Superficie d'attacco di Active Directory

Active Directory (AD) è l'infrastruttura portante delle identità nella maggior parte delle aziende. Gestisce l'autenticazione, l'autorizzazione e i criteri per utenti, computer e servizi. Poiché quasi ogni risorsa considera AD attendibile, la compromissione di un singolo dominio equivale spesso alla compromissione dell'intera rete.

Dal punto di vista del red team, AD è interessante perché la fiducia è transitiva e gli errori di configurazione si accumulano nel corso degli anni. I team difensivi devono comprendere la stessa superficie per proteggerla.

• Una foresta può contenere più domini collegati da relazioni di trust.
• I controller di dominio (DC) contengono la copia autorevole di tutti i segreti.
• I Criteri di gruppo distribuiscono la configurazione a ogni host aggiunto al dominio.

Per ragionare sugli attacchi è necessario conoscere gli oggetti coinvolti. AD memorizza tutto come oggetti con attributi in un database gerarchico LDAP.

• Utenti e computer sono entità di sicurezza con SID.
• Gruppi concedono diritti in modo transitivo (appartenenza nidificata).
• Unità organizzative (OU) strutturano gli oggetti e associano i GPO.
• L'account krbtgt contiene la chiave che firma tutti i ticket Kerberos.

L'account krbtgt è il gioiello della corona: il suo hash consente di falsificare i Golden Ticket.

AD supporta due protocolli di autenticazione principali, entrambi con possibili modalità di abuso.

• NTLM è uno schema challenge-response basato sull'hash della password dell'utente. Consente attacchi di relay e pass-the-hash.
• Kerberos è basato sui ticket ed è il protocollo preferito, ma espone alle tecniche Kerberoasting, AS-REP roasting e alla falsificazione dei ticket.

È consigliabile disabilitare NTLMv1, monitorare l'utilizzo di NTLM e imporre la firma SMB per contrastare gli attacchi di relay.

L'enumerazione autenticata è in genere il primo passo dopo aver ottenuto un punto d'appoggio nel dominio. Per impostazione predefinita, anche un utente con pochi privilegi può leggere la maggior parte della directory.

Gli strumenti interrogano LDAP per mappare utenti, gruppi, ACL e percorsi di trust.

Oltre alle appartenenze ai gruppi, gli oggetti AD contengono liste di controllo degli accessi (ACL). ACL configurate in modo errato concedono percorsi di attacco invisibili agli audit tradizionali.

• GenericAll / GenericWrite consentono a un'entità di reimpostare le password o impostare gli SPN.
• WriteDacl consente a un attaccante di riscrivere l'ACL di un oggetto e concedersi i relativi diritti.
• I diritti DCSync (Replicating Directory Changes) consentono di recuperare da remoto tutti gli hash.

BloodHound visualizza questi elementi come archi di un grafo, mostrando il percorso più breve fino a Domain Admin.

Le relazioni di trust collegano domini e foreste, consentendo alle entità di uno di accedere alle risorse dell'altro. Sono un vettore importante per il movimento laterale.

• I trust parent-child sono bidirezionali e transitivi all'interno di una foresta.
• I trust esterni e tra foreste attraversano i confini di sicurezza.
• L'abuso di SID History e i TGT tra realm consentono di attraversare i confini dei trust.

La foresta, non il dominio, è il vero confine di sicurezza. Accettare il trust di un dominio più debole può esporre l'intera foresta.

La maggior parte delle compromissioni di AD sfrutta la deriva della configurazione, non vulnerabilità zero-day. I problemi ricorrenti includono:

• Account di servizio con password deboli e SPN (vulnerabili a Kerberoasting).
• Account con DONT_REQ_PREAUTH impostato (vulnerabili ad AS-REP roasting).
• Appartenenze eccessive a gruppi nidificati, che concedono diritti amministrativi nascosti.
• Password memorizzate in GPP cpassword o negli script SYSVOL.
• Delega non vincolata su server che non sono DC.

La delega Kerberos consente a un servizio di agire per conto di un utente. Se usata impropriamente, diventa una tecnica per l'escalation dei privilegi.

• La delega non vincolata memorizza nella cache i TGT degli utenti sul server; la compromissione del server consente di impersonare qualunque utente che vi esegua l'autenticazione, inclusi gli amministratori.
• La delega vincolata limita le destinazioni, ma può essere sfruttata tramite S4U2Self/S4U2Proxy.
• La Resource-Based Constrained Delegation (RBCD) può essere configurata da chiunque disponga di diritti di scrittura sull'oggetto computer.

I team difensivi riducono la superficie di attacco con la segmentazione per livelli e il monitoraggio.

• Implementare il modello di amministrazione a livelli: le credenziali di Tier 0 (DC e identità) non devono mai essere utilizzate nei livelli inferiori.
• Utilizzare il gruppo Protected Users e disabilitare NTLM per gli account sensibili.
• Monitorare gli ID evento 4768/4769 (richieste TGT/TGS), 4662 (DCSync) e i tipi di accesso di 4624.
• Implementare LAPS affinché le password degli amministratori locali siano uniche e ruotate.

Una tipica attività su AD segue un ciclo di vita ripetibile. Conoscerlo aiuta sia nella simulazione degli attacchi sia nella progettazione del rilevamento.

• Punto d'appoggio: il phishing o un servizio esposto consente di ottenere un account con pochi privilegi.
• Enumerazione: BloodHound mappa i percorsi.
• Escalation: Kerberoast, abuso delle ACL o della delega.
• Controllo totale: DCSync, quindi Golden/Diamond ticket per la persistenza.

Quando si è autorizzati a testare AD, è fondamentale definire l'ambito e registrare le attività. Acquisire una baseline, ottenere un'autorizzazione scritta ed evitare azioni distruttive come la reimpostazione delle password degli account di produzione.

Eseguire i collector durante le finestre concordate e conservare i dati raccolti in forma cifrata. Ripristinare sempre gli oggetti temporanei (utenti di laboratorio, voci RBCD) creati durante il test.

Verifichi la Sua comprensione della superficie di attacco di AD.

Ha esaminato i motivi per cui AD è un obiettivo di grande valore e la superficie che lo rende sfruttabile.

• La fiducia in AD è transitiva; la foresta è il vero confine di sicurezza.
• NTLM e Kerberos espongono ciascuno percorsi di abuso distinti.
• ACL, delega e account di servizio obsoleti creano percorsi nascosti per l'escalation dei privilegi.
• BloodHound mappa questi percorsi; la segmentazione per livelli, LAPS e il monitoraggio degli eventi li contrastano.

Successivamente, approfondirà Kerberos e Kerberoasting.