Câu hỏi tuyệt vời.
Điều đầu tiên trước tiên - tôi coi hầu hết các "người thử nghiệm thâm nhập" là những đứa trẻ kịch bản. Sự thiên vị của tôi có thể không công bằng hoặc chính xác nhưng tôi đang từ chối trách nhiệm này để nếu bạn phát hiện ra bất kỳ sự hoài nghi nào trong giọng điệu của tôi, bạn sẽ biết nó đến từ đâu. Tôi không nói là không có pentesters lành nghề, nhưng đây là tính tổng quát của tôi.
(Đội màu xanh cho cuộc sống!)
Câu hỏi của tôi: 1) Có cách nào để Active Directory ghi nhật ký các yêu cầu tên người dùng không thành công này ở một vị trí trung tâm để chúng tôi có thể nhận thấy sự tăng đột biến trong chúng không?
Bạn đã không cung cấp đủ thông tin cho bất cứ ai để có thể trả lời câu hỏi này một cách kỹ lưỡng và tự tin. Bạn nói rằng ứng dụng của bạn bị phát hiện có lỗ hổng cho phép kẻ tấn công liệt kê tài khoản người dùng. Tôi đang cố gắng hiểu theo cách mà bạn cảm thấy rằng AD cần thực hiện đăng nhập cho ứng dụng của bạn .
Rõ ràng các lỗi chỉ xuất hiện trong nhật ký sự kiện cục bộ của máy chủ nơi ứng dụng được cài đặt.
Rõ ràng những thất bại xuất hiện trong nhật ký sự kiện trên máy chủ? Hoặc những thất bại đã xuất hiện trong nhật ký sự kiện trên máy chủ? Nếu vậy, chính xác những gì các sự kiện nói? Ai đã đăng nhập chúng? Ứng dụng của bạn? Hay Windows? Đi tìm hiểu và tôi có thể có thể thêm làm rõ thêm vào câu trả lời của tôi.
Tôi sẽ đi ra ngoài ở đây dựa trên giả định của bạn rằng những sự kiện này đã được Active Directory ghi lại bằng cách nào đó ... điều gì sẽ xảy ra nếu các pentesters của bạn không thực sự khai thác lỗ hổng trong ứng dụng của bạn, mà thay vào đó là sử dụng một lỗ hổng rất nổi tiếng trong chính Kerberos để liệt kê tên người dùng? Bản thân Kerberos chứa những gì tôi sẽ xem xét về một lỗ hổng thiết kế trong đó kẻ tấn công có thể thử hàng ngàn và hàng ngàn lần thử "xác thực trước" (tức là một cuộc tấn công vũ phu) và KDC sẽ phản hồi khác nhau tùy thuộc vào việc tài khoản người dùng có tồn tại hay không. Đây không phải là hành vi dành riêng cho Active Directory, nhưng cũng áp dụng cho MIT Kerberos, Heimdal, v.v. KDC sẽ phản hồi vớiKDC_ERR_PREAUTH_REQUIREDnếu tên người dùng hợp lệ được trình bày không có dữ liệu trước khi xác thực, ngay cả khi không thử xác thực thực tế. Theo cách này, bạn có thể liệt kê tên người dùng từ KDC. Nhưng bởi vì kẻ tấn công (hoặc công cụ mà kẻ tấn công đang sử dụng như KrbGuess - vì các pentesters hoạt động tốt nhất khi chúng sử dụng các công cụ của người khác,) không phải tiếp tục thử xác thực đầy đủ, không có gì được ghi lại vì không xác thực thực tế đã được cố gắng!
Bây giờ, câu hỏi tiếp theo của bạn:
2) Nếu không, cách tốt nhất để theo dõi và chủ động phát hiện loại tấn công này trong tương lai (Hy vọng không phải mua quá nhiều thiết bị mới).
Đôi điều.
Đầu tiên, có những sản phẩm cấp doanh nghiệp được trả tiền được thiết kế để phát hiện các loại tấn công này (trong số nhiều loại khác.) Nhiều nhà cung cấp cung cấp các sản phẩm đó và các đề xuất sản phẩm không có chủ đề cho Serverfault, nhưng đủ để nói rằng chúng bị loại ở đó Nhiều trong số các sản phẩm này hoạt động bằng cách yêu cầu bạn định cấu hình phản chiếu cổng giữa bộ điều khiển miền của bạn và các "bộ thu thập dữ liệu" này để chúng nhìn thấy và phân tích theo nghĩa đen từng gói tin đi vào hoặc thoát khỏi bộ điều khiển miền của bạn.
(Xin lỗi, điều đó thuộc về điều khoản "không mua quá nhiều thứ mới" của bạn.)
Một thứ khác có thể giúp bạn là mục đăng ký:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\Kerberos\Parameters
LogLevel = 1
Tài liệu ở đây .
Nếu bạn kích hoạt mục đăng ký này, bạn sẽ bị ngập trong các sự kiện trong nhật ký sự kiện Bảo mật của mình về các lỗi Kerberos có đề cập đến việc xác thực trước Kerberos là bắt buộc. Một ví dụ về một sự kiện như vậy:
A Kerberos Error Message was received:
on logon session DOMAIN\serviceaccount
Client Time:
Server Time: 12:44:21.0000 10/9/2012 Z
Error Code: 0x19 KDC_ERR_PREAUTH_REQUIRED
Extended Error:
Client Realm:
Client Name:
Server Realm: DOMAIN
Server Name: krbtgt/DOMAIN
Target Name: krbtgt/DOMAIN@DOMAIN
Error Text:
File: e
Line: 9fe
Error Data is in record data.
Nhưng điều này có thể hoặc không thể giúp bạn nếu nó không chỉ định chính xác sóng thần của các yêu cầu Kerberos đến từ đâu. Điều này dẫn chúng ta trở lại những sản phẩm phát hiện xâm nhập doanh nghiệp mà tôi đã đề cập trước đó.
Và đừng quên Chuyển tiếp sự kiện Windows có thể khiến máy chủ của bạn chuyển tiếp các sự kiện đến một vị trí tập trung để được phân tích bằng bất kỳ công cụ nào bạn có thể có theo ý của bạn.
Toàn bộ câu trả lời này cho đến nay đã được xác nhận trên giao thức Kerberos, điều mà tôi thậm chí không thể thực sự được chấp nhận vì bạn đã cung cấp rất ít chi tiết trong bài đăng của mình. Tuy nhiên, tôi hy vọng điều này sẽ giúp ít nhất một chút.