AD में विसर्जन: हम Microsoft सक्रिय निर्देशिका पर उन्नत हमलों का विश्लेषण करते हैं और उनका पता लगाने का तरीका बताते हैं

चित्र: Pexels

पिछले चार वर्षों में, Microsoft सक्रिय निर्देशिका पर हमलों पर रिपोर्टों के बिना एक भी ब्लैक हैट या DEF CON नहीं रहा है। प्रतिभागी नए वैक्टर और उनके आविष्कारों के बारे में बात करते हैं, लेकिन उन्हें कैसे पता लगाने और रोकने के लिए युक्तियों के बारे में मत भूलना। इस लेख में, हम AD पर हमला करने के लिए लोकप्रिय तरीके देखेंगे और सिफारिशें प्रदान करेंगे जो उनके खिलाफ सुरक्षा प्रदान करेगी।

छह विज्ञापन हमलों को आप अनदेखा नहीं कर सकते

सुरक्षा निगरानी सॉफ्टवेयर के कई निर्माता पहले से ही अपने उत्पादों में विभिन्न प्रकार की हमले तकनीकों का समर्थन करते हैं। आइए उनमें से कुछ पर विचार करें।

दर्रा--हैश

पिछली शताब्दी के नब्बे के दशक में Microsoft द्वारा विकसित NTLM प्रमाणीकरण प्रोटोकॉल के वास्तुशिल्प विशेषताओं के कारण यह तकनीक संभव है। दूरस्थ होस्ट में प्रवेश करने के लिए, एक पासवर्ड हैश का उपयोग किया जाता है, जिसे कंप्यूटर की मेमोरी में संग्रहीत किया जाता है जहां से प्रमाणीकरण होता है। तदनुसार, इसे वहां से निकाला जा सकता है।

Mimikatz

2014 में पास-द-हैश के सुविधाजनक संचालन के लिए, फ्रांसीसी शोधकर्ता बेंजामिन डेल्पी (बेंजामिन डेल्पी) ने मिमिक्ज़ैट उपयोगिता विकसित की। यह मेमोरी से स्पष्ट पाठ पासवर्ड और NTLM हैश डंपिंग की अनुमति देता है।

क्रूर बल

यदि हमलावर के पास पर्याप्त क्रेडेंशियल्स नहीं हैं जो उसने एक होस्ट से निकाला है, तो वह एक क्रूड लेकिन प्रभावी पासवर्ड-अनुमान तकनीक का सहारा ले सकता है।

नेट उपयोगकर्ता / डोमेन

ब्रूट फोर्स का संचालन करने के लिए उपयोगकर्ता नाम का शब्दकोष कहां से प्राप्त करें? डोमेन का कोई भी सदस्य नेट उपयोगकर्ता / डोमेन कमांड का उपयोग कर सकता है, जो AD से उपयोगकर्ता नामों की पूरी सूची लौटाता है।

Kerberoasting

यदि डोमेन Kerberos को प्रमाणीकरण प्रोटोकॉल के रूप में उपयोग करता है, तो हमलावर Kerberoasting हमले का सहारा ले सकता है। डोमेन में प्रमाणित कोई भी उपयोगकर्ता टिकट अनुदान सेवा तक पहुँचने के लिए केर्बरोस टिकट का अनुरोध कर सकता है। टीजीएस को उस खाते के पासवर्ड हैश से एन्क्रिप्ट किया गया है जहां से लक्ष्य सेवा चल रही है। एक हमलावर जिसने इस प्रकार टीजीएस प्राप्त किया था, अब इसे डिक्रिप्ट कर सकता है, पासवर्ड उठा सकता है और ब्लॉक होने का डर नहीं सकता, क्योंकि यह ऑफ़लाइन है। एक सफल परिणाम पर, यह सेवा से जुड़े खाते से एक पासवर्ड प्राप्त करता है, जिसे अक्सर विशेषाधिकार प्राप्त होता है।

PsExec

हमलावर को आवश्यक साख प्राप्त होने के बाद, उसे दूरस्थ रूप से निष्पादित कमांड के कार्य के साथ सामना करना पड़ता है। Sysinternals सुइट से PsExec उपयोगिता इसके लिए अच्छी तरह से अनुकूल है। यह खुद को आईटी प्रशासकों और हमलावरों के बीच साबित कर चुका है।

