Службы каталогов: LDAP и Active Directory

Служба каталогов — это централизованный репозиторий, в котором хранится и организуется Information о сетевых ресурсах: пользователях, группах, компьютерах, принтерах и политиках. Вместо ведения отдельных баз данных пользователей в каждой системе организации используют службу каталогов как единый достоверный источник Information об Identity. Все запросы Authentication проверяются по каталогу, а политики доступа единообразно применяются во всей организации.

LDAP (Lightweight Directory Access Protocol) — стандартный для отрасли протокол для запроса и изменения служб каталогов. LDAP организует записи в иерархическом дереве, называемом Directory Information Tree (DIT), а записи идентифицируются с помощью Distinguished Name (DN). LDAP работает на порту 389 (открытый текст) и порту 636 (LDAPS — LDAP поверх TLS). LDAP — это протокол, а сам каталог представляет собой отдельный продукт.

Active Directory (AD) — корпоративная служба каталогов Microsoft, построенная на LDAP и Kerberos. Она организует ресурсы в Domains, которые объединяются в Trees, а те — в Forests. Контроллер Domain (DC) размещает базу данных AD (NTDS.dit) и обрабатывает Authentication. AD является основой управления Identity в большинстве корпоративных сред Windows.

Active Directory использует Kerberos в качестве протокола Authentication по умолчанию. Процесс основан на выдаче билетов: Client проходит Authentication в Key Distribution Center (KDC) и получает Ticket-Granting Ticket (TGT). Когда пользователю требуется доступ к ресурсу, он предъявляет TGT, чтобы получить Service Ticket для конкретного ресурса. Password никогда не передаются по сети — передаются только зашифрованные билеты. Понимание этой схемы важно для изучения атак, таких как Kerberoasting.

Объекты групповой политики (GPOs) — это механизм AD для одновременного применения параметров Security на тысячах компьютеров. GPOs могут настраивать требования к сложности Password, тайм-ауты блокировки экрана, установку программного обеспечения, правила брандмауэра и параметры реестра. GPOs связываются с контейнерами AD (сайтами, Domains, OU) и применяются ко всем пользователям и компьютерам внутри такого контейнера. По умолчанию параметры GPOs обновляются каждые 90 минут, благодаря чему соответствие требованиям сохраняется даже на компьютерах, настройки которых отклонились от политики.

Active Directory использует группы Security для коллективного управления разрешениями доступа. Вместо назначения разрешений отдельным пользователям администраторы предоставляют разрешения группам и добавляют пользователей в соответствующие группы. Важные встроенные группы, которые необходимо знать для Security+: Domain Admins (полный контроль Domain), Enterprise Admins (контроль на уровне Forest), Schema Admins (изменение схемы AD) и Administrators (локальный администратор компьютера). Членство в этих группах с высоким уровнем привилегий должно строго контролироваться.

Внедрение LDAP — аналог SQL-инъекций для служб каталогов. Attacker изменяет LDAP-запрос, вставляя специальные символы (*, (, ), \, NUL) во входные данные пользователя, которые напрямую объединяются с фильтром LDAP. Успешная атака может обойти Authentication, извлечь все записи каталога или изменить Object каталога. Для защиты необходимы проверка входных данных и использование параметризованных API LDAP вместо объединения строк.

Организации разворачивают несколько контроллеров Domain для обеспечения избыточности и географического распределения. Репликация AD поддерживает синхронизацию всех DC с помощью Directory Replication Service (DRS). Attacker используют репликацию для атаки DCSync — применяют разрешения репликации, чтобы запросить все хеши Password у DC, фактически не выполняя вход на него. Защита разрешений репликации — важный этап усиления Security AD.

Обычный LDAP на порту 389 передаёт данные, включая учётные данные для привязки, в незашифрованном виде, что делает их уязвимыми для перехвата. Организациям следует принудительно использовать LDAPS (LDAP поверх TLS) на порту 636, чтобы шифровать весь трафик каталогов. Кроме того, следует требовать подписывание LDAP и привязку канала, чтобы предотвращать атаки ретрансляции, при которых злоумышленник перехватывает и повторно отправляет сообщения аутентификации LDAP для получения несанкционированного доступа.

В средах Active Directory ошибочные настройки накапливаются за годы эксплуатации. К распространённым недостаткам безопасности AD относятся: неограниченное делегирование (позволяет выдавать себя за любого пользователя), учётные записи служб, уязвимые для Kerberoasting, со слабыми паролями, цели AS-REP roasting (учётные записи с отключённой предварительной аутентификацией), чрезмерное членство в Domain Admin и ошибочные настройки AdminSDHolder, предоставляющие скрытые повышенные разрешения. Регулярные оценки безопасности AD с использованием таких инструментов, как BloodHound, помогают выявлять эти пути.

Чтобы прояснить взаимосвязь: LDAP — это протокол, используемый для взаимодействия с каталогами (подобно тому, как HTTP используется для взаимодействия с веб-серверами). Active Directory — это продукт службы каталогов Microsoft, использующий LDAP в качестве протокола доступа. К другим каталогам, совместимым с LDAP, относятся OpenLDAP (с открытым исходным кодом), Oracle Directory Server и Red Hat Directory Server. Все они используют запросы LDAP, но имеют разные интерфейсы управления и дополнительные собственные функции.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что LDAP — это протокол для отправки запросов к службам каталогов с использованием отличительных имён в иерархическом дереве, Active Directory использует Kerberos для аутентификации, а GPO — для применения параметров безопасности во всех доменах, а также что следует требовать LDAPS на порту 636 и подписывание LDAP, чтобы предотвращать перехват и атаки ретрансляции. Далее мы рассмотрим управление привилегированным доступом (PAM).