Út a tartományi adminisztrátorig: három beállítási hiba egy láncban
Szemléltető esettanulmány: hogyan vezet egy szabványos felhasználói fiókból három, külön-külön kisebbnek tűnő beállítási hiba a teljes tartomány átvételéig, és mivel zárható le az útvonal.
- Környezet
- Tesztkörnyezet: Windows-tartomány, tartományvezérlő, AD CS, kliensek
- Kiinduló helyzet
- Feltételezett behatolás, egy szabványos tartományi felhasználói fiók
- Típus
- Belső hálózati penetrációs teszt
- Módszertan
- PTES, MITRE ATT&CK
1. Vezetői összefoglaló
A vizsgálat egy Active Directory (AD) tartományt mért fel „feltételezett behatolás” (assumed breach) megközelítéssel: egyetlen, jogosultság nélküli tartományi felhasználói fiókból indultunk, abból a feltételezésből kiindulva, hogy egy támadó ilyen hozzáférést például adathalászattal már megszerzett. A vizsgálat során három, önmagában közepesnek értékelt beállítási hiba együttese a teljes tartomány átvételéhez (tartományi adminisztrátori jogosultság) vezetett.
A legfontosabb tanulság nem az egyes hibák egzotikussága, hanem a láncolhatóságuk: mindhárom gyengeség gyakori éles környezetben, és külön-külön gyakran „majd ráérünk” kategóriába kerül. Együtt azonban olyan útvonalat képeznek, amelyen egy támadó néhány óra alatt a legmagasabb jogosultságig juthat, észlelés nélkül. A jelentés a vezetés számára egy lépésenkénti „út a tartományi adminisztrátorig” ábrát is tartalmazott.
2. Hatókör és kiindulási feltételezések
| Elem | Érték |
|---|---|
| Környezet | Windows Server tartományvezérlő, Active Directory tanúsítványszolgáltatás (AD CS), tagszerverek és Windows-kliensek egyetlen erdőben |
| Kiindulási hozzáférés | Egy szabványos, csoporttagság nélküli tartományi felhasználói fiók és egy tartományba léptetett munkaállomás |
| A vizsgálat típusa | Belső hálózati penetrációs teszt (grey-box) |
| Kizárt elemek | Szolgáltatásmegtagadásos (DoS) teszt, végfelhasználók elleni adathalászat, a tesztkörnyezeten kívüli rendszerek |
3. Módszertan
A vizsgálatot a PTES (Penetration Testing Execution Standard) és a NIST SP 800-115 ajánlásai szerint végeztük, a megfigyelt technikákat a MITRE ATT&CK keretrendszerhez rendelve. A munka a következő fázisokból állt:
- Felderítés és leltár (Discovery). A tartomány objektumainak feltérképezése a beépített címtár-lekérdezéseken keresztül: felhasználók, csoportok, szolgáltatásfiókok, bizalmi kapcsolatok, tanúsítványsablonok. Ebben a fázisban csak olvasási műveleteket végeztünk.
- Támadásiútvonal-elemzés (Path analysis). A begyűjtött adatokból a jogosultsági kapcsolatok gráfjának felépítése, és a kiinduló fiókból a kiemelt jogosultságok felé vezető legrövidebb utak azonosítása.
- Kontrollált igazolás (Validation). A feltételezett útvonalak gyakorlati, de kíméletes igazolása, a termelést nem veszélyeztető módon, minden lépést naplózva.
- Hatáselemzés és jelentés. Az üzleti hatás meghatározása, a megállapítások súlyozása, valamint a priorizált javítási terv összeállítása.
4. Megállapítások
A súlyosságot a CVSS v3.1 alapértéke és az üzleti kontextus együtt adja. A lánc szempontjából a három megállapítás egymásra épül: külön-külön közepes kockázat, együtt kritikus.
F-01 — Kerberoasting-érzékeny szolgáltatásfiókok gyenge jelszóval
| Súlyosság | Magas (CVSS 8,1) |
| Gyengeség | CWE-262 (nem megfelelő jelszóerősség), CWE-522 (nem kellően védett hitelesítő adatok) |
| Technika | MITRE ATT&CK T1558.003 — Kerberoasting |
Leírás. Több szolgáltatásfiókhoz tartozott szolgáltatásnév (SPN), így bármely hitelesített tartományi felhasználó olyan szolgáltatásjegyet kérhetett rájuk, amely a fiók jelszavából származó, offline visszafejthető anyagot tartalmaz. Mivel az érintett fiókok rövid, szótári alapú jelszóval működtek, és a jelszó régóta nem változott, az offline visszafejtés reális időn belül sikeres lehetett. Az érintett fiókok egyike a kiindulónál magasabb jogosultságú csoport tagja volt.
Gyökérok. Szolgáltatásfiókok emberi jelszóval, jelszórotáció és erősségi követelmény nélkül, feleslegesen magas csoporttagsággal.
