एक्सचेंज वल्नरेबिलिटी: डोमेन एडमिनिस्ट्रेटर के विशेषाधिकार का पता कैसे लगाएं

इस साल एक्सचेंज में खोजी गई एक भेद्यता किसी भी डोमेन उपयोगकर्ता को डोमेन व्यवस्थापक अधिकारों को प्राप्त करने और सक्रिय निर्देशिका (AD) और अन्य कनेक्टेड होस्ट से समझौता करने की अनुमति देती है। आज हम आपको बताएंगे कि यह हमला कैसे काम करता है और इसका पता कैसे लगाया जाता है।



यहां बताया गया है कि यह हमला कैसे काम करता है:

1. Exchange से पुश सूचना फ़ंक्शन की सदस्यता लेने के लिए एक हमलावर किसी भी सक्रिय डोमेन के साथ किसी भी डोमेन उपयोगकर्ता के खाते पर कब्जा कर लेता है
2. एक हमलावर एक्सचेंज सर्वर को धोखा देने के लिए NTLM रिले का उपयोग करता है: अंत में, एक्सचेंज सर्वर NTLM से HTTP विधि का उपयोग करके समझौता किए गए उपयोगकर्ता के कंप्यूटर से कनेक्ट होता है, जो तब हमलावर Exchange खाते के विवरण के साथ LDAP का उपयोग करके डोमेन नियंत्रक को प्रमाणित करने के लिए उपयोग करता है।
3. नतीजतन, हमलावर अपने विशेषाधिकारों को बढ़ाने के लिए इन एक्सचेंज अकाउंट विशेषाधिकार का उपयोग करता है। यह अंतिम चरण एक शत्रुतापूर्ण व्यवस्थापक द्वारा भी किया जा सकता है, जिनके पास अधिकारों के आवश्यक परिवर्तन करने के लिए पहले से ही वैध पहुंच है। इस गतिविधि का पता लगाने के लिए एक नियम बनाकर, आपको इस और इसी तरह के हमलों से बचाया जाएगा।

इसके बाद, एक हमलावर, उदाहरण के लिए, किसी डोमेन के सभी उपयोगकर्ताओं के लिए हैशेड पासवर्ड प्राप्त करने के लिए DCSync चला सकता है। यह उसे विभिन्न प्रकार के हमलों को लागू करने की अनुमति देगा - सुनहरे टिकट पर हमलों से लेकर हैश के प्रसारण तक।

वरोनिस अनुसंधान दल ने इस हमले के वेक्टर का विस्तार से अध्ययन किया है और हमारे ग्राहकों को इसका पता लगाने के लिए एक गाइड तैयार किया है और साथ ही यह भी जांचा है कि क्या वे पहले ही समझौता कर चुके हैं।

डोमेन विशेषाधिकार वृद्धि का पता लगाने

DatAlert में, विशिष्ट ऑब्जेक्ट अनुमतियों में परिवर्तनों को ट्रैक करने के लिए एक कस्टम नियम बनाएं। डोमेन में ब्याज की वस्तु के अधिकार और अनुमतियां जोड़ते समय यह काम करेगा:

1. एक नियम नाम निर्दिष्ट करें
2. "विशेषाधिकार वृद्धि" के रूप में श्रेणी निर्धारित करें
3. संसाधन प्रकार के लिए मान को सभी संसाधन प्रकारों पर सेट करें
4. फ़ाइल सर्वर = DirectoryServices
5. उस डोमेन को सेट करें जिसमें आप रुचि रखते हैं, उदाहरण के लिए, नाम से
6. AD ऑब्जेक्ट पर अनुमतियाँ जोड़ने के लिए एक फ़िल्टर जोड़ें
7. और "अनचाहे बाल वस्तुओं में खोज" विकल्प को छोड़ने के लिए मत भूलना

और अब रिपोर्ट: डोमेन ऑब्जेक्ट अधिकार परिवर्तन का पता लगाते हैं

AD ऑब्जेक्ट पर अनुमतियों में परिवर्तन एक दुर्लभ घटना है, इसलिए इस चेतावनी के कारण होने वाली किसी भी चीज़ की जांच की जानी चाहिए। युद्ध में ही शासन शुरू करने से पहले रिपोर्ट की उपस्थिति और सामग्री का परीक्षण करना अच्छा होगा।

यह रिपोर्ट यह भी दिखाएगी कि क्या आपने पहले ही इस हमले से समझौता कर लिया है:



नियम को सक्रिय करने के बाद, आप डाटअर्ट वेब इंटरफेस का उपयोग करके अन्य सभी विशेषाधिकार वृद्धि घटनाओं की जांच कर सकते हैं:



इस नियम को कॉन्फ़िगर करने के बाद, आप खुद को इन और इसी प्रकार की सुरक्षा भेद्यताओं से मॉनिटर कर सकते हैं और सुरक्षित रख सकते हैं, AD डायरेक्टरी सर्विस ऑब्जेक्ट्स के साथ घटनाओं की जांच कर सकते हैं, और सत्यापित कर सकते हैं कि आप इस महत्वपूर्ण भेद्यता के संपर्क में हैं।