सक्रिय निर्देशिका पर कब्जा करने के लिए सात हमलावर मंत्र

अब हम सात मंत्रों की ओर बढ़ रहे हैं, जिसकी बदौलत हमलावर सक्रिय निर्देशिका का पूर्ण नियंत्रण ले सकते हैं। हम उन्हें चार चरणों में विभाजित करेंगे:

1. अन्वेषण।
2. AD पर प्रचार।
3. ऑपरेशन।
4. डोमेन पर कब्जा।

आरेख में आप सभी चार, साथ ही उन तकनीकों का उपयोग कर सकते हैं जो उन पर उपयोग किए जाते हैं। आइए प्रत्येक पर विस्तार से विचार करें।

चरण 1. अन्वेषण

आइए बुद्धिमत्ता के चरण से शुरू करें।

PowerView

यह उपकरण लोकप्रिय PowerShell प्रवेश परीक्षण ढांचे का एक हिस्सा है - PowerSploit । यह BloodHound टूल पर भी निर्भर करता है, जो AD के भीतर ऑब्जेक्ट रिलेशनशिप का ग्राफ बनाता है।



सक्रिय निर्देशिका वस्तु संबंधों के चित्रमय प्रतिनिधित्व

ब्लडहाउंड तुरंत ये सुविधाएँ प्रदान करता है:

• सभी डोमेन व्यवस्थापकों के खाते ढूंढें;
• उन होस्टों को ढूंढें जिन पर डोमेन व्यवस्थापक लॉग इन हैं;
• डोमेन व्यवस्थापक सत्र के साथ होस्ट करने वाले के होस्ट से सबसे छोटा पथ बनाएँ।

अंतिम पैराग्राफ उस प्रश्न का उत्तर देता है जिसे डोमेन व्यवस्थापक खाते में लाने के लिए मेजबानों को एक हमलावर को हैक करने की आवश्यकता होती है। यह दृष्टिकोण डोमेन पर पूर्ण नियंत्रण प्राप्त करने के लिए समय को बहुत कम कर देता है।

PowerView AD ऑब्जेक्ट्स (उदाहरण के लिए, net.exe) के बारे में डेटा पुनर्प्राप्त करने के लिए अंतर्निहित उपयोगिताओं से भिन्न होता है, जिसमें यह LDAP प्रोटोकॉल पर चलता है, SAMR पर नहीं। डोमेन नियंत्रक से इवेंट 1644 इस गतिविधि का पता लगाने के लिए उपयुक्त है। रजिस्ट्री में उपयुक्त मान जोड़कर इस ईवेंट का लॉगिंग सक्षम किया गया है:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostic\\15 Field Engineering = 5



LDAP ईवेंट लॉगिंग 1644 सक्षम करना



इवेंट 1644 LDAP अनुरोध पैरामीटर के साथ

यह इस तथ्य पर ध्यान देने योग्य है कि इस तरह की घटनाओं का एक बहुत कुछ हो सकता है, और घटना का पता लगाने का एक अच्छा विकल्प ट्रैफ़िक का पता लगाना है, क्योंकि LDAP एक स्पष्ट-पाठ प्रोटोकॉल है, तदनुसार, ट्रैफ़िक में सभी अनुरोध पूरी तरह से दिखाई देते हैं।



LDAP खोज (छवि को पूर्ण आकार में खोलने के लिए क्लिक करें)

इस ढांचे की एक अन्य महत्वपूर्ण विशेषता यह है कि यह शुद्ध पॉवरशेल में लिखा गया है और इसकी कोई निर्भरता नहीं है। और यहाँ, पता लगाने के लिए, PowerShell संस्करण 5 में शुरू की गई उन्नत ऑडिट सुविधा हमारी मदद करेगी। इवेंट 4104 एक स्क्रिप्ट के शरीर को दिखाता है जिसमें हम PowerView- विशिष्ट फ़ंक्शन नामों की खोज कर सकते हैं।

एसपीएन स्कैन

यह हमलावर लॉन्च नैम्प को बदल सकता है। हमलावर ने यह पता लगाने के बाद कि कौन से उपयोगकर्ता और समूह AD के अंदर हैं, तस्वीर को पूरा करने के लिए उसे किन सेवाओं के बारे में जानकारी की आवश्यकता होगी।



यह आमतौर पर नैम्प के साथ बंदरगाहों को स्कैन करके हल किया जाता है। लेकिन अब यह जानकारी एडी से भी प्राप्त की जा सकती है - यह पहले से ही वहां संग्रहीत है। आप इस तरह के अनुरोध के परिणाम को देख सकते हैं: तथाकथित एसपीएन (सेवा प्रधान नाम) लौटाएं। एसपीएन में एक सर्विसिक शामिल है, यह प्रत्येक प्रकार की सेवा के लिए अद्वितीय है, फिर FQDN के रूप में होस्टनाम और कुछ सेवाओं के लिए आता है - पोर्ट।



