Active Directory и вътрешна мрежа
Открийте пътя до Domain Admin преди другите.
Вътрешна оценка с фокус върху Active Directory и мрежата около него: членствата в групи, правата и сесиите, които превръщат една-единствена опорна точка в пълен контрол над домейна.
Пътища за атака, а не просто констатации
Компрометирането на Active Directory рядко е един-единствен експлойт; то е верига от напълно легитимни права. Картографираме този граф така, както го правят нападателите, и след това показваме едно или две тесни места, чието отстраняване срива десетки пътища наведнъж. (Това е работата зад нашата публикация за BloodHound.)
Можем да започнем от предполагаем пробив или от акаунт с ниски права и да работим заедно с вашия екип или незабелязано — както предпочитате.
Какво разглеждаме
- Обекти, ACL-и и доверителни връзки в AD
- Прекомерни права на локални администратори и разрастване на привилегированите групи
- Излагане на идентификационни данни и хигиена на сесиите
- Слабости в Kerberos и делегирането
- Пътища за странично движение и ескалация
- Нива на администриране и административна хигиена
Защо има значение
Защо една опорна точка се превръща в превземане на домейна
В много Windows мрежи няколко неправилно предоставени права могат да свържат компрометиран лаптоп с пълен контрол над домейна. Вложени групи, забравени права на локален администратор и останали активни привилегировани сесии създават пътища за повишаване на права. За да ги използва, нападателят може да не се нуждае от нов експлойт: достатъчно е да проследи съществуващите разрешения и връзки на доверие. Последиците засягат цялата организация.
Компрометирането на домейна застрашава доверието, на което разчитат системите за заплати, електронната поща, резервните копия и възстановяването. Затова групите, използващи ransomware, търсят пътища към привилегированите акаунти. Откриването и прекъсването на тези пътища предварително намалява риска от разпространение на пробива и от необходимостта да възстановявате цялата Active Directory гора след инцидент.
Как протича
Опорна точка и събиране
От договорена начална точка картографираме домейна.
Анализ на пътищата
Определяме най-късите маршрути до целите с висока стойност.
Потвърдена експлоатация
Доказваме пътищата безопасно, от край до край.
Доклад и повторен тест
Приоритизирани корекции на тесните места, след което проверени.
Защо PXLSec
Какво отличава нашето тестване на AD
Анализ на връзките в домейна
Събираме данни за домейна и анализираме връзките между акаунти, групи, права и сесии. Така показваме как отделните неправилни настройки могат да се свържат в пътища до привилегирован достъп.
Промени с най-голям ефект
Определяме връзките, чието прекъсване премахва множество пътища за атака. Това помага на екипа ви да избере промените с най-голям ефект върху риска.
Злоупотреба с идентификационни данни и Kerberos
Проверяваме как Kerberoasting, AS-REP roasting, ограничено и неограничено делегиране и NTLM relay могат да се комбинират във вашата среда. Документираме доказаното въздействие на тези вериги.
Проверка на административните нива
Проверяваме административното разделяне на нива чрез реалните сесии и данни за достъп. Търсим пътища, по които компрометирана работна станция може да достигне Tier 0 въпреки ограниченията в проектния модел.
Какво получавате
Ясни резултати, договорени в предложението, без изненади в края на ангажимента.
- Резюме за ръководствотоБизнес рискът, представен ясно за ръководството и управителния съвет.
- Технически докладВсяка констатация със степен на критичност, доказателства и възпроизвеждане.
- Приоритизирани корекцииКонкретни стъпки за отстраняване, подредени по реален риск и готови за изпълнение от разработчиците.
- Писмо за повторен тестПроверяваме вашите корекции и потвърждаваме писмено закриването им.
Кога ви е нужно
Кога вътрешната оценка се изплаща
Това са моментите, в които оценката на Active Directory носи най-ясна възвръщаемост.
След инцидент с фишинг
Засекли сте един компрометиран акаунт и искате да знаете докъде всъщност е можел да стигне нападателят от него преди откриването и кои пътища да прекъснете първи.
Преди миграция към облак или сливане
Предстои ви да разширите или обедините директории и трябва съществуващото натрупване на привилегии да бъде картографирано и прочистено, преди да бъде копирано в по-голяма и по-трудна за разплитане среда.
Преглед на готовността срещу ransomware
Бордът ви иска доказателство, че една заразена крайна точка не може да бъде ескалирана до криптиране в целия домейн, с поименно изброени и приоритизирани пропуски в ограничаването.
Валидиране на проект по укрепване на защитата
Екипът ви е инвестирал в разделяне на нива и управление на привилегирования достъп и се нуждае от независим оператор, който да потвърди, че пътищата наистина са затворени, а не просто преконфигурирани.
Методология и стандарти
Методологии и рамки, на които стъпваме
- MITRE ATT&CK
- Моделът Microsoft Enterprise Access (разделяне на нива)
- NIST SP 800-115
- PTES
- Принципите за тестване на OWASP
- Базови правила за хигиена и укрепване на защитата на Active Directory
- CIS бенчмаркове за Microsoft Windows и AD
Често задавани въпроси
Често задавани въпроси
Ще наруши ли тестването работата на домейна ни в продукционна среда?
Планираме работата според договорените правила и ограничения за безопасност. Избягваме разрушителни техники и проверки, които могат да заключат акаунти. Събирането на данни и анализът на пътищата за атака са до голяма степен пасивни. Активните проверки се планират отделно, с договорени периоди, контакти и план за възстановяване.
Нужен ли ви е достъп на Domain Admin, за да започнете?
Не. Смисълът на оценката е да се види докъде може да стигне обикновен потребител или току-що компрометирана машина, затова обикновено започваме от акаунт с ниски права или от опорна точка при предполагаем пробив. Започването с високи привилегии би скрило точно онези пътища, които сме наети да открием.
По какво се различава това от сканиране за уязвимости?
Сканирането изброява липсващи обновления и слаби настройки поотделно. Нашата работа картографира как вашите реални права, членства в групи и сесии се свързват във вериги, водещи до привилегии, и след това показва кои малко на брой връзки да бъдат прекъснати. Резултатът е карта на пътищата за атака и приоритизиран план за укрепване на защитата, а не неподреден списък от констатации.
Можете ли да тествате без предварително уведомяване на защитния екип?
Да. Можем да работим открито със защитния ви екип или без предварителното му уведомяване, за да оценим откриването и реакцията. Подходът се договаря предварително. При всички случаи посочено лице за контакт от ваша страна знае, че тестването е в ход.
Какво получаваме накрая?
Получавате резюме за ръководството, технически доклад с доказателства и стъпки за възпроизвеждане и приоритизиран план за корекции. Фокусът е върху промените, които прекъсват най-много пътища за атака. След отстраняването предоставяме писмо с резултатите от повторния тест.
Колко време отнема една оценка?
Зависи от размера на домейна и от броя доверителни връзки и обекти, но фокусиран вътрешен ангажимент обикновено отнема една до две работни седмици, включително докладването. Потвърждаваме реалистичен срок, след като разберем обхвата и началната точка.
Свързани услуги
Нека обсъдим обхвата на теста.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност