Varonis डैशबोर्ड में 7 प्रमुख सक्रिय निर्देशिका जोखिम संकेतक

एक हमलावर की जरूरत है कि सभी समय और प्रेरणा के लिए अपने नेटवर्क में घुसना है। लेकिन आपके साथ हमारा काम उसे ऐसा करने से रोकना है, या कम से कम इस कार्य को जितना संभव हो उतना जटिल करना है। आपको सक्रिय निर्देशिका (बाद में AD के रूप में संदर्भित) में कमजोरियों की पहचान करके शुरू करने की आवश्यकता है जो एक हमलावर का उपयोग करने के लिए उपयोग कर सकता है और नेटवर्क के चारों ओर घूम सकता है। आज इस लेख में हम जोखिम संकेतकों को देखेंगे जो आपके संगठन की साइबर सुरक्षा में मौजूदा कमजोरियों को दर्शाते हैं, उदाहरण के लिए AD Varonis डैशबोर्ड का उपयोग करना।

हमलावर डोमेन में विशिष्ट कॉन्फ़िगरेशन का उपयोग करते हैं

हमलावर कॉर्पोरेट नेटवर्क में प्रवेश करने और विशेषाधिकार बढ़ाने के लिए कई ट्रिक्स और कमजोरियों का उपयोग करते हैं। इन भेद्यताओं में से कुछ डोमेन कॉन्फ़िगरेशन पैरामीटर हैं जिन्हें आसानी से पहचाने जाने के बाद बदला जा सकता है।

यदि आप (या आपके सिस्टम प्रशासक) ने पिछले महीने KRBTGT पासवर्ड नहीं बदला है, या यदि कोई अंतर्निहित डिफ़ॉल्ट व्यवस्थापक खाते (प्रशासक) से प्रमाणित है, तो AD डैशबोर्ड आपको तुरंत सूचित करेगा। ये दो खाते आपके नेटवर्क तक असीमित पहुंच प्रदान करते हैं: हमलावर विशेषाधिकारों और पहुंच अनुमतियों में किसी भी भेद को स्वतंत्र रूप से बायपास करने के लिए उन तक पहुंच प्राप्त करने का प्रयास करेंगे। और, परिणामस्वरूप, किसी भी डेटा तक पहुंच प्राप्त करने के लिए जो उन्हें रुचि रखते हैं।

बेशक, आप स्वयं इन कमजोरियों का पता लगा सकते हैं: उदाहरण के लिए, सत्यापन के लिए एक कैलेंडर अनुस्मारक सेट करें या इस जानकारी को एकत्र करने के लिए एक PowerShell स्क्रिप्ट चलाएं।

Varonis डैशबोर्ड स्वचालित रूप से कुंजी मैट्रिक्स को देखने और विश्लेषण करने के लिए अपडेट किया जाता है जो संभावित कमजोरियों को उजागर करता है ताकि आप तुरंत कार्रवाई कर सकें।

डोमेन स्तर पर 3 प्रमुख जोखिम संकेतक

नीचे Varonis डैशबोर्ड पर कई विजेट उपलब्ध हैं, जिनके उपयोग से कॉर्पोरेट नेटवर्क और आईटी इन्फ्रास्ट्रक्चर की सुरक्षा को काफी मजबूती मिलेगी।

1. उन डोमेन की संख्या जिनके लिए करबरोस अकाउंट पासवर्ड महत्वपूर्ण रूप से नहीं बदला है

KRBTGT खाता AD में एक विशेष खाता है जो सभी केर्बरोस टिकट पर हस्ताक्षर करता है। हमलावर जो एक डोमेन कंट्रोलर (डीसी) तक पहुंच प्राप्त करते हैं, इस खाते का उपयोग एक गोल्डन टिकट बनाने के लिए कर सकते हैं, जो उन्हें कॉर्पोरेट नेटवर्क पर लगभग किसी भी सिस्टम के लिए असीमित पहुंच प्रदान करेगा। हमें एक ऐसी स्थिति का सामना करना पड़ा, जहां गोल्डन टिकट को सफलतापूर्वक प्राप्त करने के बाद, हमलावर को संगठन के नेटवर्क तक दो साल तक पहुंच थी। यदि आपकी कंपनी में KRBTGT खाते का पासवर्ड पिछले चालीस दिनों से नहीं बदला है, तो विजेट आपको इसकी सूचना देगा।

एक हमलावर को नेटवर्क तक पहुंच प्राप्त करने के लिए चालीस दिन पर्याप्त समय से अधिक है। हालांकि, यदि आप नियमित रूप से इस पासवर्ड को बदलने की प्रक्रिया प्रदान करते हैं और मानकीकृत करते हैं, तो यह कॉर्पोरेट नेटवर्क को भेदने के लिए एक हमलावर के लिए कार्य को बहुत जटिल कर देगा।