उदाहरण दिए सेवा प्रधान नामों की पूरी सूची

SPN स्कैन का पता लगाने के लिए, LDAP ईवेंट ऑडिटिंग भी बचाव में आती है।
यह नोट करना महत्वपूर्ण है कि एसपीएन स्कैन का नैम्प स्कैन पर एक अलग लाभ है: यह कम शोर है। नैम्प का उपयोग करते समय, आपको प्रत्येक नोड से कनेक्ट करने और पोर्ट रेंज को भेजने की आवश्यकता होती है जिसे आपने निर्दिष्ट किया था। और एसपीएन की सूची प्राप्त करने के लिए, आपको केवल एक अनुरोध भेजने की आवश्यकता है।

दूरस्थ सत्र गणना

पार्श्व आंदोलन के चरण में एक हमलावर के लिए एक महत्वपूर्ण कार्य यह निर्धारित करना है कि कौन सा उपयोगकर्ता किस मशीन पर लॉग ऑन है। या उसके पास पहले से ही उपयोगकर्ता क्रेडेंशियल (हैश या केर्बरोस टिकट) है, और वह मेजबानों की तलाश कर रहा है जहां आप बिना बाधा के लॉग इन कर सकते हैं। या वह एक होस्ट की तलाश में है जहां एक लाइव डोमेन व्यवस्थापक सत्र है।

फिर परिदृश्य काम करता है: शिकार -> किसी भी मेजबान से समझौता करना -> खाड़ी की Mimikatz -> लाभ।

आप इस तकनीक का पता लगाने के लिए 2 घटनाओं का उपयोग कर सकते हैं। 4624 एक रिमोट सिस्टम पर टाइप 3 के लॉगऑन के साथ-साथ IPC $ नेटवर्क एक्सेस इवेंट के लिए एक सफल लॉगऑन है, और nuance पाइप का नाम है - srvsvc। एक पाइप को क्यों बुलाया जाता है, इसे यातायात से समझा जा सकता है।



छवि को पूर्ण आकार में खोलने के लिए क्लिक करें।

बाईं ओर, लाल फ्रेम में, एसएमबी तक पहुंच, फिर पाइप तक पहुंच - srvsvc। यह पाइप आपको विशेष सर्वर सेवा रिमोट प्रोटोकॉल का उपयोग करके बातचीत करने की अनुमति देता है। यह अंतिम मेजबान को इसमें से विभिन्न प्रशासनिक जानकारी प्राप्त करने की अनुमति देता है, जिसमें शामिल हैं इन प्रश्नों के बीच एक नेटसएसनम भी है। इस अनुरोध के परिणामस्वरूप, IP और उपयोगकर्ता नामों के साथ दूरस्थ सिस्टम पर लॉग किए गए उपयोगकर्ताओं की एक पूरी सूची वापस आ गई है।



MaxPatrol Siem में, हमने srvsvc को ध्यान में रखते हुए इन दोनों घटनाओं के संयोजन के आधार पर एक पहचान की। और पीटी नेटवर्क अटैक डिस्कवरी में एक समान ट्रैफ़िक का पता लगाना।

चरण 2. विज्ञापन प्रचार

ओवरपास-हैश

पास-ए-हश का पुनर्जन्म। पार्श्व आंदोलन के विषय को जारी रखना। एनटीएलएम हैश होने पर हमलावर क्या कर सकता है? वह एक पास-ए-हश हमले को अंजाम दे सकता है - लेकिन उस पर पहले से ही नजरबंद हैं। इसलिए, एक नया वेक्टर पाया गया - ओवरपास-ए-हश हमला।

