क्रेडेंशियल प्राप्त करना (क्रेडेंशियल एक्सेस)

सभी भागों के लिंक:
भाग 1. प्रारंभिक पहुँच प्राप्त करना (प्रारंभिक पहुँच)
भाग 2. निष्पादन
भाग 3. बन्धन (दृढ़ता)
भाग 4. विशेषाधिकार वृद्धि
भाग 5. रक्षा चोरी
भाग 6. साख प्राप्त करना (क्रेडेंशियल एक्सेस)
भाग 7. खोज
भाग 8. पार्श्व आंदोलन
भाग 9. डेटा संग्रह (संग्रह)
भाग 10 बहिष्कार
भाग 11. कमान और नियंत्रण

क्रेडेंशियल प्राप्त करने के बाद, एक हमलावर सिस्टम, डोमेन या सेवा (तकनीकी) खातों पर पहुंच या नियंत्रण प्राप्त करता है। विरोधी संभवतः उपयोगकर्ता और प्रशासनिक खातों की वैध साख पाने के लिए सिस्टम में खुद को पहचानने और पकड़े गए खाते की सभी अनुमति प्राप्त करने का प्रयास करेंगे, जिससे बचाव पक्ष पर दुर्भावनापूर्ण गतिविधि का पता लगाने के कार्य को जटिल बनाया जा सके। विपक्षी भी, यदि संभव हो, तो हमले के वातावरण में उनके बाद के उपयोग के उद्देश्य के लिए खाते बना सकते हैं।

लेख में दी गई जानकारी को लागू करने के संभावित परिणामों के लिए लेखक जिम्मेदार नहीं है, और कुछ योगों और शर्तों में किए गए संभावित अशुद्धि के लिए भी माफी माँगता है। प्रकाशित जानकारी MITER ATT & CK की सामग्री का मुफ़्त रीटेलिंग है।

खाता हेरफेर

सिस्टम: विंडोज
अधिकार: प्रशासक
विवरण: खाता हेरफेर का उद्देश्य हमले के वातावरण में एक निश्चित स्तर तक पहुंच अधिकारों को बनाए रखना है। हेरफेर में अनुमतियाँ, खाता सेटिंग्स और इसकी प्रामाणिकता को सत्यापित करना, एक्सेस ग्रुप्स को जोड़ना या बदलना शामिल है। एक हमलावर की कार्रवाई सुरक्षा नीतियों को कम करने के उद्देश्य से हो सकती है, जैसे कि पासवर्ड की समय सीमा समाप्त करना, ताकि समझौता किए गए खातों के जीवन का विस्तार किया जा सके। खाते बनाने या प्रबंधित करने के लिए, सिस्टम या डोमेन में पहले से ही पर्याप्त अनुमति होनी चाहिए।

सुरक्षा युक्तियाँ: बहु-कारक प्रमाणीकरण का उपयोग करें। इन प्रणालियों तक पहुँच को सीमित करके डोमेन नियंत्रकों को सुरक्षित रखें। बिना लाइसेंस वाले सिस्टम पर और दिन-प्रतिदिन के संचालन के लिए डोमेन व्यवस्थापक खातों का उपयोग करने से बचें जो उन्हें समझौता कर सकते हैं।

बैश इतिहास

सिस्टम: लिनक्स, macOS
अधिकार: उपयोगकर्ता
विवरण: बैश उन कमांड्स को ट्रैक करता है जो एक उपयोगकर्ता इतिहास उपयोगिता का उपयोग करके निष्पादित करता है। जब उपयोगकर्ता लॉग आउट करता है, तो कहानी ~ / .bash_history फ़ाइल में सहेजी जाती है। आमतौर पर, इस फ़ाइल में अंतिम 500 उपयोगकर्ता कमांड होते हैं। अक्सर, कमांड पैरामीटर में, उपयोगकर्ता उपयोगकर्ता नाम और पासवर्ड निर्दिष्ट करता है, जो उपयोगकर्ता के लॉग ऑफ होने पर ~ / .bash_history में भी सहेजा जाएगा। हमलावर क्रेडेंशियल प्राप्त करने की उम्मीद में सिस्टम के विभिन्न उपयोगकर्ताओं की ~ / .bash_history फाइलें देख सकते हैं।

सुरक्षा सिफारिशें: ~ / .bash_history फ़ाइल पर कमांड इतिहास लिखने से रोकने के कई तरीके हैं:
• सेट + ओ इतिहास - रिकॉर्डिंग को अक्षम करें;
• सेट -ओ इतिहास - रिकॉर्डिंग फिर से शुरू करें;
• परेशान संकेत - bash_rc फ़ाइल में जोड़ें;
• ln -s / dev / null ~ / .bash_history - कमांड इतिहास को / dev / null पर लिखें।

ब्रूट फोर्स मेथड या ब्रूट फोर्स

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: जब कोई अज्ञात या पासवर्ड हैश प्राप्त करने में विफल रहता है, तो एक विरोधी पासवर्ड क्रैकिंग टूल का उपयोग कर सकता है। विरोधी एक उपयुक्त कैश की गणना करके या इंद्रधनुष तालिकाओं का उपयोग करके व्यवस्थित चयन तकनीकों को लागू कर सकते हैं। हैश की हैशिंग आमतौर पर हमले वाली प्रणाली के बाहर की जाती है। पासवर्ड को जाने बिना, हमलावर खाली पासवर्ड या संभावित पासवर्ड की सूची से मान का उपयोग करके लॉग इन करने का प्रयास कर सकते हैं। पासवर्ड नीति के आधार पर, इस तरह की कार्रवाइयां कई प्रमाणीकरण त्रुटियों और खाता लॉकआउट को जन्म दे सकती हैं, इसलिए विरोधी तथाकथित पासवर्ड छल का उपयोग कर सकते हैं, जिसका सार विभिन्न खातों के साथ सबसे लोकप्रिय या संभावित पासवर्ड के माध्यम से सॉर्ट करना है। यह एक लॉक की संभावना को कम करता है जो तब होता है जब केवल एक खाते के साथ कई पासवर्ड के माध्यम से पुनरावृत्ति होती है।

सुरक्षा सिफारिशें: एक निश्चित संख्या में विफल लॉगिन प्रयासों के बाद खाता लॉकआउट नीतियां लागू करें। बहु-कारक प्रमाणीकरण का उपयोग करने पर विचार करें। मौजूदा खातों में अनधिकृत पहुंच को रोकने के लिए सिफारिशों का पालन करें (मान्य लेखा तकनीक के लिए सुरक्षा सिफारिशें देखें) ।

क्रेडेंशियल डंपिंग

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: प्रशासक, सिस्टम, रूट
विवरण: डंपिंग क्रेडेंशियल ( संलग्न। डंपिंग - "अपशिष्ट निपटान" ) लॉगिंग और पासवर्ड प्राप्त करने की प्रक्रिया है, आमतौर पर ऑपरेटिंग सिस्टम या सॉफ़्टवेयर से हैश या टेक्स्ट पासवर्ड के रूप में। क्रेडेंशियल्स को डंप करने के लिए उपकरण दोनों हमलावरों और द्वारा उपयोग किया जा सकता है। सुरक्षा परीक्षक।

विंडोज
एसएएम (खाता प्रबंधक)
एसएएम स्थानीय होस्ट खातों का एक डेटाबेस है। आमतौर पर, एसएएम उन खातों को संग्रहीत करता है जो " नेट उपयोगकर्ता " कमांड प्रदर्शित करता है। एसएएम को पढ़ना सिस्टम स्तर तक पहुंच की आवश्यकता है। मेमोरी से एसएएम डेटा निकालने के लिए कई उपकरण हैं:
• pwdumpx.exe ;
• gsecdump ;
• मिमिक्ज़ट ;
• secretdump.py ।

एसएएम फ़ाइल को रजिस्ट्री से क्षेत्रीय उपयोगिता का उपयोग करके निकाला जा सकता है:
reg save HKLM\sam sam;
reg save HKLM\system system.