याद रखें कि Microsoft द्वारा केर्बरोस प्रोटोकॉल के कार्यान्वयन के अनुसार, आपको केआरबीटीजीटी पासवर्ड को दो बार बदलने की आवश्यकता है ।

भविष्य में, यह AD विजेट आपको याद दिलाएगा जब आपके नेटवर्क पर सभी डोमेन के लिए KRBTGT पासवर्ड को फिर से बदलने का समय है।

2. हाल ही में अंतर्निहित व्यवस्थापक खाते का उपयोग करके डोमेन की संख्या

कम से कम विशेषाधिकारों के सिद्धांत के अनुसार, सिस्टम प्रशासकों को दो खाते प्रदान किए जाते हैं: पहला रोजमर्रा के उपयोग के लिए एक खाता है, और दूसरा योजनाबद्ध प्रशासनिक कार्यों के लिए है। इसका मतलब है कि किसी को भी डिफ़ॉल्ट व्यवस्थापक खाते का उपयोग नहीं करना चाहिए।

एक अंतर्निहित व्यवस्थापक खाते का उपयोग अक्सर सिस्टम प्रशासन प्रक्रिया को सरल बनाने के लिए किया जाता है। यह एक बुरी आदत हो सकती है, जिसके परिणामस्वरूप हैक हो सकता है। यदि आपके संगठन में ऐसा होता है, तो आपके लिए इस खाते के उचित उपयोग को संभावित रूप से दुर्भावनापूर्ण पहुंच से अलग करना मुश्किल होगा।


यदि विजेट शून्य के अलावा कुछ भी दिखाता है, तो इसका मतलब है कि कोई व्यक्ति प्रशासनिक खातों के साथ सही तरीके से काम नहीं कर रहा है। इस मामले में, आपको अंतर्निहित व्यवस्थापक खाते तक पहुंच को सही और प्रतिबंधित करने के लिए उपाय करना होगा।
एक बार जब आपने विजेट और सिस्टम एडमिनिस्ट्रेटर के लिए शून्य मान हासिल कर लिया है, तो वे अब अपने काम के लिए इस खाते का उपयोग नहीं करेंगे, तो भविष्य में, इसमें कोई भी बदलाव संभावित साइबर हमले का संकेत देगा।

3. उन डोमेन की संख्या जिनमें संरक्षित उपयोगकर्ताओं का कोई समूह नहीं है (संरक्षित उपयोगकर्ता)

AD के पुराने संस्करणों ने कमजोर प्रकार के एन्क्रिप्शन का समर्थन किया - RC4। हैकर्स ने कई साल पहले RC4 को क्रैक किया था, और अब एक हमलावर के लिए एक अकाउंट को क्रैक करना जो अभी भी RC4 का उपयोग करता है, एक तुच्छ कार्य है। Windows Server 2012 में शुरू की गई सक्रिय निर्देशिका के संस्करण ने एक नए प्रकार के उपयोगकर्ताओं का एक समूह पेश किया, जिसे संरक्षित उपयोगकर्ता समूह कहा जाता है। यह अतिरिक्त सुरक्षा उपकरण प्रदान करता है और RC4 एन्क्रिप्शन का उपयोग करके उपयोगकर्ता प्रमाणीकरण को रोकता है।

यह विजेट प्रदर्शित करेगा यदि संगठन के किसी भी डोमेन में ऐसा कोई समूह नहीं है ताकि आप इसे ठीक कर सकें, अर्थात। संरक्षित उपयोगकर्ताओं के एक समूह को सक्षम करें, और बुनियादी ढांचे की सुरक्षा के लिए इसका उपयोग करें।

हमलावरों के लिए हल्का निशाना

उपयोगकर्ता खाते हमलावरों के लिए नंबर एक लक्ष्य हैं - पहले प्रयासों से विशेषाधिकारों के जारी रहने और उनके कार्यों को छिपाने के लिए। हमलावर मूल PowerShell आदेशों का उपयोग करके आपके नेटवर्क पर सरल लक्ष्यों की तलाश करते हैं, जिन्हें अक्सर पता लगाना मुश्किल होता है। AD से इन प्रकाश लक्ष्यों में से कई को हटा दें।

हमलावर उपयोगकर्ताओं को असीमित पासवर्ड (या जिन्हें पासवर्ड की आवश्यकता नहीं है) के लिए खोजते हैं, प्रौद्योगिकी खाते जो प्रशासक हैं, और पुराने RC4 एन्क्रिप्शन का उपयोग करने वाले खाते हैं।

इनमें से कोई भी खाता या तो उपयोग करने के लिए तुच्छ है, या, एक नियम के रूप में, निगरानी नहीं की जाती है। हमलावर इन खातों को अपहृत कर सकते हैं और आपके बुनियादी ढांचे के अंदर स्वतंत्र रूप से स्थानांतरित कर सकते हैं।

एक बार हमलावर सुरक्षा परिधि में घुस जाते हैं, तो वे कम से कम एक खाते तक पहुंच प्राप्त करने की संभावना रखते हैं। क्या आप उन्हें हमले का पता लगाने और समाप्त करने से पहले संवेदनशील डेटा तक पहुंच प्राप्त करने से रोक सकते हैं?