Kerberos प्रोटोकॉल को विशेष रूप से डिज़ाइन किया गया था ताकि एक या दूसरे रूप में उपयोगकर्ता पासवर्ड नेटवर्क पर प्रेषित न हों। ऐसा करने के लिए, उसकी मशीन पर, उपयोगकर्ता अपने पासवर्ड को प्रमाणीकरण अनुरोध को एन्क्रिप्ट करता है। जवाब में, कुंजी वितरण केंद्र (एक विशेष सेवा जो डोमेन नियंत्रक पर होस्ट की जाती है) उसे अन्य टिकट प्राप्त करने के लिए टिकट जारी करती है। तथाकथित टिकट-अनुदान टिकट (TGT)। अब ग्राहक को प्रमाणित माना जाता है, और 10 घंटे के भीतर वह अन्य सेवाओं तक पहुंचने के लिए टिकट के लिए आवेदन कर सकता है। तदनुसार, यदि हमलावर उस उपयोगकर्ता के हैश को डंप करता है जो उसके लिए ब्याज की सेवा के एक विश्वसनीय समूह का हिस्सा है, उदाहरण के लिए, एक ईआरपी सिस्टम या डेटाबेस, तो हमलावर खुद के लिए एक पास जारी कर सकता है और सफलतापूर्वक उसकी रुचि की सेवा में लॉग इन कर सकता है।

कैसे पता करें

यदि हमलावर इस हमले के लिए mimikatz के पावरशेल संस्करण का उपयोग करता है, तो स्क्रिप्ट का मुख्य भाग बचाव में आता है। क्योंकि Invoke-Mimikatz एक बहुत ही विशेषता लाइन है।





या 4688 एडवांस कमांड लाइन ऑडिटिंग के साथ एक प्रोसेस स्टार्ट इवेंट है। यहां तक ​​कि अगर बिनार का नाम बदल दिया जाता है, तो कमांड लाइन पर हमें एक कमांड मिलेगा जो कि मिमिकेज़ की बहुत विशेषता है।



एक बायोमेट्रिक के आधार पर ओवर-द-हश ट्रैफ़िक का पता लगाया जा सकता है जो इस तथ्य के परिणामस्वरूप होता है कि Microsoft वर्तमान डोमेन के एन्क्रिप्शन के लिए प्रमाणीकरण अनुरोध AES256 का उपयोग करने की सिफारिश करता है। और mimikatz, जब यह प्रमाणीकरण अनुरोध डेटा भेजता है, तो यह पुराने ARCFOUR का उपयोग करके डेटा को एन्क्रिप्ट करता है।



यातायात में, एक और अंतर mimikatz की विशेषताओं के कारण मनाया जाता है। यह वैध डोमेन में सिफर सुइट में अंतर और क्या mimikatz भेजता है पर आधारित है।

गोल्डन टिकट

अगर कोई पासवर्ड krbtgt के पास हो, तो एक हमलावर के पास क्या कर सकता है? इससे पहले, हमने उस मामले पर विचार किया जब उपयोगकर्ता को अनपेक्षित किया जा सकता था। अब हम एक उपयोगकर्ता पर एक पासवर्ड हैश के साथ विचार कर रहे हैं, जिसमें अन्य टिकटों (टीजीटी) के सभी टिकटों पर हस्ताक्षर किए गए हैं। तदनुसार, हमलावर अब कुंजी वितरण केंद्र को संबोधित नहीं करता है, वह इस टिकट को अपने दम पर उत्पन्न करता है, क्योंकि गोल्डन टिकट, संक्षेप में, टीजीटी है। फिर यह AD के अंदर और असीमित समय के लिए किसी भी सेवा को प्रमाणीकरण अनुरोध भेज सकता है। नतीजतन, वह स्वतंत्र रूप से इस संसाधन में बदल जाता है - गोल्डन टिकट बिना कारण के गोल्डन नहीं है।

कैसे घटनाओं से पता लगाने के लिए

ईवेंट 4768 है, जो कहता है कि टीजीटी जारी किया गया था, और ईवेंट 4769, जो कहता है कि एक सेवा टिकट जारी किया गया था, जो कि एडी के अंदर कुछ सेवा पर प्रमाणीकरण के लिए आवश्यक है।



यहाँ हम अंतर पर खेल सकते हैं: एक हमले के दौरान, गोल्डन टिकट एक डोमेन कंट्रोलर से टीजीटी का अनुरोध नहीं करता है (यह इसे अपने आप उत्पन्न करता है), और इसे टीजीएस का अनुरोध करने की आवश्यकता है, अगर हमें प्राप्त टीजीटी और टीजीएस में अंतर मिलता है, तो हम मान सकते हैं कि एक गोल्डन टिकट हमला हो रहा है।

MaxPatrol में टेबल्स सूचियों का उपयोग करके हम सभी जारी किए गए टीजीटी और टीजीएस को लॉग करते हैं, हम इस तरह के एक डिटेक्शन को लागू करने में कामयाब रहे।

