Điều gì tiếp theo sau khi một tài khoản miền Windows đã bị xâm phạm?

Chúng tôi đang chuẩn bị cho một kịch bản khi một trong các tài khoản trong một miền bị xâm phạm, thì phải làm gì tiếp theo?

Vô hiệu hóa tài khoản sẽ là câu trả lời đầu tiên của tôi, nhưng chúng tôi đã có các pentesters ở đây vài tuần trước và họ có thể sử dụng thông tin đăng nhập băm của một người dùng quản trị viên đã rời khỏi vài tháng trước.

Hai câu trả lời của chúng tôi cho đến nay là:

Xóa tài khoản và tạo lại nó (tạo SID mới nhưng cũng kịch tính hơn cho người dùng và làm việc cho chúng tôi)
Thay đổi mật khẩu ít nhất 3 lần và vô hiệu hóa tài khoản

Phương pháp của bạn sẽ là gì, hoặc bạn muốn giới thiệu cái gì?

active-directory security

— JurajB
nguồn

Nếu đó là tài khoản quản trị viên bị xâm phạm, thì hãy tạo thêm tài khoản quản trị cho mục đích riêng của bạn. Nếu đó là tài khoản riêng tư (người dùng bình thường) thấp, hãy thực hiện quét mạng và tìm tài khoản Quản trị viên để thỏa hiệp. Việc sở hữu một người dùng thường xuyên sẽ đặt chân vào cửa để thực hiện các cuộc tấn công "nhắm mục tiêu" hơn.

— blaughw

Bạn có nói rằng tài khoản của người dùng quản trị viên đã rời khỏi vài tháng trước không bị vô hiệu hóa khi người đó rời đi không? Tôi đoán tôi không thấy ví dụ đó nói lên tính hiệu quả hoặc không hiệu quả của việc vô hiệu hóa tài khoản. Lý do nào để thay đổi mật khẩu 3 lần thay vì một lần?

— Todd Wilcox

@ToddWilcox tài khoản đã bị vô hiệu hóa ngay khi người rời đi và các nhóm bị xóa (đó là một thông lệ tiêu chuẩn khi mọi người rời đi) nhưng họ tuyên bố họ có thể truy cập bằng cách sử dụng nó.

— JurajB

Vì vậy, nó không bị xóa một cách chính xác - bạn muốn hết hạn mã thông báo và quyền truy cập cho tài khoản đó đã bị xóa trên tất cả các hệ thống

— Rory Alsop

Câu trả lời:

Nếu chỉ có một tài khoản người dùng chuẩn bị xâm phạm, thì việc thay đổi mật khẩu một lần và để tài khoản được kích hoạt sẽ ổn. Băm sẽ không hoạt động khi mật khẩu đã thay đổi. Nó cũng sẽ không hoạt động nếu tài khoản bị vô hiệu hóa. Là một người kiểm tra bút, tôi tự hỏi liệu những người kiểm tra bút có sử dụng vé Kerberos không. Trong một số trường hợp nhất định, những thứ này có thể tiếp tục hoạt động nếu mật khẩu bị thay đổi hoặc nếu tài khoản bị vô hiệu HOẶC thậm chí bị xóa (xem các liên kết để giảm thiểu).

Nếu một tài khoản quản trị viên tên miền đã bị xâm phạm, thì đó đúng là trò chơi kết thúc. Bạn cần mang tên miền của mình ngoại tuyến và thay đổi MỌI mật khẩu. Ngoài ra, mật khẩu tài khoản krbtgt sẽ cần phải được thay đổi hai lần, nếu không, những kẻ tấn công vẫn có thể phát hành vé Kerberos hợp lệ với thông tin mà chúng đã đánh cắp. Khi bạn đã thực hiện tất cả điều đó, bạn có thể đưa tên miền của mình trở lại trực tuyến.

Thực hiện chính sách khóa tài khoản, do đó không thể đoán được mật khẩu đã thay đổi. Đừng đổi tên tài khoản của bạn. Kẻ tấn công có thể dễ dàng tìm ra tên đăng nhập.

Một điểm quan trọng khác là đào tạo người dùng của bạn. Họ có thể đã làm một cái gì đó không khôn ngoan có nghĩa là tài khoản đã bị xâm phạm. Kẻ tấn công thậm chí có thể không biết mật khẩu, chúng có thể đang chạy các quy trình như tài khoản đó. Ví dụ: nếu bạn mở tệp đính kèm phần mềm độc hại cho phép kẻ tấn công truy cập vào máy của bạn, chúng sẽ chạy như tài khoản của bạn. Họ không biết mật khẩu của bạn. Họ không thể lấy mật khẩu của bạn, trừ khi bạn là quản trị viên. Đừng để người dùng chạy như quản trị viên địa phương trên máy trạm của họ. Đừng để quản trị viên tên miền đăng nhập vào máy trạm với quyền quản trị viên tên miền - bao giờ hết!

Liên kết để biết thêm thông tin / giảm nhẹ:

https://bloss.microsoft.com/microsoftsecure/2015/02/11/krbtgt-account-password-reset-scripts-now-av Available-for-customers /

http://www.infosecisland.com/blogview/23758-A-Windows-Authentication-Flaw- ALLows-DelattedDisables-Accounts-to-Access-Cor merg-Data.html

https://mva.microsoft.com/en-us/training-cifts/how-to-avoid-golden-ticket-attacks-12134

— bao7uo
nguồn

Điều gì nếu bạn làm việc trong một môi trường tương đối dễ dãi, như học viện? Bạn có thể giao dịch với những người dùng có nhiệm kỳ và không sẵn sàng được "đào tạo" và bởi vì họ có nhiệm kỳ nên bạn không được phép loại bỏ họ hoặc giảm các đặc quyền của họ.

