Cyber Security Academy · درس

مساحة هجوم Active Directory

كيف يمكن إساءة استخدام الثقة والمصادقة في AD.

مساحة هجوم Active Directory درس مجاني في Cyber Security Academy على CoddyKit. هذا هو الدرس 1 من أصل 4. يمكنك قراءة الدرس كاملاً أدناه مجاناً — ثم تمرن عليه مباشرة في المتصفح باستخدام محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7. هذا الدرس جزء من مسار التعلم في Cyber Security Academy، وتقدمك يتزامن عبر الويب وتطبيق CoddyKit. تتضمن دورة Cyber Security Academy 4 دروس في المجموع.

لماذا يُعد AD هدفًا رئيسيًا

يُعد Active Directory (AD) العمود الفقري للهوية في معظم المؤسسات. فهو يتحكم في مصادقة المستخدمين وأجهزة الكمبيوتر والخدمات وتفويض صلاحياتهم وفرض السياسات عليهم. وبما أن كل مورد تقريبًا يثق بـ AD، فإن اختراق نطاق واحد يعني غالبًا اختراق الشبكة بالكامل.

من منظور الفريق الهجومي، يُعد AD جذابًا لأن الثقة متعدية ولأن أخطاء الإعداد تتراكم على مدى سنوات. ويجب على الفرق الدفاعية فهم سطح الهجوم نفسه لحمايته.

يمكن أن تحتوي غابة واحدة على عدة نطاقات مرتبطة بعلاقات ثقة.
تحتفظ وحدات تحكم المجال (DCs) بالنسخة الموثوقة من جميع الأسرار.
تدفع سياسة المجموعة الإعدادات إلى كل مضيف منضم إلى النطاق.

المكوّنات الأساسية

لفهم الهجمات، يجب معرفة الكائنات المعنية. يخزن AD كل شيء على هيئة كائنات ذات سمات في قاعدة بيانات LDAP هرمية.

يُعد المستخدمون وأجهزة الكمبيوتر كيانات أمان تحمل SIDs.
تمنح المجموعات الحقوق بصورة متعدية (من خلال العضوية المتداخلة).
تنظم الوحدات التنظيمية (OUs) الكائنات وتربط بها GPOs.
يحتوي حساب krbtgt على المفتاح الذي يوقّع جميع تذاكر Kerberos.

يُعد حساب krbtgt جوهرة التاج: إذ تتيح قيمة التجزئة الخاصة به تزوير Golden Ticket.

بروتوكولات المصادقة

يدعم AD بروتوكولي مصادقة رئيسيين، ولكل منهما مسارات لإساءة الاستخدام.

يُعد NTLM مخطط تحدٍّ واستجابة يعتمد على قيمة تجزئة كلمة مرور المستخدم، ويتيح هجمات الترحيل وهجمات pass-the-hash.
يعتمد Kerberos على التذاكر وهو البروتوكول المفضّل، لكنه يتيح Kerberoasting وAS-REP roasting وتزوير التذاكر.

ينبغي للمدافعين تعطيل NTLMv1 ومراقبة استخدام NTLM وفرض توقيع SMB للحد من هجمات الترحيل.

التعداد باستخدام LDAP

يكون التعداد بعد المصادقة عادةً الخطوة الأولى بعد الحصول على موطئ قدم في أي نطاق. وحتى المستخدم منخفض الامتيازات يمكنه، افتراضيًا، قراءة معظم محتويات الدليل.

تستعلم الأدوات من LDAP لرسم خريطة للمستخدمين والمجموعات وقوائم التحكم بالوصول (ACLs) ومسارات الثقة.

# BloodHound SharpHound collector (run as domain user)
SharpHound.exe -c All --zipfilename loot

# PowerView: find users with SPNs (kerberoastable)
Get-DomainUser -SPN | select samaccountname,serviceprincipalname

قوائم التحكم بالوصول ومسارات الامتيازات

إضافةً إلى عضوية المجموعات، تحمل كائنات AD قوائم التحكم بالوصول (ACLs). وتمنح قوائم ACL التي أُعدت بشكل خاطئ مسارات هجومية لا تكشفها عمليات التدقيق التقليدية.

