Десетгодишната парола зад Domain Admin

Предизвикателството

Финансова институция искаше да провери устойчивостта си срещу фишинг и срещу нападател, получил достъп до стандартен домейнов акаунт на виртуален работен плот.

Как се разви

1. Проведохме две фишинг кампании: първата беше блокирана от пощенския шлюз, а съобщенията от втората бяха доставени, но служителите не се подведоха.
2. Продължихме със сценарий за предполагаем пробив: достъп до стандартен домейнов акаунт на виртуален работен плот.
3. Събрахме информация за домейна единствено с вградени системни средства.
4. Открихме служебен акаунт с права Domain Admin, регистриран Kerberos SPN и парола, която не беше променяна от повече от десет години.
5. Използвахме Kerberoasting за офлайн разбиване на паролата. Открихме и десетки акаунти, уязвими на AS-REP roasting, както и стар администраторски акаунт с парола без срок на валидност.
6. Сегментацията между виртуалните работни плотове и локалната инфраструктура на директорията значително ограничи придвижването към други системи.

Въздействие

Обикновен потребителски акаунт можеше да доведе до пълно компрометиране на домейна. Същевременно защитите на електронната поща, подготовката на служителите и мрежовата сегментация ограничиха възможностите за атака.

Резултат

Предадохме ясен план за управление на привилегированите акаунти и укрепване на Kerberos. Независимо потвърдихме и ефективността на защитите срещу фишинг, подготовката на служителите и мрежовата сегментация.