Fondamenti di AD

Active Directory (AD) è il servizio directory di Microsoft per la gestione di utenti, computer e risorse in una rete Windows. Fornisce autenticazione e autorizzazione centralizzate.

Quasi tutte le aziende utilizzano AD, rendendolo un obiettivo prioritario. La compromissione di AD spesso equivale alla compromissione dell'intera organizzazione.

Un dominio è il principale confine amministrativo in AD. Raggruppa oggetti (utenti, gruppi e computer) in un database e con una politica di sicurezza condivisi.

Ogni dominio ha un nome come corp.example.com. Tutte le autenticazioni all'interno del dominio sono gestite dai controller di dominio.

Un controller di dominio (DC) è un server che esegue AD Domain Services. Memorizza il database della directory, autentica gli accessi e applica i criteri.

Il database della directory risiede nel file NTDS.dit. Sottrarre questo file (insieme alla chiave di avvio) consente a un attaccante di estrarre ogni hash delle password del dominio.

Un albero è costituito da uno o più domini che condividono uno spazio dei nomi contiguo. Una foresta è il contenitore di livello superiore che include uno o più alberi.

La foresta è il vero confine di sicurezza in AD. All'interno di una foresta, è possibile raggiungere i domini tramite relazioni di trust.

Una relazione di trust consente agli utenti di un dominio di accedere alle risorse di un altro. Le relazioni di trust possono essere:

• unidirezionali o bidirezionali: definiscono la direzione dell'accesso.
• transitive o non transitive: definiscono se la relazione si estende ad altri domini.

Relazioni di trust configurate in modo errato consentono agli attaccanti di spostarsi tra domini e foreste.

Le unità organizzative (OU) sono contenitori utilizzati per organizzare gli oggetti e delegare l'amministrazione.

I Group Policy Object (GPO) applicano configurazioni e impostazioni di sicurezza a OU, domini o siti. Gli attaccanti che possono modificare un GPO possono distribuire impostazioni o script malevoli a molte macchine contemporaneamente.

AD utilizza Kerberos come protocollo di autenticazione principale. Invece di inviare password, i client si scambiano ticket emessi dal Key Distribution Center (KDC) in esecuzione sul DC.

Un utente ottiene innanzitutto un Ticket Granting Ticket (TGT), quindi lo utilizza per richiedere ticket di servizio. Molti attacchi ad AD sfruttano questo sistema basato sui ticket.

AD espone la propria directory tramite LDAP (Lightweight Directory Access Protocol). Gli utenti autenticati possono interrogare enormi quantità di informazioni: utenti, gruppi, computer e relativi attributi.

Per questo anche un account di dominio con pochi privilegi è prezioso. Può enumerare l'intera directory per individuare percorsi verso privilegi più elevati.

Alcuni gruppi sono i gioielli più preziosi di qualsiasi dominio:

• Domain Admins: controllo completo del dominio.
• Enterprise Admins: controllo dell'intera foresta.
• Schema Admins: possono modificare lo schema AD.

L'escalation dei privilegi in AD consiste solitamente nell'individuare un percorso per entrare in uno di questi gruppi.

Un Service Principal Name (SPN) identifica in modo univoco un'istanza di servizio associata a un account. Kerberos utilizza gli SPN per emettere ticket di servizio.

Gli account con SPN sono obiettivi interessanti perché è possibile richiedere i relativi ticket di servizio e decifrarli offline: questa tecnica si chiama Kerberoasting e verrà illustrata nel prossimo argomento.

AD centralizza l'identità dell'intera organizzazione, quindi un singolo punto d'appoggio può portare rapidamente al controllo totale. Gli attaccanti concatenano accessi con pochi privilegi, enumerazione e furto di credenziali per raggiungere Domain Admin.

Comprendere la struttura (domini, relazioni di trust, Kerberos, LDAP e gruppi privilegiati) consente di individuare questi percorsi prima di un avversario.

Verifichi la Sua comprensione della struttura di AD.

Ora conosce gli elementi costitutivi di Active Directory:

• i domini raggruppano gli oggetti; i controller di dominio autenticano gli utenti e memorizzano il database NTDS.dit.
• le foreste costituiscono il confine di sicurezza; le relazioni di trust consentono l'accesso tra domini.
• Kerberos e LDAP gestiscono rispettivamente l'autenticazione e l'enumerazione.
• Domain Admins e gli SPN sono obiettivi di grande valore.

Nel prossimo argomento attaccherà direttamente Kerberos con Kerberoasting.