Varonis AD डैशबोर्ड असुरक्षित उपयोगकर्ता खातों को इंगित करेगा ताकि आप समस्याओं को पहले से ठीक कर सकें। अपने नेटवर्क के अंदर जाना जितना मुश्किल होता है, किसी गंभीर को नुकसान पहुंचाने से पहले किसी हमलावर को बेअसर करने की आपकी संभावना उतनी ही अधिक होती है।

उपयोगकर्ता खातों के लिए 4 प्रमुख जोखिम संकेतक

Varonis AD डैशबोर्ड में विजेट के उदाहरण निम्नलिखित हैं जो सबसे कमजोर उपयोगकर्ता खातों को दर्शाते हैं।

1. पासवर्ड के साथ सक्रिय उपयोगकर्ताओं की संख्या जो कभी समाप्त नहीं होती हैं

किसी भी हमलावर के लिए, इस तरह के खाते तक पहुंचना हमेशा एक बड़ी सफलता है। चूंकि पासवर्ड कभी भी समाप्त नहीं होता है, हमलावर नेटवर्क के भीतर एक स्थायी पद प्राप्त करता है, जिसका उपयोग तब विशेषाधिकारों को बढ़ाने या बुनियादी ढांचे के भीतर स्थानांतरित करने के लिए किया जा सकता है।
हमलावरों के पास लाखों उपयोगकर्ता-पासवर्ड संयोजनों की सूची है जो वे क्रेडेंशियल-प्रतिस्थापन हमलों में उपयोग करते हैं, और संभावना
"अनन्त" पासवर्ड के साथ उपयोगकर्ता के लिए संयोजन इन सूचियों में से एक है, जो शून्य से बहुत अधिक है।

गैर-निष्कासित पासवर्ड वाले खातों को प्रबंधित करना आसान है, लेकिन वे सुरक्षित नहीं हैं। इस पासवर्ड का उपयोग उन सभी खातों को खोजने के लिए करें जिनमें ये पासवर्ड हैं। इस सेटिंग को बदलें और पासवर्ड अपडेट करें।


जैसे ही इस विजेट का मूल्य शून्य हो जाता है, इस पासवर्ड के साथ बनाया गया कोई भी नया खाता डैशबोर्ड पर दिखाई देगा।

2. एसपीएन के साथ प्रशासनिक खातों की संख्या

SPN (सेवा प्रधान नाम) किसी सेवा के उदाहरण के लिए एक विशिष्ट पहचानकर्ता है। यह विजेट दिखाता है कि कितने सेवा खातों में पूर्ण व्यवस्थापक अधिकार हैं। विजेट पर मान शून्य होना चाहिए। व्यवस्थापक अधिकारों के साथ एक SPN होता है क्योंकि ऐसे अधिकार प्रदान करना सॉफ़्टवेयर प्रदाताओं और एप्लिकेशन व्यवस्थापकों के लिए सुविधाजनक है, लेकिन इससे सुरक्षा जोखिम होता है।

एक सेवा खाता व्यवस्थापक विशेषाधिकार देने से हमलावर किसी ऐसे खाते तक पूरी पहुँच प्राप्त कर सकता है जिसका उपयोग नहीं किया जाता है। इसका मतलब है कि एसपीएन खातों तक पहुंच के साथ हमलावर स्वतंत्र रूप से बुनियादी ढांचे के अंदर कार्य कर सकते हैं और साथ ही साथ अपने कार्यों की निगरानी करने से बच सकते हैं।

आप सेवा खातों के लिए अनुमतियां बदलकर इस समस्या को ठीक कर सकते हैं। इस तरह के खातों को कम से कम विशेषाधिकार के सिद्धांत का पालन करना चाहिए और केवल उन तक पहुंच होनी चाहिए जो वास्तव में उनके काम के लिए आवश्यक हैं।


इस विजेट का उपयोग करके, आप उन सभी SPN को पा सकते हैं जिनके पास प्रशासक अधिकार हैं, ऐसे विशेषाधिकारों को समाप्त करते हैं, और कम से कम विशेषाधिकारों के साथ पहुंच के समान सिद्धांत द्वारा निर्देशित SPN को और नियंत्रित करते हैं।