يتيح GenericAll وGenericWrite لكيان ما إعادة تعيين كلمات المرور أو تعيين SPNs.
يتيح WriteDacl للمهاجم إعادة كتابة قائمة ACL الخاصة بكائن ومنح نفسه الحقوق.
تتيح حقوق DCSync (Replicating Directory Changes) سحب جميع قيم التجزئة عن بُعد.

يعرض BloodHound هذه المسارات على هيئة حواف في رسم بياني، كاشفًا أقصر طريق إلى Domain Admin.

علاقات الثقة بين النطاقات

تربط علاقات الثقة بين النطاقات والغابات، بحيث تتمكن الكيانات في أحدها من الوصول إلى الموارد في الآخر. وهي من المسارات الرئيسية للحركة الجانبية.

تكون علاقات Parent-child ثنائية الاتجاه ومتعدية داخل الغابة.
تعبر علاقات الثقة External وforest حدود الأمان.
تتيح إساءة استخدام SID History وتذاكر TGT بين العوالم عبور حدود الثقة.

الغابة، لا النطاق، هي حد الأمان الحقيقي. وقد يؤدي الوثوق بنطاق أضعف إلى تعريض الغابة بأكملها للخطر.

أخطاء الإعداد الشائعة

تستغل معظم حالات اختراق AD انجراف الإعدادات، لا ثغرات zero-day. وتشمل المشكلات المتكررة ما يلي:

حسابات خدمة ذات كلمات مرور ضعيفة وSPNs، ما يجعلها قابلة لهجوم Kerberoast.
حسابات مضبوط لها DONT_REQ_PREAUTH، ما يجعلها قابلة لهجوم AS-REP roasting.
عضوية مفرطة في مجموعات متداخلة تمنح حقوق مسؤول مخفية.
تخزين كلمات المرور في GPP cpassword أو في نصوص SYSVOL البرمجية.
تفويض غير مقيّد على خوادم ليست وحدات تحكم بالمجال.

مخاطر التفويض

يتيح تفويض Kerberos لخدمة أن تتصرف نيابةً عن مستخدم. وعند إساءة استخدامه، يصبح وسيلة لتصعيد الامتيازات.

يخزّن التفويض غير المقيّد تذاكر TGT الخاصة بالمستخدمين على الخادم؛ ويؤدي اختراقه إلى تمكين المهاجم من انتحال أي مستخدم يصادق، بمن فيهم المسؤولون.
يحدّ التفويض المقيّد من الأهداف، لكن يمكن إساءة استخدامه عبر S4U2Self/S4U2Proxy.
يمكن لأي شخص يملك حقوق الكتابة على كائن كمبيوتر إعداد التفويض المقيّد المستند إلى الموارد (RBCD).

الرؤية الدفاعية

يقلل المدافعون سطح الهجوم باستخدام التقسيم إلى طبقات والمراقبة.

طبّقوا نموذج الإدارة متعدد الطبقات: يجب ألا تلامس بيانات اعتماد الطبقة 0 (وحدات تحكم المجال والهوية) الطبقات الأدنى مطلقًا.
استخدموا مجموعة Protected Users وعطّلوا NTLM للحسابات الحساسة.
راقبوا معرّفات الأحداث 4768/4769 (طلبات TGT/TGS) و4662 (DCSync) وأنواع تسجيل الدخول في 4624.
طبّقوا LAPS بحيث تكون كلمات مرور المسؤول المحلي فريدة ويتم تدويرها.

دورة حياة الهجوم في AD

تتبع مهمة AD النموذجية دورة حياة قابلة للتكرار. ويساعد فهمها في كل من محاكاة الهجمات وهندسة الكشف.