अगला, क्रेडडंप 7 आपको एसएएम डेटाबेस से हैश को पुनः प्राप्त करने में मदद करेगा।
नोट: Rid 500 अंतर्निहित स्थानीय व्यवस्थापक खाता है। रिड 501 एक अतिथि खाता है। उपयोगकर्ता खाते Rid 1000+ से शुरू होते हैं।

कैश्ड क्रेडेंशियल्स (DCC2)
डोमेन कैश्ड क्रेडेंशियल v2 (DCC2) विंडोज विस्टा में उपयोग किया जाने वाला क्रेडेंशियल कैश है और बाद में डोमेन नियंत्रक के अनुपलब्ध होने पर उपयोगकर्ता को प्रमाणित करने के लिए। कैश्ड खातों की संख्या प्रत्येक प्रणाली के लिए अलग-अलग हो सकती है। यह हैश पास-ऑफ-हैश हमलों के लिए अतिसंवेदनशील नहीं है। मेमोरी से एसएएम फ़ाइल निकालने के लिए, cl का उपयोग करें। उपकरण:
• pwdumpx.exe ;
• gsecdump ;
• मिमिक्ज़ट ;
• secretdump.py
वैकल्पिक रूप से, Reg या Creddump7 उपयोगिता का भी उपयोग किया जा सकता है। Windows Vista में क्रेडेंशियल कैशिंग PBKDF2 (पासवर्ड की-जेनरेशन मानक) का उपयोग करके किया जाता है।

स्थानीय सुरक्षा प्राधिकरण (LSA) राज
एलएसए सीक्रेट्स को क्रेडेंशियल स्टोर कैश किया जाता है, जिसमें सिस्टम क्रेडेंशियल स्टोर करता है, जिसमें यूजर पासवर्ड, सर्विस अकाउंट, इंटरनेट एक्स्प्लोरर, एसक्यूएल पासवर्ड और अन्य निजी डेटा शामिल हैं, जैसे एन्क्रिप्टेड डोमेन पासवर्ड एन्क्रिप्शन कुंजी। सिस्टम-स्तरीय अनुमतियों के साथ, आप एलएसए गोपनीयता को रजिस्ट्री में संग्रहीत कर सकते हैं:
HKEY_LOCAL_MACHINE \ SECURITY \ नीति \ राज ।
जब सेवाएं स्थानीय या डोमेन खाते के संदर्भ में शुरू होती हैं, तो उनके पासवर्ड रजिस्ट्री में संग्रहीत किए जाते हैं। यदि स्वचालित लॉगिन सक्षम है, तो निजी खाता जानकारी भी रजिस्ट्री में संग्रहीत की जाती है। पिछले डंपिंग विधियों के अनुरूप, एलएसए सीक्रेट पर हमला करने के लिए एक ही उपकरण का उपयोग किया जाता है:
• pwdumpx.exe ;
• gsecdump ;
• मिमिक्ज़ट ;
• secretdump.py
SAM फाइल को रजिस्ट्री उपयोगिता से REG यूटिलिटी और क्रेडेंशियल्स का उपयोग कर Creddump7 से निकाला जा सकता है। एलएसए सीक्रेट से निकाले गए पासवर्ड यूटीएफ -16 में कूटबद्ध होते हैं, अर्थात सादा पाठ। विंडोज 10 अतिरिक्त एलएसए गुप्त सुरक्षा सुविधाओं का उपयोग करता है।

डोमेन नियंत्रक से एनटीडीएस
प्रमाणीकरण और प्राधिकरण के लिए, AD डोमेन सदस्यों - उपकरणों और उपयोगकर्ताओं के बारे में जानकारी संग्रहीत करता है। डिफ़ॉल्ट रूप से, AD डेटाबेस को % SystemRoot% \ NTDS \ Ntds.dit फ़ाइल में डोमेन नियंत्रक पर संग्रहीत किया जाता है।
AD डेटाबेस से हैश निकालने के लिए निम्न विधियों और उपकरणों का उपयोग किया जाता है:
• वॉल्यूम छाया प्रति (वॉल्यूम की छाया प्रति);
• ntdsutil.exe;
• secretdump.py;
• चालान-निंजाकोपी ।

समूह नीति वरीयता (GPP) फ़ाइलें
जीपीपी या समूह नीति प्राथमिकताएं एक्सएमएल फाइलें हैं जो डोमेन नीतियों के विभिन्न मापदंडों का वर्णन करती हैं, उदाहरण के लिए, एक विशेष खाते के संदर्भ में नेटवर्क ड्राइव को कनेक्ट करना या डोमेन सिस्टम में स्थानीय खातों को प्रीसेट करना। ऐसी फ़ाइलों में क्रेडेंशियल्स हो सकते हैं। समूह की नीतियों को SYSVOL डोमेन नियंत्रक में संग्रहीत किया जाता है, इसलिए कोई भी उपयोगकर्ता GPP फ़ाइलों को पढ़ सकता है और sl के उपयोग से उनमें निहित पासवर्ड को डिक्रिप्ट करने की कोशिश कर सकता है। उपकरण:
• मेटास्प्लोइट (पोस्ट / विंडो / इकट्ठा / क्रेडेंशियल्स / जीपीपी);
• जीपीपीपासवर्ड प्राप्त करें;
• gpprefdecrypt.py।
SYSVOL संसाधन पर सभी XML फ़ाइलों की पहचान करने के लिए, आप कमांड का उपयोग कर सकते हैं:
dir /s *.xml ।

सेवा प्रधान नाम (SPNs)
Kerberoasting तकनीक देखें

प्लेनटेक्स्ट क्रेडेंशियल्स
उपयोगकर्ता द्वारा लॉग इन करने के बाद, बहुत सारे क्रेडेंशियल उत्पन्न होते हैं, जिन्हें स्थानीय प्राधिकरण सबसिस्टम सर्विस (एलएसएएसएस) प्रक्रिया की स्मृति में संग्रहीत किया जाता है। ये क्रेडेंशियल व्यवस्थापक या सिस्टम द्वारा एकत्र किए जा सकते हैं।

SSPI (सिक्योरिटी सपोर्ट प्रोवाइडर इंटरफ़ेस) कई सिक्योरिटी सपोर्ट प्रोवाइडर्स (SSPs) के लिए एक सामान्य इंटरफ़ेस प्रदान करता है। SSP - प्रोग्राम मॉड्यूल (DLL) जिसमें एक या अधिक प्रमाणीकरण और क्रिप्टोग्राफी योजनाएं होती हैं, जो सिस्टम स्टार्टअप पर LSASS प्रक्रिया में लोड होती हैं।

कुछ एसएसपी का उपयोग क्रेडेंशियल प्राप्त करने के लिए किया जा सकता है:
• एमएसवी: इंटरैक्टिव लॉगऑन, एक बैच लॉगऑन के रूप में लॉग इन करें, उदाहरण के लिए, नौकरी अनुसूचक सेवा के कार्यों को लॉन्च करें, एमएसवी प्रमाणीकरण पैकेज के माध्यम से एक सेवा के रूप में लॉग इन करें;
• Wdigest: डाइजेस्ट ऑथेंटिकेशन प्रोटोकॉल HTTP और SASL (सिंपल ऑथेंटिकेशन सिक्योरिटी लेयर) का उपयोग करके नेटवर्क ऑथेंटिकेशन के लिए बनाया गया है;
• केर्बरोस: विंडोज 2000 और बाद में डोमेन प्रमाणीकरण प्रदान करता है;
• क्रेडएसएसपी: एसएसओ (सिंगल साइन-ऑन - सिंगल साइन-ऑन उपयोगकर्ताओं को एक बार प्रमाणित करने और क्रेडेंशियल दर्ज किए बिना संसाधनों तक पहुंचने की अनुमति देता है) और नेटवर्क स्तर प्रमाणीकरण (दूरस्थ डेस्कटॉप सेवाओं में प्रमाणीकरण के लिए उपयोग किया जाता है)।

क्रेडेंशियल टूल:
• विंडोज क्रेडेंशियल एडिटर;
• मिमिकेज़।

एक और प्रणाली में बाद के विश्लेषण के लिए LSASS प्रक्रिया का एक डंप बचाया जा सकता है।
निम्न आदेश लक्ष्य होस्ट पर निष्पादित किया जाता है:
procdump -ma lsass.exe lsass_dump

