Active Directory والهوية: مسارات الهجوم وكيف تغلقها

طريقان إلى نفس الفكرة

قبل أن تبدأ

الفكرة الجوهرية

1Kerberos في دقيقة

حين تدخل حاسوب العمل صباحًا، يطلب Windows من وحدة التحكم TGT، تذكرة تثبت أنك أنت لعشر ساعات تقريبًا. وحين تفتح مجلدًا مشتركًا، يقدّم Windows الـ TGT ويطلب تذكرة خدمة لخادم الملفات، مشفرة بمفتاح حساب تلك الخدمة. هذا التصميم يعني أن مفتاح krbtgt هو مفتاح المملكة: من يسرقه يصنع أي تذكرة لأي أحد.

2الهجمات المشهورة: كيف تكشفها وكيف تمنعها

لا تحتاج أن تنفذ هذه الهجمات لتدافع ضدها، بل أن تعرف أثرها. كل واحدة لها حدث يكشفها وإعداد يمنعها:

3مسارات الهجوم كرسم بياني

المهاجم يفكر بالرسم البياني: «من هذا المستخدم، أي جهاز أستطيع دخوله؟ ومن مسجل دخوله على ذلك الجهاز؟ وما صلاحياته؟». أداة BloodHound تجمع هذه العلاقات وترسم أقصر طريق إلى Domain Admins. المدافع يشغّلها قبل المهاجم، ويقطع الحواف الخطرة. والفكرة نفسها تعمل في الكود:

ست قفزات من موظفة موارد بشرية إلى المجال كله، وكل قفزة عادة إدارية منسية. قطع حافة واحدة يكسر المسار كله.

from collections import deque

edges = {   # who/what -> what it gives access to, and why
    "user:huda":         [("host:HR-07", "local admin (old IT habit)")],
    "host:HR-07":        [("user:it-support", "session: it-support logged on here yesterday")],
    "user:it-support":   [("group:Server-Admins", "member")],
    "group:Server-Admins": [("host:FILESRV-01", "local admin")],
    "host:FILESRV-01":   [("user:svc-backup", "service runs here")],
    "user:svc-backup":   [("group:Domain Admins", "member since 2015")],
}

def shortest_path(start, goal):
    queue, seen = deque([(start, [])]), {start}
    while queue:
        node, path = queue.popleft()
        if node == goal:
            return path
        for nxt, why in edges.get(node, []):
            if nxt not in seen:
                seen.add(nxt)
                queue.append((nxt, path + [(node, nxt, why)]))

path = shortest_path("user:huda", "group:Domain Admins")
for a, b, why in path:
    print(f"{a:<20} -> {b:<20} ({why})")
print(f"{len(path)} hops from a phished HR account to Domain Admins")

edges["user:svc-backup"] = []                  # fix: svc-backup becomes a gMSA with no DA rights
print("after the fix:", shortest_path("user:huda", "group:Domain Admins"))

4البنية التي تقطع المسارات

الحلول الفردية مهمة، لكن البنية أهم. الطبقات: الطبقة صفر (وحدات التحكم وما يديرها)، والطبقة واحد (الخوادم)، والطبقة اثنين (أجهزة الموظفين). حساب الطبقة صفر لا يدخل أبدًا جهاز طبقة أدنى، فلا تُترك بياناته في ذاكرة جهاز موظف. ومعه: Windows LAPS لكلمة مدير محلي فريدة على كل جهاز، وProtected Users للحسابات المميزة، وPIM للصلاحية عند الحاجة فقط، وتعطيل RC4 وتقليل NTLM.

مثال محلول

المسألة: SIEM أظهر 300 حدث 4769 خلال دقيقتين من جهاز موظف في المبيعات، كلها بتشفير 0x17 ولحسابات خدمة مختلفة. ماذا يحدث؟ وماذا تفعل؟

الحل: هذا نمط Kerberoasting: طلب تذاكر بالجملة لحسابات خدمة بتشفير RC4 الضعيف لكسرها خارجيًا. (1) اعزل الجهاز وعطّل حساب الموظف مؤقتًا. (2) اعتبر كل حساب خدمة طُلبت تذكرته مكشوفًا: غيّر كلمات مرورها فورًا، وابدأ بمن له صلاحيات عالية. (3) ابحث عن 4624 لتلك الحسابات من أماكن غير معتادة بعد الحادثة. (4) الإصلاح الدائم: gMSA، وAES فقط، وكلمات طويلة لما تبقى، وقاعدة Sigma على 4769 بـ 0x17 بالجملة. (5) شغّل BloodHound لترى أي هذه الحسابات كان طريقًا إلى Domain Admins.

خرافة مقابل حقيقة

أين تقابله في العمل

اختبر فهمك

بطاقات مراجعة سريعة

تحقق من فهمك