Katalogtjänster: LDAP och Active Directory

Active Directory (AD) är Microsofts företagskatalogtjänst, byggd på LDAP och Kerberos. Den organiserar resurser i Domains, som grupperas i Trees, vilka i sin tur grupperas i Forests. En domänkontrollant (DC) innehåller AD-databasen (NTDS.dit) och hanterar autentisering. AD utgör ryggraden för identitetshantering i de flesta företagsmiljöer med Windows.

Active Directory använder Kerberos som standardprotokoll för autentisering. Processen bygger på utfärdande av biljetter: klienten autentiserar sig mot Key Distribution Center (KDC) och får en Ticket-Granting Ticket (TGT). När användaren behöver komma åt en resurs presenterar klienten TGT:n för att få en Service Ticket för den specifika resursen. Lösenord skickas aldrig över nätverket — endast krypterade biljetter. Denna utformning är central för förståelsen av attacker som Kerberoasting.

Group Policy Objects (GPO:er) är AD:s mekanism för att samtidigt tillämpa säkerhetsinställningar på tusentals datorer. GPO:er kan konfigurera krav på lösenordskomplexitet, tidsgränser för skärmlåsning, programinstallation, brandväggsregler och registerinställningar. GPO:er länkas till AD-behållare (platser, domäner och OU:er) och tillämpas på alla användare och datorer i behållaren. GPO-inställningar uppdateras som standard var 90:e minut, vilket säkerställer att efterlevnaden upprätthålls även på datorer som avviker från policyn.

Active Directory använder Security Groups för att hantera åtkomstbehörigheter kollektivt. I stället för att tilldela enskilda användare behörigheter ger administratörer grupper behörigheter och lägger till användare i lämpliga grupper. Viktiga inbyggda grupper att känna till inför Security+: Domain Admins (full kontroll över domänen), Enterprise Admins (kontroll över hela skogen), Schema Admins (ändra AD-schemat) och Administrators (administratör för den lokala datorn). Medlemskap i dessa grupper med höga privilegier måste kontrolleras noggrant.

LDAP-injektion är katalogtjänsternas motsvarighet till SQL-injektion. En angripare manipulerar en LDAP-fråga genom att infoga specialtecken (*, (, ), \, NUL) i användarinmatning som sammanfogas direkt till ett LDAP-filter. En lyckad attack kan kringgå autentisering, extrahera alla katalogposter eller ändra katalogobjekt. Skydd kräver validering av indata och användning av parametriserade LDAP-API:er i stället för strängkonkatenering.

Företag distribuerar flera domänkontrollanter för redundans och geografisk spridning. AD-replikering håller alla DC:er synkroniserade med hjälp av Directory Replication Service (DRS). Angripare utnyttjar replikering i DCSync-attacken — genom att använda replikeringsbehörigheter för att begära alla lösenordshashar från en DC utan att faktiskt logga in på den. Att skydda replikeringsbehörigheter är ett viktigt steg för att härda AD.

LDAP utan kryptering på port 389 överför data — inklusive bindningsuppgifter — i klartext, vilket gör dem sårbara för avlyssning. Organisationer bör kräva LDAPS (LDAP over TLS) på port 636 för att kryptera all katalogtrafik. Dessutom bör LDAP-signering och channel binding krävas för att förhindra reläattacker, där en angripare fångar upp och återanvänder LDAP-autentiseringsmeddelanden för att få obehörig åtkomst.

Active Directory-miljöer samlar på sig felkonfigurationer under många års drift. Vanliga säkerhetsbrister i AD omfattar: unconstrained delegation (möjliggör personifiering av valfri användare), Kerberoastable service accounts med svaga lösenord, AS-REP roasting targets (konton där förautentisering är inaktiverad), för många medlemmar i Domain Admins samt AdminSDHolder-felkonfigurationer som tilldelar dolda förhöjda behörigheter. Regelbundna säkerhetsbedömningar av AD med verktyg som BloodHound hjälper till att identifiera dessa vägar.

För att tydliggöra relationen: LDAP är det protokoll som används för kommunikation med kataloger (på samma sätt som HTTP används för kommunikation med webbservrar). Active Directory är Microsofts katalogtjänstprodukt som använder LDAP som åtkomstprotokoll. Andra LDAP-kompatibla kataloger är bland annat OpenLDAP (öppen källkod), Oracle Directory Server och Red Hat Directory Server. Alla använder LDAP-frågor, men har olika administrationsgränssnitt och ytterligare proprietära funktioner.

I den här lektionen har ni lärt er att: LDAP är protokollet för att söka i katalogtjänster med Distinguished Names i ett hierarkiskt träd, Active Directory använder Kerberos för autentisering och GPO:er för att tillämpa säkerhetsinställningar i domäner samt att LDAPS på port 636 och LDAP-signering bör krävas för att förhindra avlyssning och reläattacker. Nästa avsnitt handlar om Privileged Access Management (PAM).