Permukaan Serangan Active Directory

Active Directory (AD) adalah tulang punggung identitas bagi sebagian besar perusahaan. AD mengatur autentikasi, otorisasi, dan kebijakan untuk pengguna, komputer, dan layanan. Karena hampir setiap sumber daya mempercayai AD, satu kompromi domain sering kali berarti kompromi seluruh jaringan.

Dari sudut pandang tim merah, AD menarik karena kepercayaan bersifat transitif dan kesalahan konfigurasi menumpuk selama bertahun-tahun. Tim biru harus memahami permukaan serangan yang sama untuk mempertahankannya.

• Satu forest dapat berisi beberapa domain yang terhubung melalui relasi kepercayaan.
• Pengontrol Domain (DC) menyimpan salinan otoritatif semua rahasia.
• Kebijakan Grup mendorong konfigurasi ke setiap host yang bergabung.

Untuk menganalisis serangan, Anda harus mengetahui objek yang terlibat. AD menyimpan semuanya sebagai objek dengan atribut dalam basis data LDAP hierarkis.

• Pengguna dan komputer adalah prinsipal keamanan dengan SID.
• Grup memberikan hak secara transitif (keanggotaan bertingkat).
• Unit Organisasi (OU) menyusun objek dan mengaitkan GPO.
• Akun krbtgt menyimpan kunci yang menandatangani semua tiket Kerberos.

Akun krbtgt adalah aset paling berharga: hash-nya memungkinkan pemalsuan Tiket Emas.

AD mendukung dua protokol autentikasi utama, dan keduanya memiliki jalur penyalahgunaan.

• NTLM adalah skema tantangan-respons yang didasarkan pada hash kata sandi pengguna. Protokol ini memungkinkan serangan relai dan pass-the-hash.
• Kerberos berbasis tiket dan lebih disukai, tetapi membuka peluang untuk Kerberoasting, AS-REP roasting, dan pemalsuan tiket.

Tim pertahanan sebaiknya menonaktifkan NTLMv1, memantau penggunaan NTLM, dan menerapkan penandatanganan SMB untuk mengurangi dampak serangan relai.

Enumerasi terautentikasi biasanya merupakan langkah pertama setelah memperoleh pijakan awal di domain. Bahkan pengguna dengan hak rendah secara bawaan dapat membaca sebagian besar direktori.

Alat melakukan kueri terhadap LDAP untuk memetakan pengguna, grup, ACL, dan jalur kepercayaan.

Selain keanggotaan grup, objek AD memiliki Daftar Kontrol Akses (ACL). ACL yang salah konfigurasi memberikan jalur serangan yang tidak terlihat dalam audit tradisional.

• GenericAll / GenericWrite memungkinkan seorang prinsipal mengatur ulang kata sandi atau menetapkan SPN.
• WriteDacl memungkinkan penyerang menulis ulang ACL objek dan memberikan hak kepada dirinya sendiri.
• Hak DCSync (Mereplikasi Perubahan Direktori) memungkinkan Anda mengambil semua hash dari jarak jauh.

BloodHound memvisualisasikan semua ini sebagai sisi dalam graf, sehingga jalur terpendek menuju Administrator Domain dapat terlihat.

Relasi kepercayaan menghubungkan domain dan forest sehingga prinsipal di satu domain dapat mengakses sumber daya di domain lain. Relasi ini merupakan vektor utama perpindahan lateral.

• Relasi kepercayaan induk-anak bersifat dua arah dan transitif dalam satu forest.
• Relasi kepercayaan eksternal dan forest melintasi batas keamanan.
• Penyalahgunaan Riwayat SID dan TGT antar-realm memungkinkan pelintasan batas kepercayaan.

Forest, bukan domain, adalah batas keamanan yang sebenarnya. Mempercayai domain yang lebih lemah dapat mengekspos seluruh forest.

Sebagian besar kompromi AD mengeksploitasi perubahan konfigurasi, bukan kerentanan zero-day. Masalah yang sering berulang meliputi:

• Akun layanan dengan kata sandi lemah dan SPN (dapat diserang dengan Kerberoasting).
• Akun dengan DONT_REQ_PREAUTH yang diaktifkan (dapat diserang dengan AS-REP roasting).
• Keanggotaan grup bertingkat yang berlebihan sehingga memberikan hak administrator tersembunyi.
• Kata sandi yang disimpan dalam GPP cpassword atau skrip SYSVOL.
• Delegasi tanpa batasan pada server non-DC.

Delegasi Kerberos memungkinkan layanan bertindak atas nama pengguna. Jika disalahgunakan, delegasi menjadi sarana eskalasi hak istimewa.

• Delegasi tanpa batasan menyimpan TGT pengguna dalam cache di server; kompromi terhadap server tersebut memberikan akses sebagai pengguna mana pun yang melakukan autentikasi, termasuk administrator.
• Delegasi dengan batasan membatasi target, tetapi dapat disalahgunakan melalui S4U2Self/S4U2Proxy.
• Delegasi Terbatas Berbasis Sumber Daya (RBCD) dapat dikonfigurasi oleh siapa pun yang memiliki hak tulis pada objek komputer.

Tim pertahanan mengurangi permukaan serangan dengan pembagian tingkat dan pemantauan.

• Terapkan model administrator bertingkat: kredensial Tingkat 0 (DC, identitas) tidak pernah digunakan pada tingkat yang lebih rendah.
• Gunakan grup Protected Users dan nonaktifkan NTLM untuk akun sensitif.
• Pantau ID peristiwa 4768/4769 (permintaan TGT/TGS), 4662 (DCSync), dan jenis masuk pada 4624.
• Terapkan LAPS agar kata sandi administrator lokal bersifat unik dan diganti secara berkala.

Penugasan AD yang umum mengikuti siklus hidup yang dapat diulang. Memahaminya membantu simulasi serangan dan rekayasa deteksi.

• Pijakan awal: phishing atau layanan yang terekspos menghasilkan akun dengan hak rendah.
• Enumerasi: BloodHound memetakan jalur.
• Eskalasi: Kerberoast, penyalahgunaan ACL, atau delegasi.
• Penguasaan: DCSync, lalu tiket Emas/Intan untuk persistensi.

Saat Anda diberi wewenang untuk menguji AD, cakupan dan pencatatan sangat penting. Ambil tolok ukur awal, dapatkan otorisasi tertulis, dan hindari tindakan destruktif seperti mengatur ulang kata sandi akun produksi.

Jalankan pengumpul selama jendela waktu yang telah disepakati dan simpan data hasil pengumpulan dalam keadaan terenkripsi. Selalu atur ulang objek sementara apa pun (pengguna laboratorium, entri RBCD) yang Anda buat selama pengujian.

Uji pemahaman Anda tentang permukaan serangan AD.

Anda telah mempelajari alasan AD menjadi target bernilai tinggi dan permukaan serangan yang membuatnya mudah disalahgunakan.

• Kepercayaan AD bersifat transitif; forest adalah batas keamanan yang sebenarnya.
• NTLM dan Kerberos masing-masing memiliki jalur penyalahgunaan yang berbeda.
• ACL, delegasi, dan akun layanan yang sudah usang menciptakan jalur hak istimewa tersembunyi.
• BloodHound memetakan jalur tersebut; pembagian tingkat, LAPS, dan pemantauan peristiwa membantu mempertahankannya.

Selanjutnya, kita akan membahas Kerberos dan Kerberoasting secara lebih mendalam.