Podstawy AD

Active Directory (AD) to usługa katalogowa firmy Microsoft służąca do zarządzania użytkownikami, komputerami i zasobami w sieci Windows. Zapewnia scentralizowane uwierzytelnianie i autoryzację.

Active Directory działa niemal w każdej organizacji, dlatego jest atrakcyjnym celem. Przejęcie AD często oznacza przejęcie całej organizacji.

domena to podstawowa granica administracyjna w AD. Grupuje obiekty (użytkowników, grupy i komputery) we wspólnej bazie danych oraz pod wspólnymi zasadami zabezpieczeń.

Każda domena ma nazwę, taką jak corp.example.com. Całe uwierzytelnianie w domenie jest obsługiwane przez kontrolery domeny.

Kontroler domeny (DC) to serwer z uruchomioną usługą AD Domain Services. Przechowuje bazę katalogową, uwierzytelnia logowania i wymusza zasady.

Baza katalogowa znajduje się w pliku NTDS.dit. Kradzież tego pliku wraz z kluczem rozruchowym pozwala atakującemu wyodrębnić każdy skrót hasła w domenie.

drzewo to co najmniej jedna domena współdzieląca ciągłą przestrzeń nazw. las to kontener najwyższego poziomu zawierający jedno lub więcej drzew.

Las stanowi rzeczywistą granicę bezpieczeństwa w AD. W jego obrębie można uzyskiwać dostęp do domen za pośrednictwem relacji zaufania.

relacja zaufania to związek pozwalający użytkownikom jednej domeny uzyskiwać dostęp do zasobów innej domeny. Relacje zaufania mogą być:

• jednostronne lub dwustronne: określa to kierunek dostępu.
• przechodnie lub nieprzechodnie: określa to, czy zaufanie rozciąga się na inne domeny.

Błędnie skonfigurowane relacje zaufania pozwalają atakującym przemieszczać się między domenami i lasami.

Jednostki organizacyjne (OU) to kontenery służące do organizowania obiektów i delegowania administracji.

Obiekty zasad grupy (GPO) stosują ustawienia konfiguracji i zabezpieczeń do jednostek organizacyjnych, domen lub lokacji. Atakujący, którzy mogą edytować GPO, mogą jednocześnie przekazać złośliwe ustawienia lub skrypty do wielu komputerów.

AD używa protokołu Kerberos jako podstawowego protokołu uwierzytelniania. Zamiast przesyłać hasła, klienci wymieniają bilety wystawiane przez Centrum dystrybucji kluczy (KDC) działające na kontrolerze domeny.

Użytkownik najpierw otrzymuje Ticket Granting Ticket (TGT), a następnie używa go do żądania biletów usług. Wiele ataków na AD wykorzystuje ten system biletów.

AD udostępnia katalog za pośrednictwem protokołu LDAP (Lightweight Directory Access Protocol). Uwierzytelnieni użytkownicy mogą wyszukiwać ogromne ilości informacji: użytkowników, grupy, komputery i ich atrybuty.

Dlatego nawet konto domenowe o niskich uprawnieniach jest cenne. Można za jego pomocą wyliczyć cały katalog i znaleźć ścieżki do wyższych uprawnień.

Niektóre grupy są najcenniejszym celem w każdej domenie:

• Domain Admins: pełna kontrola nad domeną.
• Enterprise Admins: kontrola nad całym lasem.
• Schema Admins: możliwość modyfikowania schematu AD.

Eskalacja uprawnień w AD zwykle oznacza znalezienie ścieżki do jednej z tych grup.

Service Principal Name (SPN) jednoznacznie identyfikuje instancję usługi powiązaną z kontem. Kerberos używa SPN do wystawiania biletów usług.

Konta z SPN są interesującymi celami, ponieważ można zażądać ich biletów i łamać je offline. Ta technika nazywa się Kerberoasting i zostanie omówiona w następnej części.

AD centralizuje tożsamość całej organizacji, więc pojedynczy przyczółek może doprowadzić do całkowitej kontroli. Atakujący łączą dostęp o niskich uprawnieniach, wyliczanie zasobów i kradzież danych uwierzytelniających, aby uzyskać Domain Admin.

Zrozumienie struktury (domen, relacji zaufania, Kerberos, LDAP i uprzywilejowanych grup) pozwala wykrywać te ścieżki, zanim zrobi to napastnik.

Sprawdź swoje zrozumienie struktury AD.

Znasz już podstawowe elementy Active Directory:

• Domeny grupują obiekty; kontrolery domeny uwierzytelniają użytkowników i przechowują bazę danych NTDS.dit.
• Lasy stanowią granicę bezpieczeństwa; relacje zaufania umożliwiają dostęp między domenami.
• Kerberos i LDAP obsługują uwierzytelnianie i wyliczanie zasobów.
• Domain Admins i SPN są celami o wysokiej wartości.

Następnie zaatakujesz bezpośrednio Kerberos za pomocą Kerberoasting.