अगला, एक और प्रणाली Mimikatz शुरू होती है:
securlsa::Minidump lsassdump.dmp
sekurelsa::logonPasswords securlsa::Minidump lsassdump.dmp
sekurelsa::logonPasswords ।

DCSync
DCSync एक डोमेन नियंत्रक से क्रेडेंशियल्स डंपिंग का एक रूप है। पहचाने जा सकने वाले दुर्भावनापूर्ण कोड का उपयोग करने के बजाय डोमेन नियंत्रक API का दुरुपयोग करके, एक हमलावर दूरस्थ कंप्यूटर नियंत्रक से प्रतिकृति प्रक्रिया का अनुकरण कर सकता है। व्यवस्थापकों, डोमेन के सदस्य, एंटरप्राइज़ एडमिन या कंप्यूटर खाते के सदस्य AD से पासवर्ड की जानकारी प्राप्त करने के लिए DCSync चला सकते हैं, जिसमें KRBTGT (कुंजी वितरण केंद्र को चलाने के लिए Windows 2000 में उपयोग किए जाने वाले मुख्य वितरण केंद्र सेवा खाता) जैसे डोमेन खाते का हैश शामिल हो सकते हैं) और प्रशासक। फिर हैश का उपयोग गोल्डन टिकट बनाने और पास टिकट हमले का संचालन करने या खाता हेरफेर के हिस्से के रूप में पासवर्ड बदलने के लिए किया जा सकता है। DCSync कार्यक्षमता lsadump मॉड्यूल में शामिल है, जो Mimikatz का हिस्सा है। Lsadump भी विरासत प्रोटोकॉल पर प्रतिकृति के लिए NetSync का समर्थन करता है।

लिनक्स
फाइल सिस्टम प्रोक
प्रोक यूनिक्स जैसे ऑपरेटिंग सिस्टम में एक विशेष फाइल सिस्टम है, जो एक पदानुक्रमित छद्म-फाइल संरचना (डिस्क पर मौजूद नहीं है, लेकिन रैम में) के रूप में प्रक्रियाओं और अन्य प्रणाली की जानकारी के बारे में जानकारी प्रस्तुत करता है, जो ओएस के कर्नेल स्थान के साथ बातचीत करने के लिए एक इंटरफ़ेस के रूप में कार्य करता है। रूट के रूप में चल रही प्रक्रियाएं अन्य चल रहे कार्यक्रमों की मेमोरी को साफ कर सकती हैं। यदि प्रोग्राम पासवर्ड को खुली मेमोरी में या उनकी मेमोरी में हैश के रूप में संग्रहीत करता है, तो इन मानों को आगे उपयोग के लिए \ Proc से निकाला जा सकता है या हैश से पासवर्ड पुनर्प्राप्त करने का प्रयास करता है। गनोम कीरिंग, sshd, और अपाचे इन प्रमाणीकरण "कलाकृतियों" को संग्रहीत करने के लिए मेमोरी का उपयोग करते हैं। उपरोक्त कार्यक्षमता को एक ओपन सोर्स टूल - MimiPenguin में लागू किया गया है, जो प्रक्रिया मेमोरी को अनलोड करता है और फिर टेक्स्ट स्ट्रिंग्स और रेगेक्स टेम्प्लेट में पासवर्ड और हैश की खोज करता है।

सुरक्षा सिफारिशें:
विंडोज
संरक्षित प्रणाली में अनुमत उपकरणों द्वारा LSASS और एसएएम तक पहुंच को ट्रैक करने का प्रयास करें। पासवर्ड और हैश प्राप्त करने की स्थिति में हमलावर को संरक्षित नेटवर्क पर जाने से रोकने के लिए विभिन्न प्रणालियों और नेटवर्क खंडों में खातों के अधिकारों को सीमित करें। सुनिश्चित करें कि स्थानीय व्यवस्थापक क्रेडेंशियल्स में सभी प्रणालियों और नेटवर्क खंडों में जटिल और अद्वितीय पासवर्ड हैं। उपयोगकर्ता या डोमेन व्यवस्थापक खातों को अलग-अलग सिस्टम पर स्थानीय व्यवस्थापक समूहों में न रखें, जैसे यह इस तथ्य के बराबर है कि सभी प्रशासकों के पास एक ही पासवर्ड है। अपने कॉर्पोरेट नेटवर्क के विकास और प्रशासन के लिए Microsoft की सर्वोत्तम प्रथाओं का पालन ​​करें। Windows 8.1 और Windows Server 2012 R2 में, संरक्षित प्रक्रिया लाइट (LSA) प्रक्रिया सुरक्षा सक्षम करें।

संभावित खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर को पहचानें और ब्लॉक करें जिनका उपयोग क्रेडेंशियल डंप प्राप्त करने के लिए किया जा सकता है।

विंडोज 10 डिफेंडर में एलएसए सीक्रेट्स - क्रेडेंशियल गार्ड की सुरक्षा के लिए विंडोज 10 एक नए तंत्र का उपयोग करता है। इसकी उपस्थिति के साथ, एलएसए प्रक्रिया निजी डेटा को मेमोरी में स्टोर नहीं करती है, लेकिन एक नए घटक के साथ इंटरैक्ट करती है - एक अलग प्रक्रिया, जो एलएसए सीक्रेट को संग्रहीत और संरक्षित करने के लिए जिम्मेदार है। एक अलग प्रक्रिया में संग्रहीत डेटा वर्चुअलाइजेशन द्वारा संरक्षित है और बाकी ऑपरेटिंग सिस्टम के लिए उपलब्ध नहीं है। एक एलएसए दूरस्थ प्रक्रिया कॉल (आरपीसी) का उपयोग करके एक पृथक प्रक्रिया के साथ बातचीत करता है। क्रेडेंशियल गार्ड डिफ़ॉल्ट रूप से कॉन्फ़िगर नहीं किया गया है और इसमें हार्डवेयर और सॉफ़्टवेयर आवश्यकताएं हैं। हालांकि, यह सभी प्रकार के क्रेडेंशियल डंपिंग के खिलाफ एक पूर्ण सुरक्षा भी नहीं है।

रिप्लेकेटिंग निर्देशिका को नियंत्रित करें पहुंच और अन्य डोमेन नियंत्रक प्रतिकृति अनुमतियों में परिवर्तन। NTLM ट्रैफ़िक को अक्षम या प्रतिबंधित करने पर विचार करें। प्रोग्राम स्टार्टअप कमांड की प्रक्रियाओं और तर्कों की निगरानी पर विचार करें, जो क्रेडेंशियल डंपिंग का संकेत हो सकता है। उदाहरण के लिए, रिमोट एक्सेस टूल्स में Mimikatz या PowerShell स्क्रिप्ट जैसे Invoke-Mimikatz PowerSpit जैसे टूल शामिल हो सकते हैं।

अनियोजित प्रतिकृति या प्रतिकृति अनुरोधों के लिए मॉनिटर डोमेन नियंत्रक प्रतिकृति लॉग। ट्रैफ़िक को भी ट्रैक करें जिसमें तीसरे पक्ष के आईपी पते से प्रतिकृति अनुरोध शामिल हैं।

लिनक्स
पासवर्ड और मेमोरी से हैश पाने के लिए, प्रक्रिया को सिस्टम में फ़ाइल / proc / PID / मैप्स को खोलना होगा, जहां PID प्रक्रिया की अद्वितीय पाइड है। ऑडिट निगरानी उपकरण का उपयोग शत्रुतापूर्ण प्रक्रियाओं का पता लगाने के लिए किया जा सकता है जो इस फ़ाइल को खोलते हैं और पीआईडी, प्रक्रिया का नाम और निगरानी कार्यक्रम के अन्य तर्कों के बारे में चेतावनी देते हैं।

