AD:n perusteet

Active Directory (AD) on Microsoftin hakemistopalvelu Windows-verkon käyttäjien, tietokoneiden ja resurssien hallintaan. Se tarjoaa keskitetyn todennuksen ja valtuutuksen.

Lähes jokainen yritys käyttää AD:tä, mikä tekee siitä ensisijaisen kohteen. AD:n vaarantaminen tarkoittaa usein koko organisaation vaarantamista.

Toimialue on AD:n keskeinen hallinnollinen raja. Se kokoaa objektit (käyttäjät, ryhmät ja tietokoneet) yhteisen tietokannan ja suojauskäytännön piiriin.

Jokaisella toimialueella on esimerkiksi nimi corp.example.com. Toimialueen ohjauskoneet käsittelevät kaiken toimialueen sisäisen todennuksen.

Toimialueen ohjauskone (DC) on palvelin, jossa suoritetaan AD Domain Services -palvelua. Se tallentaa hakemistotietokannan, todentaa kirjautumiset ja valvoo käytäntöjä.

Hakemistotietokanta sijaitsee tiedostossa NTDS.dit. Tämän tiedoston varastaminen yhdessä käynnistysavaimen kanssa antaa hyökkääjälle mahdollisuuden poimia kaikki toimialueen salasanatiivisteet.

Puu koostuu yhdestä tai useammasta toimialueesta, joilla on yhtenäinen nimiavaruus. Metsä on ylimmän tason säilö, joka sisältää yhden tai useamman puun.

Metsä muodostaa AD:n todellisen suojausrajan. Metsän sisällä toimialueille voidaan päästä luottamussuhteiden kautta.

Luottamussuhde on suhde, jonka ansiosta yhden toimialueen käyttäjät voivat käyttää toisen toimialueen resursseja. Luottamussuhteet voivat olla:

• yksisuuntaisia tai kaksisuuntaisia: määrittää käyttöoikeuden suunnan
• transitiivisia tai ei-transitiivisia: määrittää, siirtyykö luottamus myös muille toimialueille

Väärin määritetyt luottamussuhteet mahdollistavat hyökkääjille siirtymisen toimialueiden ja metsien välillä.

Organisaatioyksiköt (OU:t) ovat säilöjä, joiden avulla objekteja järjestetään ja hallintaa delegoidaan.

Ryhmäkäytäntöobjektit (GPO:t) soveltavat määritys- ja suojausasetuksia organisaatioyksiköihin, toimialueisiin tai sijainteihin. GPO:ta muokkaavat hyökkääjät voivat levittää haitallisia asetuksia tai skriptejä samanaikaisesti useille koneille.

AD käyttää Kerberosta ensisijaisena todennusprotokollanaan. Salasanojen lähettämisen sijaan asiakkaat vaihtavat DC:llä toimivan Key Distribution Centerin (KDC) myöntämiä tikettejä.

Käyttäjä hankkii ensin Ticket Granting Ticketin (TGT) ja käyttää sitä palvelutikettien pyytämiseen. Monet AD-hyökkäykset käyttävät tätä tikettijärjestelmää hyväkseen.

AD tarjoaa hakemistonsa käytettäväksi LDAP-protokollalla (Lightweight Directory Access Protocol). Todennetut käyttäjät voivat kysellä valtavia määriä tietoja: käyttäjiä, ryhmiä, tietokoneita ja niiden määritteitä.

Siksi vähäisten oikeuksien toimialuetilikin on arvokas. Sen avulla koko hakemisto voidaan luetteloida korkeamman tason oikeuksiin johtavien reittien löytämiseksi.

Tietyt ryhmät ovat minkä tahansa toimialueen arvokkaimpia kohteita:

• Domain Admins: toimialueen täydellinen hallinta
• Enterprise Admins: koko metsän hallinta
• Schema Admins: AD-skeeman muokkaaminen

AD:n oikeuksien laajentaminen tarkoittaa yleensä reitin löytämistä johonkin näistä ryhmistä.

Service Principal Name (SPN) yksilöi tiliin liitetyn palveluinstanssin. Kerberos käyttää SPN:iä palvelutikettien myöntämiseen.

SPN:t sisältävät tilit ovat kiinnostavia kohteita, koska niiden palvelutikettejä voidaan pyytää ja murtaa offline-tilassa. Tätä tekniikkaa kutsutaan Kerberoastingiksi, jota käsittelette seuraavaksi.

AD keskittää koko organisaation identiteetinhallinnan, joten yhdestä tukikohdasta voi edetä ketjureaktiona täydelliseen hallintaan. Hyökkääjät yhdistävät vähäisten oikeuksien käyttöoikeudet, luetteloinnin ja tunnistetietojen varastamisen päästäkseen Domain Admin -tasolle.

Rakenteen (toimialueet, luottamussuhteet, Kerberos, LDAP ja etuoikeutetut ryhmät) ymmärtäminen auttaa havaitsemaan nämä reitit ennen vastustajaa.

Tunnette nyt Active Directoryn perusrakenteet:

• Toimialueet kokoavat objekteja; toimialueen ohjauskoneet todentavat käyttäjät ja tallentavat NTDS.dit-tietokannan.
• Metsät muodostavat suojausrajan; luottamussuhteet mahdollistavat toimialueiden välisen käytön.
• Kerberos ja LDAP huolehtivat todennuksesta ja luetteloinnista.
• Domain Admins ja SPN:t ovat arvokkaita kohteita.

Seuraavaksi hyökkäätte suoraan Kerberosta Kerberoastingilla.