موطئ القدم: تؤدي رسالة تصيد احتيالي أو خدمة مكشوفة إلى توفير حساب منخفض الامتيازات.
التعداد: يرسم BloodHound خريطة للمسارات.
التصعيد: عبر Kerberoast أو إساءة استخدام ACL أو التفويض.
الهيمنة: تنفيذ DCSync، ثم استخدام تذاكر Golden/Diamond لتحقيق الاستمرارية.

رسم خريطة السطح بأمان

عند الحصول على تصريح لاختبار AD، يكون تحديد النطاق والتسجيل مهمين. التقطوا خط أساس، واحصلوا على تفويض مكتوب، وتجنبوا الإجراءات المدمرة مثل إعادة تعيين كلمات المرور لحسابات الإنتاج.

شغّلوا أدوات الجمع خلال الفترات المتفق عليها وخزّنوا البيانات المستخرجة بشكل مشفّر. أعيدوا دائمًا ضبط أي كائنات مؤقتة، مثل مستخدمي المختبر وإدخالات RBCD، تنشئونها أثناء الاختبار.

# Enumerate trusts and forest topology (PowerView)
Get-DomainTrust
Get-ForestDomain

# Find unconstrained delegation hosts
Get-DomainComputer -Unconstrained | select dnshostname

تحقق سريع

اختبروا فهمكم لسطح الهجوم في AD.

مراجعة

استكشفتم سبب كون AD هدفًا عالي القيمة، والسطح الذي يجعله عرضة لإساءة الاستخدام.

ثقة AD متعدية؛ فالغابة هي حد الأمان الحقيقي.
يكشف كل من NTLM وKerberos مسارات مختلفة لإساءة الاستخدام.
تنشئ قوائم ACL والتفويض وحسابات الخدمة القديمة مسارات امتيازات مخفية.
يرسم BloodHound خريطة لهذه المسارات، بينما تحميها التجزئة إلى طبقات وLAPS ومراقبة الأحداث.

بعد ذلك، سنتعمق في Kerberos وKerberoasting.

الأسئلة الشائعة

هل درس «مساحة هجوم Active Directory» مجاني؟

نعم — نص درس «مساحة هجوم Active Directory» كامل متاح مجاناً هنا على الويب. لتمرينه بشكل تفاعلي (محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7) وفتح باقي دورة Cyber Security Academy، انتقل إلى CoddyKit PRO. تتضمن دورة Cyber Security Academy 4 دروس في المجموع.

ماذا ستتعلم في «مساحة هجوم Active Directory»؟

كيف يمكن إساءة استخدام الثقة والمصادقة في AD. تتمرن على Cyber Security Academy مع أكواد عملية تشغلها مباشرة في المتصفح، ومدرس ذكاء اصطناعي متاح 24/7 يجيب على أسئلتك أثناء عملك.

هل أحتاج إلى خبرة سابقة لأبدأ Cyber Security Academy؟

لا تُشترط خبرة سابقة. Cyber Security Academy على CoddyKit منظم للمبتدئين حتى المتقدمين، لذا يمكنك البدء من هنا أو من البداية والتقدم بسرعتك الخاصة. هذا هو الدرس 1 من أصل 4.

كم من الوقت يستغرق درس «مساحة هجوم Active Directory»؟

معظم دروس CoddyKit تستغرق حوالي 5–10 دقائق. كل منها موجز وتفاعلي، لذا تحرز تقدماً مستمراً وتستأنف من حيث توقفت عبر الويب والتطبيق.

هل يمكنني كتابة وتشغيل أكواد في درس Cyber Security Academy هذا؟

نعم. كل درس في Cyber Security Academy يتضمن محرر أكواد مدمج، لذا تكتب وتشغل أكواداً حقيقية مباشرة في متصفحك وتحصل على تعليقات فورية من الذكاء الاصطناعي — بدون إعداد محلي.

جميع الدروس في هذه الدورة

← العودة إلى Cyber Security Academy