फ़ाइलें में क्रेडेंशियल

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: प्रशासक, सिस्टम, रूट
विवरण: हमलावर स्थानीय फ़ाइल सिस्टम और दूरस्थ साझा फ़ोल्डर में पासवर्ड युक्त फ़ाइलों को देख सकते हैं। यह उपयोगकर्ताओं द्वारा बनाई गई फ़ाइलों को अपने स्वयं के क्रेडेंशियल्स, लोगों के समूह के साझा क्रेडेंशियल्स, सिस्टम या सेवाओं के लिए पासवर्ड युक्त कॉन्फ़िगरेशन फ़ाइलों, स्रोत फ़ाइलों और पासवर्ड युक्त बाइनरी फ़ाइलों को संग्रहीत करने के लिए हो सकता है।
क्रेडेंशियल डंपिंग टूल्स का उपयोग करके, पासवर्ड को बैकअप, इमेज और वर्चुअल मशीन के स्नैपशॉट से भी निकाला जा सकता है। इसके अतिरिक्त, पासवर्ड समूह नीति सेटिंग्स (GPP) फ़ाइलों में समाहित किए जा सकते हैं जो एक डोमेन नियंत्रक पर संग्रहीत होते हैं।

सुरक्षा सिफारिशें: फाइलों में पासवर्ड के भंडारण को रोकने के लिए संगठनात्मक उपायों का उपयोग करें। सुनिश्चित करें कि डेवलपर्स और सिस्टम प्रशासक सॉफ़्टवेयर कॉन्फ़िगरेशन फ़ाइलों में स्पष्ट पाठ में पासवर्ड संग्रहीत करने से जुड़े जोखिमों से अवगत हैं। समय-समय पर पासवर्डों और उनके बाद के निष्कासन की आपकी प्रणाली में उपस्थिति की निगरानी करें। केवल सही उपयोगकर्ताओं के लिए अनुमतियाँ देकर विशिष्ट निर्देशिकाओं में फ़ाइल साझा करना सीमित करें। कमजोर ग्रुप पॉलिसी सेटिंग्स वाली GPP फाइलें हटाएं।

रजिस्ट्री में साख

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता, प्रशासक
विवरण: हमलावर Windows रजिस्ट्री में क्रेडेंशियल और पासवर्ड देख सकते हैं जो प्रोग्राम या सेवाओं के उपयोग के लिए वहां संग्रहीत किए जाते हैं, कभी-कभी क्रेडेंशियल स्वचालित लॉगिन के लिए संग्रहीत होते हैं। पासवर्ड जानकारी खोजने के लिए आदेशों के उदाहरण:
reg query HKLM /f password /t REG_SZ /s
reg query HKCU /f password /t REG_SZ /s

सुरक्षा अनुशंसाएँ: रजिस्ट्री में क्रेडेंशियल्स संग्रहीत न करें। क्रेडेंशियल के लिए रजिस्ट्री की निगरानी करें। यदि क्रेडेंशियल्स को स्टोर करना आवश्यक है, तो सॉफ़्टवेयर को यह सुनिश्चित करना चाहिए कि इन डेटा के दुरुपयोग की संभावना को रोकने के लिए उनकी अनुमतियाँ सीमित हैं।

क्रेडेंशियल एक्सेस के लिए शोषण

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: प्रमाणीकरण और प्राधिकरण तंत्र के डेवलपर्स द्वारा बनाई गई त्रुटियां सॉफ़्टवेयर में भेद्यता की उपस्थिति का कारण हो सकती हैं जिनकी मदद से एक हमलावर क्रेडेंशियल तक अनधिकृत पहुंच प्राप्त कर सकता है। उदाहरण के लिए, बुलेटिन MS14-068 केर्बरोस प्रोटोकॉल में भेद्यता का वर्णन करता है, जिसके द्वारा एक हमलावर डोमेन उपयोगकर्ता अधिकारों का उपयोग करके केर्बरोस टिकट नकली कर सकता है। विश्‍वसनीयता बढ़ाने के लिए विश्‍वसनीय जोखिमों का उपयोग भी किया जा सकता है।

सुरक्षा सिफारिशें: कार्यस्थानों और एंटरप्राइज़ सर्वर के लिए अद्यतन स्थापित करने के केंद्रीकृत नियंत्रण का उपयोग करके सॉफ़्टवेयर को नियमित रूप से अपडेट करें। साइबर खतरों की पहचान करने और उनका विश्लेषण करने के लिए एक प्रक्रिया विकसित करना और उसे लागू करना, जिसमें आपके उद्यम के लिए प्रासंगिक खतरे निर्धारित किए जाएंगे। सैंडबॉक्सेज़, वर्चुअलाइज़ेशन और माइक्रोसेलेरेशन टूल्स का उपयोग करें, जिससे हमलावर को कमजोरियों के शोषण के माध्यम से शोषण करना अधिक कठिन हो। विंडोज में, कमजोरियों के दोहन से संबंधित गतिविधि का पता लगाने के लिए उपकरण उपलब्ध हैं, हम विंडोज डिफेंडर एक्सप्लॉइट गार्ड (डब्ल्यूडीईजी) और एनचेंस्ड मिटिगेशन एक्सपीरियंस टूलकिट (ईएमईटी) के बारे में बात कर रहे हैं। कमजोरियों के शोषण को रोकने के लिए एक और तरीका नियंत्रण-प्रवाह अखंडता (सीएफआई) उपकरणों का उपयोग है। सीएफआई उन तरीकों का सामान्य नाम है, जिनका उद्देश्य पूर्व अनुमानित नियंत्रण प्रवाह ग्राफ के भीतर कार्यक्रम निष्पादन के संभावित रास्तों को सीमित करना है। हालांकि, कई सुरक्षा विधियां काम नहीं कर सकती हैं यदि मैलवेयर को सुरक्षात्मक उपायों के खिलाफ डिफ्लेक्ट करने के लिए डिज़ाइन किया गया है, तो यह उस प्रोग्राम की वास्तुकला और उसके बाइनरी फ़ाइलों के विश्लेषण पर भी निर्भर करता है।

मजबूरन प्रमाणीकरण

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: सर्वर संदेश ब्लॉक (एसएमबी) प्रोटोकॉल आमतौर पर संसाधनों और नेटवर्क फ़ाइल फ़ोल्डरों को साझा करने के ढांचे के भीतर विंडोज़-सिस्टम के बीच प्रमाणीकरण और संचार के लिए उपयोग किया जाता है। जब Windows SMB के माध्यम से दूरस्थ सिस्टम से कनेक्ट करने का प्रयास करता है, तो यह स्वचालित रूप से उपयोगकर्ता को प्रमाणित करने का प्रयास करता है और वर्तमान उपयोगकर्ता की क्रेडेंशियल्स को दूरस्थ सिस्टम में भेजता है, इसलिए उपयोगकर्ता को नेटवर्क संसाधनों तक पहुंच प्राप्त करने के लिए क्रेडेंशियल दर्ज करने की आवश्यकता नहीं है, जो कॉर्पोरेट वातावरण के लिए विशिष्ट है। SMB अवसंरचना की विफलता के मामले में, वेब डिस्ट्रिब्यूटेड ऑथरिंग एंड वर्जनिंग (WebDAV) प्रोटोकॉल का उपयोग बैकअप संसाधन साझाकरण प्रोटोकॉल के रूप में किया जा सकता है, जो HTTP प्रोटोकॉल का विस्तार है और आमतौर पर TCP पोर्ट 80 और 443 के माध्यम से काम करता है।

एसएमबी प्रमाणीकरण के लिए मजबूर करके, हमलावर हमलावर प्रणाली के व्यवहार का दुरुपयोग कर सकते हैं, जबकि यह रिमोट सिस्टम से जुड़ा होता है और खाता हैश प्राप्त करता है। फ़िशिंग तकनीक का उपयोग करते हुए, एक विरोधी एक पीड़ित को एक नियंत्रित बाहरी संसाधन का लिंक भेज सकता है या डेस्कटॉप पर या किसी सार्वजनिक संसाधन पर एक विशेष फ़ाइल रख सकता है। जब उपयोगकर्ता प्रणाली एक अविश्वसनीय संसाधन का उपयोग करती है, तो यह SMB प्रोटोकॉल के माध्यम से दूरस्थ उपयोगकर्ता को वर्तमान उपयोगकर्ता की हैशेड क्रेडेंशियल्स को प्रमाणित करने और भेजने की कोशिश करेगा। हैश प्राप्त करने के बाद, एक हमलावर ऑफ़लाइन ब्रूट बल का प्रदर्शन कर सकता है और स्पष्ट में क्रेडेंशियल्स प्राप्त कर सकता है या पास-ए-हश हमलों के लिए उपयोग कर सकता है।