F-02 — Félrekonfigurált tanúsítványsablon (AD CS)
| Súlyosság | Magas (CVSS 8,8) |
| Gyengeség | CWE-732 (nem megfelelő jogosultság-hozzárendelés kritikus erőforráshoz) |
| Technika | MITRE ATT&CK T1649 — tanúsítvány megszerzése vagy hamisítása; ESC-típusú AD CS-félrekonfiguráció |
Leírás. Az AD CS egyik kiadott tanúsítványsablonja egyszerre engedélyezte, hogy (a) viszonylag tág, nem adminisztratív kör tanúsítványt kérjen, és (b) a kérelmező maga adja meg a tanúsítvány alanyát (subject). Ez a kombináció a nyilvánosan ismert, „ESC” néven összefoglalt AD CS-félrekonfigurációk családjába tartozik, és lehetővé teszi, hogy a kérelmező egy nála magasabb jogosultságú azonosságra kérjen érvényes tanúsítványt, majd azzal hitelesítsen. A tartományi tanúsítványszolgáltatás kiemelt (tier-0) rendszer, ezért egy ilyen hiba közvetlenül jogosultság-emelést tesz lehetővé.
Gyökérok. A tanúsítványsablon jogosultságainak és beállításainak felülvizsgálat nélküli, gyári vagy túl megengedő állapota.
F-03 — Hiányzó szegmentáció és elégtelen biztonsági naplózás
| Súlyosság | Közepes (CVSS 6,5), a láncban súlyosbító tényező |
| Gyengeség | CWE-778 (elégtelen naplózás), hálózati szegmentáció hiánya |
| Technika | Védelmi hiányosság (detektálás és elkülönítés) |
Leírás. Az adminisztratív és a felhasználói hálózati szegmens nem volt elkülönítve, az adminisztrátorok ugyanazokat a fiókokat használták napi és kiemelt feladatokhoz, és a kritikus címtár- és tanúsítványműveletekről nem keletkezett riasztás. Emiatt az F-01 és F-02 kihasználásának egyetlen lépése sem váltott ki észlelést vagy akadályt. Ez a megállapítás önmagában nem ad hozzáférést, de a másik kettő hatását megsokszorozza azzal, hogy a támadó észrevétlen maradhat.
5. A támadási lánc üzleti nézetből
A három megállapítás a következő, magas szintű útvonalat képezte: a kiinduló, jogosultság nélküli fiók az F-01 révén egy magasabb jogosultságú szolgáltatásfiók szintjére jutott; onnan az F-02 kihasználásával a tartományi tanúsítványszolgáltatáson keresztül kiemelt azonosságra szóló érvényes tanúsítványt lehetett szerezni; ez pedig tartományi adminisztrátori szintű hozzáférést eredményezett. Az F-03 miatt mindez észlelés nélkül történt.
Ezen a szinten egy valódi támadó hozzáférhet minden tartományi adathoz, kikapcsolhatja a védelmi megoldásokat, tartós hozzáférést építhet ki, és a teljes tartományra kiterjedő zsarolóvírus-támadást indíthat. A tartományi adminisztrátori jogosultság megszerzése után a helyreállítás jellemzően a teljes tartomány újraépítését jelenti, ami napokban mérhető leállással és jelentős költséggel jár.
6. Észlelési lehetőségek
A lánc minden eleme észlelhető lett volna megfelelő naplózással és riasztással:
- F-01: szokatlanul sok, gyenge titkosítási szintű szolgáltatásjegy-kérés egyetlen fióktól (Windows biztonsági napló 4769-es esemény), illetve a szolgáltatásjegyekre vonatkozó anomália-figyelés.
- F-02: a tanúsítvány-hitelesítési kérések (AD CS 4886/4887-es események) figyelése, különösen amikor a tanúsítvány alanya eltér a kérelmezőtől, valamint a sablonok módosításának auditálása.
- F-03: kiemelt csoporttagság-változások, a tartományvezérlőkön végzett replikációs műveletek és a tier-0 rendszerekhez való hozzáférés központi gyűjtése és korrelálása (SIEM).
7. Javaslatok és priorizálás
| Prioritás | Teendő | Megállapítás |
|---|---|---|
| 1 — azonnali | A félrekonfigurált tanúsítványsablon jogosultságainak szűkítése és a kérelmező által megadott alany tiltása ott, ahol nem indokolt; az AD CS tier-0 rendszerként kezelése | F-02 |
| 2 — rövid táv | A szolgáltatásfiókok átállítása felügyelt szolgáltatásfiókra (gMSA) vagy hosszú, véletlenszerű jelszóra; a felesleges SPN-ek és a túlzott csoporttagságok megszüntetése | F-01 |
| 3 — közép táv | Az adminisztratív és felhasználói környezet szétválasztása (tier-modell), külön adminisztratív fiókokkal; a kritikus műveletek központi naplózása és riasztása | F-03 |
A javítások után díjmentes újratesztet végeztünk, amelyben megállapítottuk, hogy a kiinduló fiókból a korábbi útvonal már nem járható: a tanúsítványsablon nem adott ki érvényes tanúsítványt magasabb jogosultságú alanyra, a szolgáltatásfiókok jelszava offline nem volt visszafejthető, a kiemelt műveletek pedig riasztást generáltak.
8. Tanulságok
Egyetlen „kritikus” címkéjű hiba ritkán dönti el egy behatolás kimenetelét. A valós kockázatot jellemzően több, önmagában közepesnek értékelt gyengeség együttese adja, ezért a megállapításokat mindig láncban értékeljük, és a jelentés „út a célig” ábrája ezt teszi a vezetés számára is láthatóvá. A priorizálás ezért nem pusztán a legmagasabb CVSS-érték szerint történik, hanem a szerint, hogy melyik egyetlen javítás szakítja meg a láncot a legkisebb ráfordítással — ebben az esetben a tanúsítványsablon szűkítése.