— Kinda Villyard

Tôi luôn khuyên bạn nên thực hành tốt nhất. Sẽ luôn có một số loại tổ chức không thể thực hiện 100% Một số người tự coi mình là đúng luật và một số tổ chức coi nhiệm kỳ / bản thân quan trọng hơn việc áp dụng chính sách / bảo mật một cách công bằng và thống nhất. Những người và tổ chức đó sẽ phải chịu trách nhiệm về hậu quả của hành động của họ. Chúng ta hãy hy vọng rằng các tổ chức học thuật này không chăm sóc các nghiên cứu quan trọng có giá trị đối với lợi ích nước ngoài .....

— bao7uo

Tôi đã thực hiện một vài khóa học MVA về vé vàng và giảm thiểu pth nhưng sự hiểu biết của tôi là nó nhớ 2 mật khẩu, do đó bạn cần thay đổi ít nhất hai lần, không chỉ một lần. Ngay cả kịch bản cho krbtgt cũng làm điều đó hai lần.

— JurajB

không thể chỉnh sửa ở trên để thêm: Ngay cả tập lệnh cho krbtgt cũng thực hiện hai lần. Vậy thì sự lựa chọn tốt nhất (đối với tài khoản người dùng) là thay đổi mật khẩu hai lần và sau đó vô hiệu hóa tài khoản?

— JurajB

You need to bring your domain offline. Điều đó có thể làm việc cho một văn phòng nhỏ, nhưng không chắc là một công ty lớn chỉ có thể lấy tên miền / rừng của họ ngoại tuyến.

— Greg Askew

họ đã có thể sử dụng thông tin đăng nhập băm của một người dùng quản trị viên đã rời khỏi vài tháng trước.

Băm xác thực bị đánh cắp không hoạt động đối với các tài khoản bị vô hiệu hóa, trừ khi trên máy tính không được kết nối với mạng. Quá trình vẫn cần yêu cầu một vé hoặc xác thực với bộ điều khiển miền. Không thể làm điều đó nếu tài khoản bị vô hiệu hóa.

Bạn cần vô hiệu hóa tài khoản quản trị cho nhân viên cũ khi họ rời đi.

— Greg Askew
nguồn

Làm thế nào để đánh cắp thông tin băm giúp kẻ tấn công? Nếu họ không có mật khẩu thực tế, không có cách nào lấy lại mật khẩu từ hàm băm (ngoại trừ việc lấy mật khẩu nhỏ bằng bảng cầu vồng), đúng không? Không chắc chắn những gì tôi đang thiếu ở đây.

— Chirag Bhatia - chirag64

@ ChiragBhatia-chirag64 Bạn đang giả sử rằng các chương trình xác thực có khả năng kháng lại. Chúng có thể không, trong trường hợp băm là tất cả những gì bạn cần để xác thực.

— Jonas Schäfer

Bạn có thể đưa ra một ví dụ trong đó sơ đồ xác thực Windows sử dụng hàm băm thực tế thay vì mật khẩu văn bản không? Xin lỗi nếu điều này nghe có vẻ là một câu hỏi ngu ngốc, tôi chưa bao giờ thấy một triển khai như vậy trước đây (hoặc có thể tôi hiểu nhầm cơ chế xác thực của Windows)

— Chirag Bhatia - chirag64

@ ChiragBhatia-chirag64 en.m.wikipedia.org/wiki/Pass_the_hash

— Greg Askew

@GregAskew cảm ơn, tôi không biết đây là một điều trong xác thực Windows. Thật ngạc nhiên khi họ không sử dụng cái gì đó như SSL để gửi mật khẩu thay thế. Đây dường như là một vấn đề an ninh rất lớn đối với tôi.

— Chirag Bhatia - chirag64

Giả sử tài khoản người dùng chuẩn, bạn có thể muốn xem xét:

Thay đổi mật khẩu.
Vô hiệu hóa tài khoản.
Đổi tên tài khoản (nghi ngờ tên người dùng) và tạo một tài khoản mới cho người dùng bị ảnh hưởng.
Thêm tài khoản nghi ngờ vào nhóm bảo mật "Người dùng bị vô hiệu hóa / bị thỏa hiệp".

Đối với # 4, đã có một chính sách nhóm thực hiện như sau:

Từ chối quyền truy cập vào máy tính này từ mạng: "Người dùng bị vô hiệu hóa / thỏa hiệp"
Từ chối đăng nhập thông qua Dịch vụ máy tính từ xa: "Người dùng bị vô hiệu hóa / thỏa hiệp"
Từ chối đăng nhập cục bộ: "Người dùng bị vô hiệu hóa / thỏa hiệp"

Đối với tài khoản quản trị miền, toàn bộ mạng của bạn là bánh mì nướng.

— Kinda Villyard
nguồn

Tại sao bạn đề nghị thay đổi mật khẩu nhiều lần?

— bao7uo

nếu tài khoản quản trị miền bị xâm phạm thì điều đó có nghĩa là mọi tài khoản người dùng đều bị xâm phạm. bạn có thể đổi tên mọi tài khoản người dùng không?

— bao7uo

@PHPaul: Tùy thuộc vào sự xâm nhập, nếu tài khoản vẫn đang được sử dụng, đổi tên có thể là một chiến thuật hợp lệ. Và tất nhiên họ không khuyến nghị đổi tên mọi tài khoản.

— Greg Askew