SMB प्रमाणीकरण के लिए सबसे लोकप्रिय तरीकों पर विचार करें:
• एक फ़िशिंग अनुलग्नक जिसमें सक्रिय सामग्री के साथ एक दस्तावेज़ होता है जो दस्तावेज़ को खोलने पर स्वचालित रूप से डाउनलोड किया जाता है। दस्तावेज़ में टाइप फ़ाइल का अनुरोध शामिल हो सकता है [:] // [दूरस्थ पता] /Normal.dotm/, जो SMB प्रमाणीकरण शुरू करता है।

• एक संशोधित .lnk या .SCF फ़ाइल (विंडोज एक्सप्लोरर कमांड फ़ाइल) फ़ाइल आइकन के लिए पथ के बजाय गुणों में युक्त, एक बाहरी लिंक \ [दूरस्थ पता] \ pic.png। इस प्रकार, सिस्टम फ़ाइल आइकन डाउनलोड करने और लिंक खोलने का प्रयास करेगा।

सुरक्षा सिफारिशें: टीसीपी पोर्ट 139, 445 और यूडीपी पोर्ट 137 को फ़िल्टर और अवरुद्ध करके कॉरपोरेट नेटवर्क के बाहर निवर्तमान SMB ट्रैफ़िक को ब्लॉक करें। कॉर्पोरेट नेटवर्क के बाहर WebDAV ट्रैफ़िक के आउटपुट को फ़िल्टर और ब्लॉक करें। यदि SMB और WebDAV के माध्यम से बाहरी संसाधनों तक पहुंच आवश्यक है, तो सफेद सूचियों का उपयोग करके बाहरी कनेक्शन को सीमित करें।

Hooking (सगाई)

सिस्टम: विंडोज
अधिकार: प्रशासक, प्रणाली
विवरण: Windows API फ़ंक्शन आमतौर पर DLL में संग्रहीत होते हैं। अवरोधन की तकनीक एपीआई कार्यों के लिए कॉल को पुनर्निर्देशित करना है:

• हुक प्रक्रियाएं ओएस में निर्मित प्रक्रियाएं हैं जो विभिन्न घटनाओं को कॉल करने पर कोड निष्पादित करती हैं, उदाहरण के लिए, कीस्ट्रोक्स या माउस आंदोलनों;

• पता तालिका (IAT) में संशोधन, जो एपीआई कार्यों के लिए संकेत संग्रहीत करता है। यह आपको एक दुर्भावनापूर्ण फ़ंक्शन लॉन्च करने के लिए मजबूर करते हुए, आक्रमण किए गए एप्लिकेशन को "ट्रिक" करने की अनुमति देगा;

• फ़ंक्शन का प्रत्यक्ष परिवर्तन (स्प्लिसिंग), जिसके दौरान फ़ंक्शन के पहले 5 बाइट्स को बदल दिया जाता है, जिसके बजाय हमलावर द्वारा निर्धारित एक दुर्भावनापूर्ण या अन्य फ़ंक्शन में संक्रमण डाला जाता है।

इंजेक्शन की तरह, हमलावर दुर्भावनापूर्ण कोड को निष्पादित करने के लिए हुकिंग का उपयोग कर सकते हैं, इसके निष्पादन को मुखौटा कर सकते हैं, हमले की प्रक्रिया की स्मृति तक पहुंच सकते हैं और विशेषाधिकार बढ़ा सकते हैं। हमलावर एपीआई कॉल पर कब्जा कर सकते हैं जिसमें प्रमाणीकरण डेटा शामिल पैरामीटर शामिल हैं।
हुकिंग का उपयोग आमतौर पर सिस्टम में दुर्भावनापूर्ण गतिविधि को छिपाने के लिए रूटकिट द्वारा किया जाता है।

सुरक्षा सिफारिशें: OS में घटनाओं का अवरोधन प्रणाली के सामान्य संचालन का हिस्सा है, इसलिए इस कार्यक्षमता का कोई भी प्रतिबंध एंटी-वायरस सॉफ़्टवेयर जैसे वैध अनुप्रयोगों की स्थिरता पर प्रतिकूल प्रभाव डाल सकता है। इंटरसेप्शन तकनीकों के उपयोग को रोकने के प्रयासों को किलचैन श्रृंखला के पहले चरणों पर ध्यान केंद्रित करने की आवश्यकता है। आप SetWindowsHookEx और SetWinEventHook फ़ंक्शन पर कॉल की निगरानी करके, रूटकिट डिटेक्टरों का उपयोग करके, प्रक्रियाओं के असामान्य व्यवहार का विश्लेषण कर सकते हैं, उदाहरण के लिए, नेटवर्क कनेक्शन खोलना, फ़ाइलों को पढ़ना, आदि से दुर्भावनापूर्ण हुकिंग गतिविधि का पता लगा सकते हैं।

इनपुट कैप्चर

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: प्रशासक, सिस्टम
विवरण: हमलावर मौजूदा खातों की साख प्राप्त करने के लिए उपयोगकर्ता इनपुट पर कब्जा करने के साधन का उपयोग कर सकते हैं।
कीलिंग सबसे आम प्रकार का उपयोगकर्ता इनपुट कैप्चर है, जिसमें कीस्ट्रोक्स को बाधित करने के कई अलग-अलग तरीकों को शामिल किया गया है, लेकिन लक्ष्य जानकारी प्राप्त करने के लिए अन्य तरीके भी हैं जैसे कि यूएसी अनुरोध को कॉल करना या डिफ़ॉल्ट क्रेडेंशियल प्रदाता (विंडोज क्रेडेंशियल प्रोवाइडर) के लिए एक शेल लिखना। क्रेडेंशियल चोरी करने का सबसे आम तरीका है जब क्रेडेंशियल डंपिंग तकनीकों का उपयोग अक्षम है और हमलावर को एक निश्चित अवधि के लिए निष्क्रिय रहने के लिए मजबूर किया जाता है।

उपयोगकर्ता क्रेडेंशियल एकत्र करने के लिए, एक हमलावर बाहरी कॉर्पोरेट पोर्टल्स पर कोड भी सेट कर सकता है, उदाहरण के लिए, वीपीएन लॉगिन पेज पर। यह पोर्टल या सेवा को वैध प्रशासनिक पहुंच प्राप्त करने के बाद समझौता करने के बाद संभव है, जो बदले में प्रारंभिक पहुंच प्राप्त करने और सिस्टम में इसे सुरक्षित करने के चरणों में बैकअप एक्सेस प्रदान करने के लिए आयोजित किया जा सकता है।

सुरक्षा सिफारिशें: AppLocker या सॉफ़्टवेयर प्रतिबंध नीतियों जैसे टूल का उपयोग करके संभावित रूप से खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर का पता लगाना और अवरुद्ध करना सुनिश्चित करें। क्षति को कम करने के उपाय करें यदि कोई हमलावर क्रेडेंशियल्स प्राप्त करता है।

कॉर्पोरेट नेटवर्क (https://docs.microsoft.com/en-us/windows-server/identity/securing-privileged-access/securing-privileged-access-reference-material#a-nameesaebmaesae-) के विकास और संचालन के लिए Microsoft की सर्वोत्तम प्रथाओं का पालन करें। प्रशासनिक-वन डिजाइन दृष्टिकोण) ।

