Layanan Direktori: LDAP dan Active Directory

Layanan Directory adalah repositori terpusat yang menyimpan dan mengatur Information tentang sumber daya jaringan — User, Group, Computer, printer, dan Policy. Alih-alih memelihara basis data User terpisah di setiap sistem, organisasi menggunakan layanan Directory sebagai sumber kebenaran tunggal untuk Information identitas. Semua Request Authentication divalidasi terhadap Directory, dan Policy akses diterapkan secara konsisten di seluruh perusahaan.

LDAP (Lightweight Directory Access Protocol) adalah protokol standar industri untuk melakukan query dan memodifikasi layanan Directory. LDAP mengatur entri dalam Tree hierarkis yang disebut Directory Information Tree (DIT), dengan entri yang diidentifikasi oleh Distinguished Name (DN). LDAP berjalan pada port 389 (teks biasa) dan port 636 (LDAPS — LDAP melalui TLS). LDAP adalah protokol; Directory itu sendiri merupakan produk terpisah.

Active Directory (AD) adalah layanan Directory perusahaan milik Microsoft yang dibangun di atas LDAP dan Kerberos. AD mengatur sumber daya ke dalam Domain, yang dikelompokkan menjadi Tree, lalu dikelompokkan menjadi Forest. Domain controller (DC) menjadi host basis data AD (NTDS.dit) dan menangani Authentication. AD merupakan tulang punggung manajemen identitas di sebagian besar lingkungan perusahaan Windows.

Active Directory menggunakan Kerberos sebagai protokol Authentication default. Prosesnya berlangsung melalui pemberian Ticket: Client melakukan Authentication ke Key Distribution Center (KDC) dan menerima Ticket-Granting Ticket (TGT). Saat User perlu mengakses suatu sumber daya, User tersebut memberikan TGT untuk memperoleh Service Ticket bagi sumber daya tertentu. Password tidak pernah dikirim melalui jaringan — hanya Ticket terenkripsi. Design ini penting untuk memahami serangan seperti Kerberoasting.

Object Group Policy (GPO) adalah mekanisme AD untuk menerapkan Settings Security di ribuan mesin secara bersamaan. GPO dapat mengonfigurasi requirement kompleksitas Password, timeout penguncian layar, instalasi perangkat lunak, aturan firewall, dan Settings registry. GPO ditautkan ke Container AD (site, Domain, OU) dan berlaku bagi semua User serta Computer di dalam Container tersebut. Settings GPO diperbarui setiap 90 menit secara default, sehingga kepatuhan tetap terjaga bahkan pada mesin yang menyimpang dari Policy.

Active Directory menggunakan Group Security untuk mengelola izin akses secara kolektif. Alih-alih menetapkan izin kepada User secara individual, administrator memberikan izin kepada Group dan menambahkan User ke Group yang sesuai. Group bawaan utama yang perlu dipahami untuk Security+: Domain Admins (kontrol penuh Domain), Enterprise Admins (kontrol di seluruh Forest), Schema Admins (memodifikasi skema AD), dan Administrators (administrator mesin lokal). Keanggotaan dalam Group dengan hak istimewa tinggi ini harus dikendalikan secara ketat.

Injeksi LDAP adalah padanan layanan Directory untuk injeksi SQL. Attacker memanipulasi query LDAP dengan menyisipkan karakter khusus (*, (, ), \, NUL) ke dalam input User yang langsung digabungkan ke dalam filter LDAP. Serangan yang berhasil dapat melewati Authentication, mengekstrak semua entri Directory, atau memodifikasi Object Directory. Pencegahan memerlukan validasi input dan penggunaan API LDAP berparameter, bukan penggabungan string.

Perusahaan menerapkan beberapa Domain controller untuk redundansi dan distribusi geografis. Replication AD menjaga semua DC tetap tersinkronisasi menggunakan Directory Replication Service (DRS). Attacker mengeksploitasi Replication melalui serangan DCSync — menggunakan izin Replication untuk meminta semua hash Password dari DC tanpa benar-benar login ke dalamnya. Melindungi izin Replication merupakan langkah penting dalam memperkuat AD.

LDAP biasa pada port 389 mengirimkan data—termasuk kredensial pengikatan—dalam teks biasa sehingga rentan disadap. Organisasi harus menerapkan LDAPS (LDAP melalui TLS) pada port 636 untuk mengenkripsi seluruh lalu lintas direktori. Selain itu, penandatanganan LDAP dan pengikatan saluran harus diwajibkan untuk mencegah serangan relay, yaitu ketika penyerang menyadap dan mengirim ulang pesan autentikasi LDAP untuk memperoleh akses tanpa izin.

Lingkungan Active Directory mengakumulasi kesalahan konfigurasi selama bertahun-tahun beroperasi. Kelemahan keamanan AD yang umum meliputi: delegasi tanpa batasan (memungkinkan peniruan identitas pengguna mana pun), akun layanan yang dapat diserang dengan Kerberoasting dan memiliki kata sandi lemah, target AS-REP roasting (akun dengan praauthentikasi yang dinonaktifkan), keanggotaan Domain Admin yang berlebihan, serta kesalahan konfigurasi AdminSDHolder yang memberikan izin tinggi tersembunyi. Penilaian keamanan AD secara berkala menggunakan alat seperti BloodHound membantu mengidentifikasi jalur-jalur ini.

Untuk memperjelas hubungan keduanya: LDAP adalah protokol yang digunakan untuk berkomunikasi dengan direktori (seperti HTTP digunakan untuk berkomunikasi dengan peladen web). Active Directory adalah produk layanan direktori milik Microsoft yang menggunakan LDAP sebagai protokol aksesnya. Direktori lain yang kompatibel dengan LDAP mencakup OpenLDAP (sumber terbuka), Oracle Directory Server, dan Red Hat Directory Server. Semuanya menggunakan kueri LDAP, tetapi memiliki antarmuka pengelolaan dan fitur tambahan proprietari yang berbeda.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari pelajaran ini.

Dalam pelajaran ini Anda mempelajari bahwa: LDAP adalah protokol untuk mengkueri layanan direktori menggunakan Distinguished Names dalam struktur pohon hierarkis, Active Directory menggunakan Kerberos untuk autentikasi dan GPO untuk menerapkan pengaturan keamanan di seluruh domain, serta LDAPS pada port 636 dan penandatanganan LDAP harus diwajibkan untuk mencegah penyadapan dan serangan relay. Selanjutnya kita akan membahas Privileged Access Management (PAM).