Servizi di directory: LDAP e Active Directory

Un servizio di directory è un archivio centralizzato che memorizza e organizza le informazioni sulle risorse di rete, come utenti, gruppi, computer, stampanti e policy. Invece di gestire database utenti separati su ogni sistema, le organizzazioni usano un servizio di directory come fonte unica e autorevole per le informazioni sulle identità. Tutte le richieste di autenticazione vengono convalidate rispetto alla directory e le policy di accesso vengono applicate in modo coerente all'interno dell'organizzazione.

LDAP (Lightweight Directory Access Protocol) è il protocollo standard del settore per interrogare e modificare i servizi di directory. LDAP organizza le voci in una struttura gerarchica ad albero chiamata Directory Information Tree (DIT), con voci identificate da un Distinguished Name (DN). LDAP utilizza la porta 389 (testo non cifrato) e la porta 636 (LDAPS, ovvero LDAP su TLS). LDAP è il protocollo; la directory è un prodotto distinto.

Active Directory (AD) è il servizio di directory aziendale di Microsoft, basato su LDAP e Kerberos. Organizza le risorse in Domains, che vengono raggruppati in Trees, a loro volta raggruppati in Forests. Un domain controller (DC) ospita il database di AD (NTDS.dit) e gestisce l'autenticazione. AD costituisce la base della gestione delle identità nella maggior parte degli ambienti aziendali Windows.

Active Directory utilizza Kerberos come protocollo di autenticazione predefinito. Il processo si basa sull'emissione di ticket: il client esegue l'autenticazione presso il Key Distribution Center (KDC) e riceve un Ticket-Granting Ticket (TGT). Quando l'utente deve accedere a una risorsa, presenta il TGT per ottenere un Service Ticket specifico per quella risorsa. Le password non vengono mai inviate sulla rete: vengono trasmessi solo ticket crittografati. Questo modello è fondamentale per comprendere attacchi come il Kerberoasting.

I Group Policy Objects (GPO) sono il meccanismo di AD per applicare simultaneamente le impostazioni di sicurezza a migliaia di computer. I GPO possono configurare i requisiti di complessità delle password, i timeout del blocco dello schermo, l'installazione del software, le regole del firewall e le impostazioni del registro di sistema. I GPO sono collegati ai contenitori di AD (siti, domini e OU) e si applicano a tutti gli utenti e computer inclusi in quel contenitore. Per impostazione predefinita, le impostazioni dei GPO vengono aggiornate ogni 90 minuti, così la conformità viene mantenuta anche sui computer che si discostano dalla policy.

Active Directory utilizza i Security Groups per gestire collettivamente le autorizzazioni di accesso. Invece di assegnare le autorizzazioni ai singoli utenti, gli amministratori le concedono ai gruppi e aggiungono gli utenti ai gruppi appropriati. I gruppi predefiniti principali da conoscere per Security+ sono: Domain Admins (controllo completo del dominio), Enterprise Admins (controllo dell'intera foresta), Schema Admins (modifica dello schema di AD) e Administrators (amministratori del computer locale). L'appartenenza a questi gruppi con privilegi elevati deve essere sottoposta a controlli rigorosi.

La LDAP injection è l'equivalente, nei servizi di directory, della SQL injection. Un aggressore manipola una query LDAP inserendo caratteri speciali (*, (, ), \, NUL) nell'input dell'utente, che viene concatenato direttamente in un filtro LDAP. Un attacco riuscito può eludere l'autenticazione, estrarre tutte le voci della directory o modificare gli oggetti della directory. La prevenzione richiede la convalida dell'input e l'uso di API LDAP parametrizzate invece della concatenazione di stringhe.

Le aziende distribuiscono più domain controller per garantire la ridondanza e la distribuzione geografica. La replica di AD mantiene sincronizzati tutti i DC utilizzando il Directory Replication Service (DRS). Gli aggressori sfruttano la replica per l'attacco DCSync, utilizzando le autorizzazioni di replica per richiedere tutti gli hash delle password a un DC senza effettuare effettivamente l'accesso. Proteggere le autorizzazioni di replica è un passaggio essenziale per il rafforzamento della sicurezza di AD.

LDAP in chiaro sulla porta 389 trasmette i dati — incluse le credenziali di bind — in chiaro, rendendoli vulnerabili all'intercettazione. Le organizzazioni devono applicare LDAPS (LDAP over TLS) sulla porta 636 per cifrare tutto il traffico della directory. Inoltre, è necessario richiedere la firma LDAP e il channel binding per prevenire gli attacchi di relay, nei quali un attaccante intercetta e ritrasmette i messaggi di autenticazione LDAP per ottenere accesso non autorizzato.

Gli ambienti Active Directory accumulano configurazioni errate nel corso degli anni. Tra le vulnerabilità di sicurezza più comuni di AD figurano: la delegazione non vincolata (che consente di impersonare qualsiasi utente), gli account di servizio vulnerabili a Kerberoasting con password deboli, gli obiettivi di AS-REP roasting (account con preautenticazione disabilitata), un numero eccessivo di membri del gruppo Domain Admin e configurazioni errate di AdminSDHolder che assegnano autorizzazioni elevate nascoste. Valutazioni periodiche della sicurezza di AD con strumenti come BloodHound aiutano a identificare questi percorsi.

Per chiarire la relazione: LDAP è il protocollo usato per comunicare con le directory (così come HTTP viene usato per comunicare con i server web). Active Directory è il prodotto di servizio directory di Microsoft che usa LDAP come protocollo di accesso. Tra le altre directory compatibili con LDAP figurano OpenLDAP (open source), Oracle Directory Server e Red Hat Directory Server. Tutte usano query LDAP, ma dispongono di interfacce di gestione e funzionalità proprietarie aggiuntive differenti.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che: LDAP è il protocollo per interrogare i servizi directory usando i Distinguished Names in una struttura gerarchica ad albero, Active Directory usa Kerberos per l'autenticazione e le GPO per applicare le impostazioni di sicurezza nei domini e è necessario richiedere LDAPS sulla porta 636 e la firma LDAP per prevenire intercettazioni e attacchi di relay. Ora esamineremo il Privileged Access Management (PAM).