Keyloggers रजिस्ट्री को संशोधित कर सकते हैं और ड्राइवरों को स्थापित कर सकते हैं। आमतौर पर उपयोग किए जाने वाले एपीआई फ़ंक्शंस SetWindowsHook, GetKeyState, GetAsyncKeyState हैं। एपीआई कार्यों के लिए कॉल केवल कीलिंग के संकेतक नहीं हो सकते हैं, लेकिन रजिस्ट्री परिवर्तनों के विश्लेषण, चालक की स्थापना का पता लगाने और डिस्क पर नई फ़ाइलों की उपस्थिति के साथ संयोजन के रूप में दुर्भावनापूर्ण गतिविधि का संकेत दे सकता है। रजिस्ट्री उपयोगकर्ता क्रेडेंशियल प्रदाता (कस्टम प्रदाता क्रेडेंशियल cmdlet) की उपस्थिति पर नज़र रखें:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\Credential Providers।

इनपुट प्रॉम्प्ट

सिस्टम: macOS
अधिकार: उपयोगकर्ता
विवरण: जब उन प्रोग्रामों को चलाने के लिए जिन्हें विशेषाधिकार वृद्धि की आवश्यकता होती है, तो ऑपरेटिंग सिस्टम आमतौर पर उपयोगकर्ता को उचित क्रेडिट के लिए पूछता है। हमलावर मानक अनुरोध फ़ॉर्म का उपयोग करके क्रेडेंशियल्स का अनुरोध करने के लिए इस सुविधा की नकल कर सकते हैं। क्रेडेंशियल्स का अनुरोध करने का यह रूप AppleScript का उपयोग करके कहा जा सकता है: एक

set thePassword to the text returned of (display dialog "AdobeUpdater needs permission to check for updates. Please authenticate." default answer "")

हमलावर ओएस के सामान्य व्यवहार का अनुकरण करने के लिए क्रेडेंशियल्स में प्रवेश करने के लिए संकेत देगा, उदाहरण के लिए, एक नकली इंस्टॉलर या मालवेयर हटाने पैकेज को संबंधित अनुमतियों की पुष्टि की आवश्यकता होती है।

सुरक्षा सिफारिशें:उपयोगकर्ताओं को प्रशिक्षित करें ताकि वे जान सकें कि कौन से कार्यक्रम अनुमति का अनुरोध कर सकते हैं और क्यों। कॉन्फ़िगर करें कि विश्वसनीय डेवलपर हस्ताक्षरों के लिए AppleScript स्क्रिप्ट्स चलाने की जाँच की जानी चाहिए।

Kerberoasting

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: प्रत्येक सेवा उदाहरण में एक विशिष्ट पहचानकर्ता है - सेवा प्रधान नाम (एसपीएन), जिसका उपयोग केर्बरोस प्रमाणीकरण के लिए किया जाता है। SPN केवल एक खाते से संबद्ध होना चाहिए, सेवा इंस्टॉलर AD में खाता गुणों के लिए SPN लिखता है।

एक मान्य Kerberos टिकट देने वाले टिकट (TGT) के साथ हमलावर एक डोमेन नियंत्रक पर पंजीकृत किसी भी SPN के साथ बातचीत करने के लिए Kerberos टिकट देने वाली सेवा (TGS) से एक या अधिक सेवा टिकट का अनुरोध कर सकते हैं। सेवा टिकट तत्वों को RC4 के साथ एन्क्रिप्ट किया जा सकता है, इसलिए Kerberos 5 TGS-REP etype 23, जिसमें टारगेट SPN से जुड़े खाते का पासवर्ड हैश है और निजी कुंजी के रूप में उपयोग किया जाता है (Kerberos विवरण देखें), कमजोर है और जानवर बल के माध्यम से क्रैक किया जा सकता है। नेटवर्क ट्रैफ़िक से प्राप्त सेवा टिकटों का उपयोग करके एक ही हमला किया जा सकता है। प्राप्त हैश को क्रैक करने के बाद, विरोधी सिस्टम में खुद को सुरक्षित करने, विशेषाधिकार बढ़ाने या नेटवर्क पर आगे बढ़ने के लिए मौजूदा खाते का उपयोग कर सकता है।

सुरक्षा सिफारिशें: सेवा खातों के लिए जटिल और लंबे पासवर्ड (आदर्श 25+ वर्ण) का उपयोग करें और उनके परिवर्तन की आवृत्ति सुनिश्चित करें। विंडोज़ सर्वर 2012 से शुरू होकर, समूह प्रबंधित सेवा खाते (gMSA) तकनीक ओएस में उपलब्ध है, जो कि कई सर्वरों पर एक साथ उपयोग करने की संभावना के साथ सेवा (तकनीकी) खातों के लिए पासवर्ड को स्वचालित रूप से बदलने के लिए डिज़ाइन किया गया है। वैकल्पिक रूप से, तृतीय-पक्ष पासवर्ड स्टोर का उपयोग करने पर विचार करें।

न्यूनतम आवश्यक विशेषाधिकार प्रदान करके खाते के अधिकारों को सीमित करें, डोमेन एडमिन जैसे विशेषाधिकार प्राप्त समूहों में खाता सदस्यता को छोड़ दें।
यदि संभव हो, तो AES Kerboros एन्क्रिप्शन या अन्य मजबूत एन्क्रिप्शन एल्गोरिथ्म को सक्षम करें, जिससे RC4 का उपयोग समाप्त हो जाए।

Kerberos TGS सेवा टिकट अनुरोध लॉग करने के लिए Kerberos सेवा टिकट संचालन ऑडिटिंग सक्षम करें। असामान्य गतिविधि पैटर्न की जाँच करें, जैसे कि इवेंट आईडी 4769 ईवेंट - ऐसे खाते जो थोड़े समय में कई अनुरोध चलाते हैं, खासकर यदि वे RC4 एन्क्रिप्शन (टिकट एन्क्रिप्शन प्रकार: 0x17) का अनुरोध करते हैं।

कीचेन

सिस्टम: macOS
राइट्स: रूट
विवरण: किचेन (अंग्रेजी "कीचेन") कई सेवाओं और सुविधाओं के लिए अंतर्निहित मैकओएस अकाउंट और पासवर्ड स्टोरेज है, जैसे वाईफाई, वेबसाइट, सुरक्षित नोट, सर्टिफिकेट और केर्बरोस। किचेन फाइलें में स्थित हैं:
• ~ / पुस्तकालय / किचेन;
• / पुस्तकालय / किचेन;
• / नेटवर्क / रैखिक / कीचेन /।

MacOS पर डिफ़ॉल्ट रूप से अंतर्निहित सुरक्षा कंसोल सुविधा क्रेडेंशियल प्रबंधित करने का एक सुविधाजनक तरीका प्रदान करती है।
अपनी साख को प्रबंधित करने के लिए, उपयोगकर्ताओं को एक अतिरिक्त खाते का उपयोग करना चाहिए जो उनके किचेन तक पहुंच प्रदान करता है। यदि हमलावर उपयोगकर्ता के किचेन से क्रेडेंशियल्स जानता है, तो वह इस उपयोगकर्ता के किचेन में संग्रहीत अन्य सभी क्रेडेंशियल्स तक पहुंच प्राप्त कर सकता है। डिफ़ॉल्ट रूप से, वर्तमान उपयोगकर्ता खाते का उपयोग किचेन में लॉग इन करने के लिए किया जाता है।

सुरक्षा सिफारिशें: किसी उपयोगकर्ता के किचेन को अनलॉक करना और उसमें से पासवर्ड का उपयोग करना एक सामान्य प्रक्रिया है जो मैलवेयर डिटेक्शन टूल द्वारा किसी का ध्यान नहीं जाएगा।

जहर एलएलएमएनआर / एनबीटी-एनएस (एलएलएमएनआर / एनबीटी-एनएस जहर)

सिस्टम: विंडोज
अधिकार: उपयोगकर्ता
विवरण: लिंक-स्थानीय मल्टीकास्ट नाम संकल्प (एलएलएमएनआर) और नेटबीआईओएस नाम सेवा (एनबीटी-एनएस) प्रोटोकॉल हैं जो विंडोज के सभी संस्करणों में शामिल हैं जो होस्ट की पहचान करने के लिए वैकल्पिक तरीके के रूप में काम करते हैं। LLMNR DNS प्रारूप पर आधारित है और DNS का उपयोग किए बिना पड़ोसी कंप्यूटर के नेटवर्क नामों को हल करता है। NBT-NS स्थानीय नेटवर्क पर अपने NetBIOS नाम से सिस्टम की पहचान करता है।