WMI दूरस्थ निष्पादन

वांछित मेजबानों पर प्रमाणीकरण और प्राधिकरण कार्य हल हो जाने के बाद, हमलावर दूरस्थ रूप से कार्य करना शुरू कर सकता है। WMI, इसके लिए अंतर्निहित और डिज़ाइन किए गए तंत्र के रूप में, पूरी तरह से फिट बैठता है। पिछले कुछ वर्षों में, "भूमि से दूर रहना" का अर्थ है ट्रेंड में अंतर्निहित विंडोज तंत्र का उपयोग करना। सबसे पहले, क्योंकि यह आपको अपने आप को वैध गतिविधि के रूप में छिपाने की अनुमति देता है।



स्क्रीनशॉट में, अंतर्निहित वर्मी उपयोगिता का उपयोग। यह उस होस्ट के पते को निर्दिष्ट करता है जिससे आप कनेक्ट करना चाहते हैं, क्रेडेंशियल्स, प्रक्रिया कॉल स्टेटमेंट बनाते हैं, और कमांड जिसे रिमोट होस्ट पर चलाया जाना चाहिए।

कैसे पता करें

एक दूरस्थ लॉगऑन 4624 की घटनाओं के एक समूह पर (ध्यान दें)
लॉगऑन आईडी पर उन्माद) और 4688 इवेंट, कमांड लाइन के साथ एक प्रक्रिया शुरू करने के बारे में बात करना। 4688 - आप देख सकते हैं कि लॉन्च की गई प्रक्रिया का जनक WmiPrvSE.exe है, जो एक विशेष WMI सेवा प्रक्रिया है जिसका उपयोग दूरस्थ प्रशासन के लिए किया जाता है। कमांड जिसे हमने नेट यूजर / ऐड भेजा है, दिखाई दे रहा है, और लॉगऑन आईडी 4624 इवेंट से मेल खाता है। तदनुसार, हम कह सकते हैं कि यह कमांड किस होस्ट से चल रहा है।

ट्रैफिक का पता

यहां हम स्पष्ट रूप से Win32 प्रक्रिया बनाने की विशेषता शब्दों को देखते हैं, साथ ही कमांड लाइन, जिसे शुरू करने के लिए भेजा जाता है। स्क्रीनशॉट में, हमने हाल ही में एक मैलवेयर से मुलाकात की, जिसे वर्चुअल नेटवर्क में WannaCry के समान एक सिद्धांत के अनुसार वितरित किया गया था, लेकिन एन्क्रिप्शन के बजाय, इसने एक खनिक स्थापित किया। मालवर ने उसके साथ मिमिकेज़ और एलीटरनलब्यू किया, उसने खातों को डंप किया, उनकी मदद से वह उन सभी मेजबानों के लिए लॉग इन किया जो वह नेटवर्क पर पहुंच सकता था। WMI का उपयोग करते हुए, उसने उन पर PowerShell लॉन्च किया, PowerShell पेलोड डाउनलोड किया, जिसमें फिर से mimikatz, EunningalBlue और miner शामिल थे। इस प्रकार, एक श्रृंखला प्रतिक्रिया प्राप्त की गई थी।

1-3 चरणों के लिए सिफारिशें

1. लंबी और जटिल (> 25 वर्ण) सेवा खातों के लिए पासवर्ड। यह एक हमलावर को केर्बोस्टिंग हमले को अंजाम देने का मौका नहीं छोड़ेगा, जैसा कि ब्रूट के पास बहुत लंबा समय होगा।

2. लॉगिंग पॉवरशेल । यह एडी पर हमलों के लिए कई आधुनिक उपकरणों के उपयोग का पता लगाने में मदद करेगा

3. विंडोज 10, विंडोज सर्वर 2016 में जाना। Microsoft ने क्रेडेंशियल गार्ड बनाया: NTLM हैश और केर्बरोस टिकट को मेमोरी से डंप करना संभव नहीं होगा।

4. भूमिकाओं का सख्त सीमांकन । AD, DC, सभी सर्वर और कार्यशील मशीनों के व्यवस्थापक को एक भूमिका में जोड़ना खतरनाक है

5. डबल पासवर्ड परिवर्तन krbtgt (यह वही खाता है जिसमें TGT टिकट साइन अप करते हैं) । हर साल। और विज्ञापन व्यवस्थापक के बाद AD:

