Grundlæggende AD

Active Directory (AD) er Microsofts katalogtjeneste til administration af brugere, computere og ressourcer i et Windows-netværk. Den leverer centraliseret godkendelse og autorisation.

Næsten alle virksomheder bruger AD, hvilket gør det til et oplagt mål. Kompromittering af AD betyder ofte kompromittering af hele organisationen.

Et domæne er den centrale administrative grænse i AD. Det samler objekter (brugere, grupper og computere) under en fælles database og sikkerhedspolitik.

Hvert domæne har et navn som corp.example.com. Al godkendelse i domænet håndteres af domænecontrollere.

En domænecontroller (DC) er en server, der kører AD Domain Services. Den lagrer katalogdatabasen, godkender login og håndhæver politikker.

Katalogdatabasen ligger i filen NTDS.dit. Hvis en angriber stjæler denne fil (sammen med bootnøglen), kan vedkommende udtrække alle adgangskodehashes i domænet.

Et træ er et eller flere domæner, der deler et sammenhængende navnerum. En skov er containeren på øverste niveau, som indeholder et eller flere træer.

Skoven er den egentlige sikkerhedsgrænse i AD. Inden for en skov kan domæner nås gennem tillidsrelationer.

En tillidsrelation er en relation, der lader brugere i ét domæne få adgang til ressourcer i et andet. Tillidsrelationer kan være:

• Envejs- eller tovejs: definerer adgangens retning.
• Transitive eller ikke-transitive: angiver, om tilliden videreføres til andre domæner.

Forkert konfigurerede tillidsrelationer lader angribere bevæge sig på tværs af domæner og skove.

Organisationsenheder (OU'er) er containere, der bruges til at organisere objekter og delegere administration.

Group Policy Objects (GPO'er) anvender konfigurations- og sikkerhedsindstillinger på OU'er, domæner eller sites. Angribere, der kan redigere en GPO, kan udsende skadelige indstillinger eller scripts til mange maskiner på én gang.

AD bruger Kerberos som sin primære godkendelsesprotokol. I stedet for at sende adgangskoder udveksler klienter billetter, der udstedes af Key Distribution Center (KDC), som kører på DC'en.

En bruger får først en Ticket Granting Ticket (TGT) og bruger den derefter til at anmode om tjenestebilletter. Mange AD-angreb misbruger dette billetsystem.

AD eksponerer sit katalog via LDAP (Lightweight Directory Access Protocol). Godkendte brugere kan forespørge enorme mængder oplysninger: brugere, grupper, computere og deres attributter.

Derfor er selv en domænekonto med få privilegier værdifuld. Den kan opregne hele kataloget for at finde veje til højere privilegier.

Bestemte grupper er kronjuvelerne i ethvert domæne:

• Domain Admins: fuld kontrol over domænet.
• Enterprise Admins: kontrol på tværs af hele skoven.
• Schema Admins: kan ændre AD-skemaet.

Privilegieeskalering i AD handler normalt om at finde en vej ind i en af disse grupper.

Et Service Principal Name (SPN) identificerer entydigt en tjenesteinstans, der er knyttet til en konto. Kerberos bruger SPN'er til at udstede tjenestebilletter.

Konti med SPN'er er interessante mål, fordi deres tjenestebilletter kan anmodes om og knækkes offline, en teknik kaldet Kerberoasting, som du skal lære om nu.

AD centraliserer identitet for hele organisationen, så et enkelt fodfæste kan udvikle sig til fuld kontrol. Angribere kæder adgang med få privilegier, opregning og tyveri af legitimationsoplysninger sammen for at nå Domain Admin.

Hvis du forstår strukturen (domæner, tillidsrelationer, Kerberos, LDAP og privilegerede grupper), kan du opdage disse veje, før en modstander gør det.

Du kender nu byggestenene i Active Directory:

• Domæner samler objekter; domænecontrollere godkender brugere og lagrer NTDS.dit-databasen.
• Skove er sikkerhedsgrænsen; tillidsrelationer muliggør adgang på tværs af domæner.
• Kerberos og LDAP driver godkendelse og opregning.
• Domain Admins og SPN'er er værdifulde mål.

Næste gang angriber du Kerberos direkte med Kerberoasting.