एक हमलावर एक विश्वसनीय नाम समाधान स्रोत को नकली कर सकता है जो LLMNR (UDP5355) / NBT-NS (UDP137) ट्रैफ़िक का जवाब देगा ताकि पीड़ित दुश्मन द्वारा नियंत्रित प्रणाली के साथ संचार करे। यदि अनुरोधित होस्ट को पहचान / प्रमाणीकरण की आवश्यकता होती है, तो पीड़ित होस्ट के वर्तमान उपयोगकर्ता का उपयोगकर्ता नाम और NTLMv2 हैश को विरोधी द्वारा नियंत्रित प्रणाली को भेजा जाएगा। इस प्रकार, एक हमलावर, एक नेटवर्क स्निफर का उपयोग करके, प्रेषित हैश एकत्र कर सकता है और फिर ब्रूट फोर्स टूल्स का उपयोग करके उनसे ऑफ़लाइन पासवर्ड प्राप्त करने का प्रयास कर सकता है।
ऐसे कई उपकरण हैं जिनका उपयोग स्थानीय नेटवर्क पर नाम सेवाओं पर हमला करने के लिए किया जा सकता है: NBNSpoof, Metasploit, और Responder।

सुरक्षा सिफारिशें:स्थानीय होस्ट सुरक्षा सेटिंग्स में या समूह नीति का उपयोग करके एलएलएमएनआर और एनबीटी-एनएस को अक्षम करने पर विचार करें। स्थानीय सुरक्षा सुविधाओं का उपयोग करें जो LLMNR / NBT-NS ट्रैफ़िक को रोकते हैं।
कि LLMNR रजिस्ट्री में अक्षम की जाँच करें:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient\EnableMulticast=dword:00000000।
यदि LLMNR / NBT-NS सुरक्षा नीति द्वारा अक्षम है, तो UDP5355 और UDP137 बंदरगाहों के यातायात की निगरानी करने से हमले का पता लगाने में मदद मिलेगी।

नेटवर्क सूँघना

सिस्टम: विंडोज, लिनक्स, मैकओएस
विवरण: एक हमलावर नेटवर्क इंटरफ़ेस का उपयोग प्रोमिसकॉस मोड ("अश्रव्य" मोड) में कर सकता है, जिसमें नेटवर्क कार्ड सभी पैकेट को स्वीकार करेगा, भले ही वे संबोधित हों या जिन्हें स्पैन पोर्ट (मिरर पोर्ट) को पकड़ने के लिए उपयोग किया जाए। वायर्ड या वायरलेस नेटवर्क पर बड़ी मात्रा में डेटा संचारित होता है।
सूँघने के दौरान कैप्चर किए गए डेटा में एन्क्रिप्शन प्रोटोकॉल के उपयोग के बिना असुरक्षित कनेक्शन पर भेजे गए क्रेडेंशियल हो सकते हैं। नेटवर्क नाम सेवाओं जैसे एलएलएमएनआर / एनबीटी-एनएस जहर को पुनर्निर्देशित करके विषाक्तता का उपयोग विभिन्न वेबसाइटों, प्रमाणों और आंतरिक प्रणालियों पर क्रेडेंशियल एकत्र करने के लिए भी किया जा सकता है।

नेटवर्क को सुनते समय, एक विरोधी भी नेटवर्क पर आगे की आवाजाही और / या सुरक्षा सुविधाओं को दरकिनार करने के लिए आवश्यक विभिन्न कॉन्फ़िगरेशन जानकारी (चल रही सेवाएं, संस्करण संख्या, आईपी पते, होस्टनाम, वीएलएएन आईडी आदि) को प्रकट कर सकता है।

सुरक्षा युक्तियाँ: सुनिश्चित करें कि वायरलेस ट्रैफ़िक ठीक से एन्क्रिप्ट किया गया है। यदि संभव हो, तो Kerberos, SSL और बहु-कारक प्रमाणीकरण का उपयोग करें। स्पैन पोर्ट, ARP / DNS विषाक्तता और अनधिकृत राउटर कॉन्फ़िगरेशन परिवर्तन के लिए मॉनिटर नेटवर्क स्विच।
संभावित खतरनाक सॉफ़्टवेयर को पहचानने और अवरुद्ध करने के लिए उपकरणों का उपयोग करें जिनका उपयोग नेटवर्क ट्रैफ़िक को अवरोधन और विश्लेषण करने के लिए किया जा सकता है।

पासवर्ड फ़िल्टर DLLs

सिस्टम: विंडोज
राइट्स: एडमिनिस्ट्रेटर, सिस्टम
विवरण: विंडोज पासवर्ड फिल्टर डोमेन और स्थानीय खातों के लिए पासवर्ड नीतियों को लागू करने के लिए तंत्र हैं। सुरक्षा नीति आवश्यकताओं के साथ संभावित पासवर्डों के अनुपालन की पुष्टि के लिए डीएलएल के तरीकों के रूप में फ़िल्टर लागू किए जाते हैं। पासवर्ड फ़िल्टर DLL को होस्ट पर स्थानीय खातों और डोमेन नियंत्रकों के लिए डोमेन नियंत्रकों के लिए होस्ट किया जाता है।

सुरक्षा खाता प्रबंधक (एसएएम) के साथ नए पासवर्ड दर्ज करने से पहले, स्थानीय सुरक्षा प्राधिकरण (एलएसए) सेवा सिस्टम में पंजीकृत प्रत्येक पासवर्ड फिल्टर के साथ एक पासवर्ड की जांच का अनुरोध करती है। कोई भी संभावित परिवर्तन प्रभावी नहीं होगा, प्रत्येक फ़िल्टर सत्यापन की पुष्टि नहीं करेगा।

एक आक्रमणकर्ता क्रेडेंशियल्स एकत्र करने के लिए एक हमले प्रणाली में दुर्भावनापूर्ण पासवर्ड फ़िल्टर पंजीकृत कर सकता है। एक जटिलता जांच करने के लिए, फ़िल्टर LSA से स्पष्ट पाठ पासवर्ड प्राप्त करते हैं। दुर्भावनापूर्ण फ़िल्टर को स्पष्ट पाठ में हर बार एक पासवर्ड का अनुरोध करने पर क्रेडेंशियल प्राप्त होगा।

सुरक्षा सिफारिशें: सुनिश्चित करें कि आपके सिस्टम पर केवल मान्य पासवर्ड फिल्टर पंजीकृत हैं। DLL डिफ़ॉल्ट फ़िल्टर में जमा हो जाती C: \ Windows \ System32 \ और रजिस्ट्री में एक प्रविष्टि होना चाहिए:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\[Notification Packages]।
एक सिस्टम रिबूट के बाद नए स्थापित पासवर्ड फिल्टर प्रभावी होते हैं, ऑटोरन में दिखाई देते हैं, और lsass.exe में लोड होते हैं

निजी कुंजी

सिस्टम: विंडोज, लिनक्स, मैकओएस
अधिकार: उपयोगकर्ता
विवरण: प्रमाणीकरण, एन्क्रिप्शन / डिक्रिप्शन और डिजिटल हस्ताक्षर के लिए निजी कुंजी और प्रमाण पत्र का उपयोग किया जाता है।
एक हमलावर SSH या अन्य एकत्रित फ़ाइलों के डिक्रिप्शन जैसे प्रमाणीकरण कनेक्शन में प्रमाणीकरण का उपयोग करने के लिए समझौता किए गए सिस्टम पर गुप्त कुंजी एकत्र कर सकता है, उदाहरण के लिए, ईमेल डेटा फ़ाइलें।