• दो बार बदलने की जरूरत है, क्योंकि वर्तमान और पिछले पासवर्ड संग्रहीत हैं,
• हर साल बदलें, incl। डोमेन व्यवस्थापक छोड़ने के बाद। यहां तक ​​कि अगर नेटवर्क पहले से ही समझौता है और हमलावरों ने गोल्डन टिकट जारी किया है, तो पासवर्ड बदलने से यह टिकट बेकार हो जाता है। और फिर से उन्हें फिर से शुरू करने की आवश्यकता है।

6. लगातार अद्यतन विशेषज्ञ ज्ञान आधार के साथ उपचार । वास्तविक वास्तविक हमलों का पता लगाना आवश्यक है।

स्टेज 4. डोमेन कैप्चर

DCShadow

24 जनवरी, 2018 को इजरायल में माइक्रोसॉफ्ट ब्लूहैट सम्मेलन में, बेंजामिन डेल्पी और विंसेंट ले टॉक्स ने नए मिमिकेज़ मॉड्यूल को पेश किया, जो डीसीशैडो हमले को लागू करता है। हमले का सार यह है कि प्रतिकृति के माध्यम से विज्ञापन में नई वस्तुओं को संशोधित करने और बनाने के लिए एक नकली डोमेन नियंत्रक बनाया जाता है। शोधकर्ताओं ने प्रतिकृति प्रक्रिया से गुजरने के लिए आवश्यक केर्बरोस एसपीएन के न्यूनतम सेट को अलग करने में कामयाब रहे - उन्हें केवल 2 की आवश्यकता है। इसके अलावा, उन्होंने एक विशेष कार्य प्रस्तुत किया जो नियंत्रकों की प्रतिकृति को मजबूर कर सकता है। हमले के लेखक इसे एक हमले के रूप में देखते हैं जो आपके सिएम को अंधा बना देगा। क्योंकि एक नकली डोमेन कंट्रोलर, ईवेंट को CRM में नहीं भेजता है, जिसका अर्थ है कि हमलावर AD और AD के साथ विभिन्न अंधेरे काम कर सकते हैं और इसके बारे में नहीं जानते होंगे।

हमला पैटर्न

जिस सिस्टम पर हमला किया जाता है, उस पर 2 एसपीएन जोड़ने की जरूरत होती है, जिसकी जरूरत होती है ताकि अन्य डोमेन नियंत्रक प्रतिकृति के लिए केर्बेरो का उपयोग करके प्रमाणित कर सकें। क्योंकि विनिर्देश के अनुसार, डोमेन नियंत्रक को एन डेटाबेस में कक्षा nTDSDSA के ऑब्जेक्ट द्वारा दर्शाया जाता है, इस तरह की वस्तु बनाना आवश्यक है। अंत में, DRSReplicaAdd फ़ंक्शन का उपयोग करके प्रतिकृति बनाएं।

कैसे पता करें

DCShadow ट्रैफ़िक में कैसा दिखता है। ट्रैफ़िक द्वारा, हम स्पष्ट रूप से डोमेन-कंट्रोलर प्रकार की कॉन्फ़िगरेशन योजना के लिए एक नई वस्तु को जोड़ते हैं, और फिर मजबूर प्रतिकृति शुरू करते हैं



इस तथ्य के कारण कि हमारा सहसंबंध वैध डोमेन नियंत्रकों की सूची जानता है, यह तब ट्रिगर किया जाएगा जब प्रतिकृति एक डोमेन नियंत्रक से होती है जो इस श्वेत सूची में शामिल नहीं है। तदनुसार, सूचना सुरक्षा प्रभाग एक जांच का संचालन कर सकता है और पहले से ही समझ सकता है कि यह एक वैध डोमेन नियंत्रक है जिसे आईटी सेवा, या DCShadow हमले द्वारा जोड़ा गया था।

निष्कर्ष

DCShadow उदाहरण से पता चलता है कि उद्यम के लिए नए हमले वैक्टर हैं। सूचना सुरक्षा घटनाओं के इस महासागर में लहर के शिखर पर रहना बहुत महत्वपूर्ण है: आगे देखें और तेजी से आगे बढ़ें। हर दिन, हम पीटी एक्सपर्ट सिक्योरिटी सेंटर में नए खतरों पर रिसर्च करते हैं और उनके लिए डिटेक्शन मेथड और टूल्स विकसित करते हैं। और हम इस जानकारी को आगे साझा करने के लिए तैयार हैं।

एंटोन टायरिन, हेड ऑफ अटैक डिटेक्शन टीम, पॉजिटिव टेक्नोलॉजीज