسع من المسؤولين والمهاجمين على حد سواء بسبب انتشاره وثغرات التسجيل؛ ويوفر RDP (Remote Desktop Protocol) جلسة سطح مكتب تفاعلية؛ بينما يتيح WinRM/PowerShell Remoting تنفيذ أوامر PowerShell على الأنظمة البعيدة. وينبغي للمدافعين تحديد خط أساس للأنظمة التي تستخدم هذه البروتوكولات بشكل شرعي، وإطلاق تنبيهات عند رصد أنماط استخدام شاذة.

يُعد BloodHound أداة مفتوحة المصدر يستخدمها أعضاء الفرق الحمراء والمدافعون على حد سواء لتصور مسارات تصعيد الامتيازات والحركة الجانبية في Active Directory. وتجمع الأداة بيانات العلاقات (من عضو في أي مجموعة، ومن يملك حقوق المسؤول على أي جهاز، وأي الحسابات تم تمكين التفويض لها) وتعرضها في صورة رسم بياني، حيث تمثل العقد المستخدمين والأجهزة والمجموعات، وتمثل الحواف الأذونات. ويمكن لاستعلام BloodHound المسمى 'Find Shortest Paths to Domain Admins' أن يوضح للمهاجمين — وللمدافعين — بالضبط تسلسل الاختراقات الذي قد يؤدي إلى السيطرة الكاملة على النطاق. ويستخدم المدافعون BloodHound لإزالة مسارات الامتياز غير الضرورية قبل أن يستغلها المهاجمون.

يتطلب اكتشاف الحركة الجانبية ربط الأحداث عبر أنظمة متعددة. وتشمل إشارات الاكتشاف الرئيسية: معرّف حدث Windows 4648 (تسجيل الدخول باستخدام بيانات اعتماد صريحة — وهو شائع في PtH/PtT)؛ معرّف الحدث 4769 (طلب تذكرة خدمة Kerberos — ويكون غير معتاد عند طلب تذاكر لخدمات نادرًا ما يتم الوصول إليها)؛ معرّف الحدث 7045/4697 (تثبيت خدمة جديدة — وهو شائع في الحركة الجانبية القائمة على PsExec)؛ الاستخدام غير المعتاد للأدوات الإدارية من محطات عمل غير إدارية (wmic.exe وpsexec.exe)؛ وحالات الشذوذ في مصادقة SMB عندما تصادق محطات العمل لدى محطات عمل أخرى (إذ تنتقل حركة المرور الطبيعية من محطات العمل إلى الخوادم، وليس من جهاز إلى آخر مماثل). وتلتقط منصات EDR ذات إمكانات الاكتشاف السلوكي هذه الأنماط عبر الشبكة.

يمنع نموذج الإدارة المتدرجة (وهو تصميم Active Directory الموصى به من Microsoft) سرقة بيانات الاعتماد من طبقة واحدة من اختراق الطبقات الأعلى: Tier 0 (طبقة التحكم في الهوية — وحدات تحكم النطاق وAzure AD) — لا يمكن إدارة هذه الأنظمة إلا بواسطة حسابات مسؤولي Tier 0، ولا تسجّل هذه الحسابات الدخول مطلقًا إلى أنظمة Tier 1 أو Tier 2؛ Tier 1 (الخوادم والخدمات السحابية) — حسابات مسؤولي Tier 1 مخصصة؛ Tier 2 (محطات العمل والأجهزة) — حسابات مكتب الدعم والحسابات الإدارية العادية. ومن خلال عزل بيانات الاعتماد ضمن طبقات، لا يمكن استخدام حساب مسؤول محطة عمل مخترقة لمهاجمة وحدات تحكم النطاق. وهذا يواجه مباشرةً الحركة الجانبية باستخدام PtH وPtT.

اختبر مدى فهمكم لمفاهيم CompTIA Security+ (SY0-701) الواردة في هذا الدرس.

تعلّمتم في هذا الدرس ما يلي: يستغل Pass-the-Hash تصميم NTLM الذي يعامل التجزئة كبيانات اعتماد — إذ تكفي تجزئة NT للمصادقة من دون كلمة المرور، وتتم مواجهة ذلك أساسًا باستخدام LAPS وCredential Guard، ويسرق Pass-the-Ticket تذاكر Kerberos الصالحة من الذاكرة للمصادقة باعتباركم مستخدمًا آخر، وتكون تذاكر TGT المسروقة قوية بشكل خاص لأنها تستطيع إنشاء تذاكر خدمة لأي خدمة، كما أن نموذج الإدارة متعدد المستويات يمنع سرقة بيانات الاعتماد في أحد المستويات من تمكين الحركة الجانبية إلى مستويات ذات امتيازات أعلى. بعد ذلك، سنستكشف هجمات Kerberoasting وGolden Ticket التي تستهدف تطبيق Kerberos في Active Directory.