AD की मूल बातें

Active Directory (AD) Windows नेटवर्क में उपयोगकर्ताओं, computerों और संसाधनों के प्रबंधन के लिए Microsoft की निर्देशिका सेवा है। यह केंद्रीकृत प्रमाणीकरण और प्राधिकरण प्रदान करती है।

लगभग हर उद्यम AD चलाता है, जिससे यह प्रमुख लक्ष्य बन जाता है। AD से समझौता करने का अक्सर अर्थ पूरे संगठन से समझौता करना होता है।

डोमेन AD में मुख्य प्रशासनिक सीमा है। यह साझा डेटाबेस और सुरक्षा नीति के अंतर्गत वस्तुओं (उपयोगकर्ताओं, समूहों, computerों) को एक साथ रखता है।

प्रत्येक डोमेन का नाम corp.example.com जैसा होता है। डोमेन के भीतर सभी प्रमाणीकरण डोमेन नियंत्रकों द्वारा संभाले जाते हैं।

डोमेन नियंत्रक (DC) वह server है जो AD डोमेन सेवाएँ चलाता है। यह निर्देशिका डेटाबेस संग्रहीत करता है, लॉग-इन का प्रमाणीकरण करता है और नीति लागू करता है।

निर्देशिका डेटाबेस NTDS.dit file में रहता है। इस file को (बूट कुंजी के साथ) चुराने से हमलावर डोमेन के प्रत्येक पासवर्ड हैश को निकाल सकता है।

पेड़ एक या अधिक ऐसे डोमेन होते हैं जो एक सतत नामस्थान साझा करते हैं। वन शीर्ष-स्तरीय कंटेनर है जिसमें एक या अधिक पेड़ होते हैं।

वन AD में वास्तविक सुरक्षा सीमा है। एक वन के भीतर, विश्वास संबंधों के माध्यम से डोमेन तक पहुँचा जा सकता है।

विश्वास ऐसा संबंध है जो एक डोमेन के उपयोगकर्ताओं को दूसरे डोमेन के संसाधनों तक पहुँचने देता है। विश्वास इस प्रकार के हो सकते हैं:

• एकतरफ़ा या दोतरफ़ा: पहुँच की दिशा निर्धारित करता है।
• संक्रमणीय या गैर-संक्रमणीय: यह निर्धारित करता है कि विश्वास अन्य डोमेन तक आगे प्रवाहित होगा या नहीं।

गलत ढंग से विन्यस्त विश्वास हमलावरों को डोमेन और वनों के बीच आगे बढ़ने देते हैं।

संगठनात्मक इकाइयाँ (OUs) वस्तुओं को व्यवस्थित करने और प्रशासन सौंपने के लिए उपयोग किए जाने वाले कंटेनर हैं।

समूह नीति वस्तुएँ (GPOs) OUs, डोमेन या साइटों पर विन्यास और सुरक्षा सेटिंग लागू करती हैं। जो हमलावर किसी GPO को संपादित कर सकते हैं, वे एक साथ कई computerों पर दुर्भावनापूर्ण सेटिंग या स्क्रिप्ट भेज सकते हैं।

AD अपने प्राथमिक प्रमाणीकरण प्रोटोकॉल के रूप में Kerberos का उपयोग करता है। पासवर्ड भेजने के बजाय, क्लाइंट DC पर चल रहे Key Distribution Center (KDC) द्वारा जारी किए गए टिकटों का आदान-प्रदान करते हैं।

उपयोगकर्ता पहले Ticket Granting Ticket (TGT) प्राप्त करता है, फिर उसका उपयोग सेवा टिकट माँगने के लिए करता है। AD के कई हमले इस टिकट प्रणाली का दुरुपयोग करते हैं।

AD अपनी निर्देशिका LDAP (Lightweight Directory Access Protocol) के माध्यम से उपलब्ध कराता है। प्रमाणीकृत उपयोगकर्ता बहुत बड़ी मात्रा में जानकारी पूछ सकते हैं: उपयोगकर्ता, समूह, computer और उनकी विशेषताएँ।

इसीलिए कम-विशेषाधिकार वाला डोमेन खाता भी मूल्यवान होता है। यह उच्चतर विशेषाधिकारों तक पहुँचने के मार्ग खोजने के लिए पूरी निर्देशिका की गणना कर सकता है।

कुछ समूह किसी भी डोमेन के सबसे महत्वपूर्ण लक्ष्य होते हैं:

• Domain Admins: डोमेन का पूर्ण नियंत्रण।
• Enterprise Admins: पूरे वन में नियंत्रण।
• Schema Admins: AD स्कीमा को संशोधित कर सकते हैं।

AD में विशेषाधिकार-वृद्धि का आमतौर पर अर्थ इन समूहों में से किसी एक तक पहुँचने का मार्ग खोजना होता है।

Service Principal Name (SPN) किसी खाते से जुड़े सेवा उदाहरण की विशिष्ट पहचान करता है। Kerberos सेवा टिकट जारी करने के लिए SPN का उपयोग करता है।

SPN वाले खाते दिलचस्प लक्ष्य होते हैं, क्योंकि उनके सेवा टिकट माँगे और ऑफलाइन तोड़े जा सकते हैं। इस तकनीक को Kerberoasting कहा जाता है, जिसका अध्ययन आप अगले पाठ में करेंगे।

AD पूरे संगठन की पहचान को केंद्रीकृत करता है, इसलिए एक छोटी-सी प्रारंभिक पहुँच भी पूर्ण नियंत्रण में बदल सकती है। हमलावर कम-विशेषाधिकार वाली पहुँच, गणना और प्रमाण-पत्र चोरी को जोड़कर Domain Admin तक पहुँचते हैं।

संरचना (डोमेन, विश्वास, Kerberos, LDAP, विशेषाधिकार-प्राप्त समूहों) को समझने से आप इन मार्गों को किसी हमलावर के खोजने से पहले पहचान सकते हैं।

अब आप Active Directory के मूल घटकों को जानते हैं:

• डोमेन वस्तुओं को समूहित करते हैं; डोमेन नियंत्रक प्रमाणीकरण करते हैं और NTDS.dit डेटाबेस संग्रहीत करते हैं।
• वन सुरक्षा सीमा होते हैं; विश्वास डोमेन के बीच पहुँच सक्षम करते हैं।
• Kerberos और LDAP प्रमाणीकरण और गणना को संचालित करते हैं।
• Domain Admins और SPNs अत्यधिक मूल्यवान लक्ष्य हैं।

अगले पाठ में आप Kerberoasting के माध्यम से सीधे Kerberos पर हमला करेंगे।