Основы AD

Active Directory (AD) — это служба каталогов Microsoft для управления пользователями, компьютерами и ресурсами в сети Windows. Она обеспечивает централизованные аутентификацию и авторизацию.

Active Directory используется почти на каждом предприятии, поэтому является приоритетной целью. Компрометация AD часто означает компрометацию всей организации.

Домен — основная административная граница в AD. Он объединяет объекты (пользователей, группы и компьютеры) в рамках общей базы данных и политики безопасности.

Каждый домен имеет имя, например corp.example.com. Всю аутентификацию внутри домена выполняют контроллеры домена.

Контроллер домена (DC) — сервер, на котором работают службы домена AD. Он хранит базу данных каталога, проверяет данные для входа и применяет политики.

База данных каталога находится в файле NTDS.dit. Кража этого файла вместе с ключом загрузки позволяет злоумышленнику извлечь хеши всех паролей в домене.

Дерево — один или несколько доменов с непрерывным пространством имён. Лес — контейнер верхнего уровня, включающий одно или несколько деревьев.

Лес является настоящей границей безопасности в AD. Внутри леса можно получать доступ к доменам через отношения доверия.

Отношение доверия — связь, которая позволяет пользователям одного домена получать доступ к ресурсам другого. Отношения доверия бывают:

• Односторонними или двусторонними: определяют направление доступа.
• Транзитивными или нетранзитивными: определяют, распространяется ли доверие на другие домены.

Неправильно настроенные отношения доверия позволяют злоумышленникам перемещаться между доменами и лесами.

Организационные подразделения (OU) — контейнеры для организации объектов и делегирования администрирования.

Объекты групповой политики (GPO) применяют параметры конфигурации и безопасности к OU, доменам или сайтам. Злоумышленники, способные изменять GPO, могут одновременно распространять вредоносные параметры или сценарии на множество компьютеров.

AD использует Kerberos в качестве основного протокола аутентификации. Вместо отправки паролей клиенты обмениваются билетами, выданными центром распределения ключей (KDC), работающим на DC.

Сначала пользователь получает билет для выдачи билетов (TGT), а затем использует его для запроса сервисных билетов. Многие атаки на AD используют эту систему билетов.

AD предоставляет доступ к каталогу через LDAP (облегчённый протокол доступа к каталогам). Аутентифицированные пользователи могут запрашивать огромные объёмы информации: пользователей, группы, компьютеры и их атрибуты.

Поэтому даже доменная учётная запись с небольшими привилегиями представляет ценность. С её помощью можно перечислить весь каталог и найти пути к более высоким привилегиям.

Некоторые группы — самые ценные цели в любом домене:

• Администраторы домена: полный контроль над доменом.
• Администраторы предприятия: контроль над всем лесом.
• Администраторы схемы: могут изменять схему AD.

Повышение привилегий в AD обычно означает поиск пути в одну из этих групп.

Имя субъекта-службы (SPN) однозначно идентифицирует экземпляр службы, связанный с учётной записью. Kerberos использует SPN для выдачи сервисных билетов.

Учётные записи с SPN представляют интерес, поскольку их сервисные билеты можно запросить и взломать в автономном режиме. Этот метод называется Kerberoasting и будет рассмотрен далее.

AD централизует управление идентификацией всей организации, поэтому одна точка опоры может привести к установлению полного контроля. Злоумышленники объединяют доступ с небольшими привилегиями, перечисление и кражу учётных данных, чтобы получить права администратора домена.

Понимание структуры (доменов, отношений доверия, Kerberos, LDAP и привилегированных групп) позволяет обнаружить такие пути раньше злоумышленника.

Проверьте своё понимание структуры AD.

Теперь Вы знаете основные элементы Active Directory:

• Домены объединяют объекты; контроллеры домена выполняют аутентификацию и хранят базу данных NTDS.dit.
• Леса являются границей безопасности; отношения доверия обеспечивают доступ между доменами.
• Kerberos и LDAP обеспечивают аутентификацию и перечисление.
• Администраторы домена и SPN — особо ценные цели.

Далее Вы напрямую атакуете Kerberos с помощью Kerberoasting.