नए दिखने वाले SPN को डैशबोर्ड पर प्रदर्शित किया जाएगा, और आप इस प्रक्रिया को नियंत्रित कर सकते हैं।

3. उन उपयोगकर्ताओं की संख्या, जिन्हें केर्बरोस पूर्व-प्रमाणीकरण की आवश्यकता नहीं है

आदर्श रूप से, Kerberos AES-256 एन्क्रिप्शन का उपयोग करके एक प्रमाणीकरण टिकट को एन्क्रिप्ट करता है, जो आज तक अटूट है।

हालांकि, केर्बरोस के पुराने संस्करणों ने आरसी 4 एन्क्रिप्शन का उपयोग किया था, जिसे अब मिनटों में क्रैक किया जा सकता है। यह विजेट दिखाता है कि कौन से उपयोगकर्ता खाते अभी भी RC4 का उपयोग करते हैं। Microsoft अभी भी RC4 को पिछड़ी संगतता के लिए समर्थन करता है, लेकिन इसका मतलब यह नहीं है कि आपको इसे अपने AD में उपयोग करना चाहिए।


इस तरह के खाते ढूंढने के बाद, आपको AD में "केर्बरोस पूर्व-प्राधिकरण की आवश्यकता नहीं है" चेकबॉक्स को साफ़ करने की आवश्यकता है ताकि खाते अधिक जटिल एन्क्रिप्शन का उपयोग करें।

Varonis AD डैशबोर्ड के बिना, इन खातों की स्व-खोज, समय लेने वाली है। वास्तव में, RC4 एन्क्रिप्शन का उपयोग करने के लिए संपादित किए जाने वाले सभी खातों के बारे में समय पर सूचित किया जाना एक और भी मुश्किल काम है।

यदि विजेट पर मान बदलता है, तो यह अवैध कार्यों का संकेत हो सकता है।

4. एक पासवर्ड के बिना उपयोगकर्ताओं की संख्या

हमलावर खाता गुणों में AD गुणों से "PASSWD_NOTREQD" ध्वज को पढ़ने के लिए मूल PowerShell आदेश का उपयोग करते हैं। इस ध्वज का उपयोग करने का मतलब है कि पासवर्ड की उपस्थिति या जटिलता के लिए कोई आवश्यकता नहीं है।
एक साधारण या रिक्त पासवर्ड के साथ एक खाता चोरी करना कितना आसान है? अब कल्पना करें कि इन खातों में से एक व्यवस्थापक है।


क्या होगा यदि हजारों गोपनीय फाइलों में से एक सभी के लिए खुली आगामी वित्तीय रिपोर्ट है?

अनिवार्य पासवर्ड प्रविष्टि की आवश्यकता को अनदेखा करना सिस्टम एडमिनिस्ट्रेशन का एक और शॉर्टकट है जिसका उपयोग अक्सर अतीत में किया गया है, लेकिन आज यह अस्वीकार्य और असुरक्षित है।

इन खातों के पासवर्ड को अपडेट करके इस समस्या को ठीक करें।

भविष्य में इस विजेट की निगरानी आपको पासवर्ड के बिना उपयोगकर्ता खातों से बचने में मदद करेगी।

वरोनिस ऑड्स की बराबरी करता है

अतीत में, लेख में मैट्रिक्स को इकट्ठा करने और विश्लेषण करने के काम में कई घंटे लगते थे और पावरशेल के गहन ज्ञान की आवश्यकता होती थी: सुरक्षा विशेषज्ञों को हर हफ्ते या महीने में ऐसे कार्यों के लिए संसाधनों का आवंटन करना पड़ता था। लेकिन इस जानकारी का मैनुअल संग्रह और प्रसंस्करण हमलावरों को प्रवेश और डेटा चोरी के लिए एक प्रमुख शुरुआत देता है।

Varonis के साथ , आप AD डैशबोर्ड और अतिरिक्त घटकों को तैनात करने के लिए एक दिन बिताएंगे, सभी माना और कई अन्य कमजोरियों को इकट्ठा करने के लिए। भविष्य में, ऑपरेशन के दौरान, डैशबोर्ड को बुनियादी ढाँचे में परिवर्तन की स्थिति के रूप में स्वचालित रूप से अपडेट किया जाएगा।

साइबर हमलों का आयोजन हमेशा हमलावरों और रक्षकों के बीच एक दौड़ है, एक हमलावर की इच्छा डेटा चोरी करने से पहले सुरक्षा विशेषज्ञों तक पहुंच को अवरुद्ध कर सकती है। साइबर अपराधियों और उनके गैरकानूनी कार्यों का शीघ्र पता लगाने, मजबूत साइबर रक्षा के साथ संयुक्त, आपके डेटा की सुरक्षा सुनिश्चित करने की कुंजी है।