कुंजी और प्रमाणपत्र फ़ाइलों में .key, .pgp, .gpg, .ppk, .P12 .pem, .pfx, .cer, p7b, .asc जैसे एक्सटेंशन होते हैं । एक प्रतिकूल फाइल प्रमुख निर्देशिकाओं में फाइलों के लिए खोज कर सकते हैं, उदाहरण के लिए ~ / .sh पर * nix सिस्टम या C: \ Users (username.ssh) \ Windows पर।

उपयोग की प्रक्रिया में, निजी कुंजी को पासवर्ड या पासफ़्रेज़ का अनुरोध करना चाहिए, इसलिए विरोधी समानांतर में कीलिंग के लिए इनपुट कैप्चर तकनीक का उपयोग कर सकता है या पासफ़्रेज़ ऑफ़लाइन लेने का प्रयास कर सकता है।

सुरक्षा युक्तियाँ: निजी कुंजी को क्रैक करना मुश्किल बनाने के लिए जटिल पासफ़्रेज़ का उपयोग करें। जब भी संभव हो बाह्य क्रिप्टोग्राफ़िक मीडिया पर स्टोर कुंजी। सुनिश्चित करें कि महत्वपूर्ण संसाधनों तक पहुँच केवल अधिकृत कुंजियों के लिए खुली है और नियमित रूप से पहुँच सूचियों की जाँच करें।

सुनिश्चित करें कि निजी कुंजियों वाले फ़ोल्डर में अनुमतियाँ सही हैं। नेटवर्क के चारों ओर ले जाने के लिए उपयोग की जा सकने वाली खातों और अनुमतियों के बीच टकराव को रोकने के लिए महत्वपूर्ण प्रणालियों का प्रबंधन करने के लिए एक पृथक बुनियादी ढांचे का उपयोग करें। मौजूदा खातों के दुरुपयोग से बचाने के लिए दिशानिर्देशों का पालन करें।

क्रिप्टोग्राफ़िक कुंजियों और प्रमाणपत्रों से जुड़ी फ़ाइलों और निर्देशिकाओं तक पहुंच की निगरानी करें, और असामान्य प्रमाणीकरणों की पहचान करने के लिए प्रमाणीकरण प्रमाणीकरण लॉग का उपयोग करें जो दूरस्थ प्रमाणीकरण के लिए कुंजियों या प्रमाणपत्रों के दुरुपयोग का संकेत देते हैं।

ओएस एक्स (सिक्योरिटी मेमोरी) में एक पासवर्ड श्रृंखला हैक करना

सिस्टम: macOS
राइट्स: रूट
विवरण: EL Capitan से पहले OS X में, रूट विशेषाधिकार वाले उपयोगकर्ता Keychain में सादे पाठ से लॉग-इन उपयोगकर्ताओं के पासवर्ड पढ़ सकते हैं। यह इस तथ्य के कारण है कि उपयोगकर्ताओं की सुविधा के लिए, Apple सिस्टम को क्रेडेंशियल्स को कैश करने की अनुमति देता है ताकि उपयोगकर्ताओं को जब भी आवश्यक हो उन्हें फिर से दर्ज करने के लिए संकेत न दें।

किचेन गुच्छा में संग्रहीत पासवर्ड कुंजी के एक सेट का उपयोग करके कई बार एन्क्रिप्ट किया जाता है। बदले में, चाबियाँ एक ही फ़ाइल में संग्रहीत अन्य कुंजियों का उपयोग करके एन्क्रिप्ट की जाती हैं, जैसे कि रूसी नेस्टेड गुड़िया। एक मास्टर कुंजी जो बाहरी घोंसले के शिकार गुड़िया को खोल सकती है और अगली घोंसले के शिकार गुड़िया के डिक्रिप्शन को पासवर्ड पीकेकेडीएफ 2 का उपयोग करके एन्क्रिप्ट किए गए पासवर्ड के अलावा कुछ और है जिसके साथ उपयोगकर्ता लॉग ऑन है। इस प्रकार, उपयोगकर्ता पासवर्ड श्रृंखला में पहला पासवर्ड पढ़ने के लिए, आपको प्रवेश करने या मास्टर कुंजी के लिए पासवर्ड की आवश्यकता होती है। किचेन संचालन को सुरक्षा प्रक्रिया द्वारा संसाधित किया जाता है, इसके लिए, इसकी मेमोरी में एक मास्टर कुंजी संग्रहीत की जाती है।

रूट उपयोगकर्ता नाम, एक हमलावर कीचेन श्रृंखला की एन्क्रिप्शन कुंजी की खोज के लिए मेमोरी को स्कैन कर सकता है, धीरे-धीरे उपयोगकर्ता पासवर्ड, वाईफाई, मेल, ब्राउज़र, प्रमाण पत्र, आदि के पूरे अनुक्रम को डिक्रिप्ट कर सकता है।

दो-कारक प्रमाणीकरण अवरोधन

सिस्टम: Windows, Linux, macOS
राइट्स: एडमिनिस्ट्रेटर, सिस्टम, रूट
विवरण: टू-फैक्टर और मल्टी-फैक्टर ऑथेंटिकेशन का उपयोग सिंगल लॉगिन / पासवर्ड संयोजन की तुलना में उच्च स्तर की सुरक्षा प्रदान करता है, हालांकि, संगठनों को इन सुरक्षा तंत्रों को बाधित करने और उन्हें रोकने के तरीकों के बारे में पता होना चाहिए।

हमलावर सिस्टम, सेवाओं और नेटवर्क संसाधनों तक पहुंच प्राप्त करने के लिए स्मार्ट कार्ड जैसे प्रमाणीकरण तंत्र का उपयोग कर सकते हैं।
यदि आप दो-कारक प्रमाणीकरण (2FA) के लिए स्मार्ट कार्ड का उपयोग करते हैं, तो आपको सामान्य उपयोग के दौरान स्मार्ट कार्ड से जुड़े पासवर्ड को प्राप्त करने के लिए एक कीलॉगर की आवश्यकता होगी। एक स्मार्ट कार्ड डाला और एक स्मार्ट कार्ड एक्सेस पासवर्ड दोनों के साथ, एक सहायक एक नेटवर्क सिस्टम से एक सिस्टम को सम्मिलित कर सकता है जो सम्मिलित हार्डवेयर टोकन का उपयोग करके प्रॉक्सी प्रमाणीकरण के लिए एक संक्रमित प्रणाली का उपयोग कर सकता है।

हमलावर भी एक हार्डवेयर प्रोग्रामर को उसी तरह के अन्य हार्डवेयर टोकन पर हमला करने के लिए लक्षित कर सकते हैं, जैसे कि RSA SecurID। टोकन इनपुट कैप्चर करना (उपयोगकर्ता की व्यक्तिगत पहचान कोड सहित) प्राप्त किए गए वन-टाइम पासवर्ड की अवधि के लिए अस्थायी पहुँच के साथ प्रतिकूलता प्रदान कर सकता है, और संभवतः उसे एक-टाइम पासवर्ड के भविष्य के मूल्यों की गणना करने की अनुमति देता है (एल्गोरिथ्म जानने और बाद में अस्थायी पासवर्ड बनाने के लिए प्रारंभिक मूल्य)।

अन्य 2FA तरीकों को भी अनधिकृत प्रमाणीकरण के लिए एक विरोधी द्वारा इंटरसेप्ट और उपयोग किया जा सकता है। आमतौर पर, एक-बार कोड आउट-ऑफ-बैंड संचार चैनलों (एसएमएस, ईमेल, आदि) के माध्यम से भेजे जाते हैं। यदि उपकरण और / या सेवा संरक्षित नहीं है, तो वे अवरोधन के लिए कमजोर हो सकते हैं।

सुरक्षा सिफारिशें:उपयोग में न होने पर स्मार्ट कार्ड निकालना सुनिश्चित करें। आउट-ऑफ-बैंड कोड भेजने और प्राप्त करने के लिए उपयोग किए जाने वाले उपकरणों और सेवाओं को सुरक्षित रखें। संभावित खतरनाक और दुर्भावनापूर्ण सॉफ़्टवेयर को पहचानें और ब्लॉक करें जिनका उपयोग 2FA में क्रेडेंशियल्स को इंटरसेप्ट करने के लिए किया जा सकता है।