قضية خصوصية بيانات الدليل النشط

أجريت اختبار الاختراق باستخدام PowerView واستخدمته لاسترداد معلومات المستخدم من Active Directory (يشار إليها فيما يلي باسم م). في ذلك الوقت ، ركزت على جمع المعلومات حول العضوية في مجموعات الأمان ، ثم استخدمت هذه المعلومات للتنقل في الشبكة. في أي حال ، يحتوي م على بيانات سرية حول الموظفين ، وبعضهم في الحقيقة لا ينبغي أن يكون في متناول الجميع في المنظمة. في الواقع ، على أنظمة ملفات Windows ، هناك مشكلة مكافئة للجميع ، والتي يمكن استخدامها أيضًا من قبل المهاجمين الداخليين والخارجيين.

ولكن قبل أن نتحدث عن مشكلات الخصوصية وكيفية إصلاحها ، دعونا نلقي نظرة على البيانات المخزنة في م.

الدليل النشط هو Facebook Facebook

ولكن في هذه الحالة ، تكونت صداقات بالفعل مع الجميع! لا يمكنك معرفة الأفلام والكتب والمطاعم المفضلة لزملائك ، ولكن AD تحتوي على جهات اتصال حساسة
البيانات وغيرها من المجالات التي يمكن استخدامها من قبل المتسللين وحتى المطلعين دون مهارات فنية خاصة.

مسؤولو النظام ، بطبيعة الحال ، على دراية لقطة أدناه. هذه هي واجهة مستخدمي Active Directory وأجهزة الكمبيوتر (ADUC) ، حيث يقومون بتثبيت وتحرير معلومات المستخدم وتعيين المستخدمين إلى المجموعات المناسبة.



م يحتوي على حقول مع اسم الموظف والعنوان ورقم الهاتف ، لذلك يبدو وكأنه دليل الهاتف. ولكن هناك الكثير! تحتوي علامات التبويب الأخرى أيضًا على عنوان بريد إلكتروني وعنوان ويب ومشرف فوري وملاحظات.

هل يجب على كل شخص في المؤسسة الاطلاع على هذه المعلومات ، وخاصة في عصر OSINT ، عندما يجعل كل جزء جديد من العثور على معلومات إضافية أسهل؟

بالطبع لا! تتفاقم المشكلة عندما تكون البيانات من الإدارة العليا متاحة لجميع الموظفين.

PowerView للجميع

هنا يأتي دور PowerView. يوفر واجهة PowerShell مريحة للغاية لوظائف Win32 الأساسية (والمربكة) التي تصل إلى AD. باختصار:
هذا يجعل الحصول على حقول AD سهلاً مثل إدخال أمر cmdlet قصير جدًا.

لنأخذ مثالاً على جمع المعلومات حول موظف في شركة Cruella Deville ، وهو أحد قادة الشركة. للقيام بذلك ، استخدم PowerView get-NetUser cmdlet:



لا يعد تثبيت PowerView مشكلة خطيرة - انظر لنفسك على صفحة جيثب . والأهم من ذلك ، أنك لا تحتاج إلى امتيازات مرتفعة لتشغيل العديد من أوامر PowerView ، مثل get-NetUser. وبالتالي ، يمكن للموظف دوافع ، ولكن ليس من الناحية الفنية للغاية والدهاء تبدأ في التملق في م دون الكثير من الجهد.

من لقطة الشاشة أعلاه ، يمكن ملاحظة أن الشخص الداخلي يمكنه معرفة الكثير عن Cruella بسرعة. هل لاحظت أيضًا أن حقل "المعلومات" يعرض معلومات حول العادات الشخصية للمستخدم وكلمة المرور؟

هذا ليس احتمال نظري. لقد تعلمت من مربعات الحوار التي أجريت مع مزارعين آخرين أنهم يفحصون م للبحث عن كلمات المرور بشكل غير مشفر ، وغالبًا ما تنجح هذه المحاولات ، للأسف ،. يعلمون أن الشركات لا تهتم بالمعلومات الموجودة في م ، وعادة ما لا يعرفون الموضوع التالي - أذونات م.

الدليل النشط لديه ACLs الخاصة به

تسمح لك واجهة مستخدمي AD وأجهزة الكمبيوتر بتعيين أذونات كائنات AD. توجد قوائم ACL في AD ، ويمكن للمسؤولين تعيين الوصول أو رفضه. تحتاج إلى النقر فوق "خيارات متقدمة" في قائمة عرض ADUC ، ثم عندما تفتح المستخدم ، سترى علامة التبويب "الأمان" التي تقوم بتعيين ACL فيها.

في البرنامج النصي الخاص بي مع Cruella ، لم أكن أرغب في أن يتمكن جميع المستخدمين المصادق عليهم من رؤية معلوماتها الشخصية ، لذلك حرمتهم من الوصول للقراءة:



والآن سيشاهد المستخدم العادي هذا إذا حاولوا Get-NetUser في PowerView:



تمكنت من إخفاء المعلومات المفيدة عن أعين المتطفلين. لإبقائه في متناول المستخدمين المعنيين ، قمت بإنشاء قائمة ACL أخرى للسماح لأعضاء VIP (كرويلا والزملاء الآخرين رفيعي المستوى) بالوصول إلى هذه البيانات الحساسة. بمعنى آخر ، قمت بتطبيق أذونات AD استنادًا إلى نموذج الدور ، مما جعل البيانات الحساسة غير قابلة للوصول لمعظم الموظفين ، بما في ذلك المطلعين.

ومع ذلك ، يمكنك جعل عضوية المجموعة غير مرئية للمستخدمين عن طريق تعيين قائمة ACL المناسبة لكائن المجموعة في م. وهذا سوف يساعد من حيث الخصوصية والأمن.

في سلسلتي من pentests الملحمية ، أوضحت كيف يمكنك التنقل في النظام من خلال استكشاف عضوية المجموعة باستخدام PowerViews Get-NetGroupMember. في السيناريو الخاص بي ، قمت بتقييد الوصول للقراءة إلى العضوية في مجموعة معينة. تشاهد نتيجة الأمر قبل وبعد التغييرات:



تمكنت من إخفاء عضوية Cruella و Monty Burns في مجموعة VIP ، مما أدى إلى تعقيد استكشاف البنية التحتية بواسطة المتسللين والمطلعين.

تم تصميم هذا المنشور لتحفيزك على دراسة الحقول عن كثب.
م والأذونات ذات الصلة. م هو مورد كبير ، ولكن التفكير في كيف سيكون لديك
أراد مشاركة المعلومات السرية والبيانات الشخصية ، خاصة
عندما يتعلق الأمر بالأشخاص الأوائل في مؤسستك.