सक्रिय निर्देशिका डेटा गोपनीयता समस्या

मैंने PowerView का उपयोग करके पैठ परीक्षण किया और सक्रिय निर्देशिका से उपयोगकर्ता जानकारी प्राप्त करने के लिए इसका उपयोग किया (इसके बाद AD के रूप में संदर्भित)। उस समय, मैंने सुरक्षा समूहों में सदस्यता के बारे में जानकारी एकत्र करने पर ध्यान केंद्रित किया, और फिर नेटवर्क को नेविगेट करने के लिए इस जानकारी का उपयोग किया। किसी भी मामले में, विज्ञापन में कर्मचारियों के बारे में गोपनीय डेटा होता है, उनमें से कुछ को वास्तव में संगठन में सभी के लिए सुलभ नहीं होना चाहिए। वास्तव में, विंडोज फाइल सिस्टम पर सभी के लिए एक समान समस्या है , जिसका आंतरिक और बाहरी दोनों हमलावरों द्वारा भी फायदा उठाया जा सकता है।

लेकिन इससे पहले कि हम गोपनीयता के मुद्दों के बारे में बात करें और उन्हें कैसे ठीक करें, आइए AD में संग्रहीत डेटा पर एक नज़र डालें।

सक्रिय निर्देशिका कॉर्पोरेट फेसबुक है

लेकिन इस मामले में, आप पहले से ही सभी के साथ दोस्ती कर चुके हैं! आपको अपने सहकर्मियों की पसंदीदा फ़िल्मों, पुस्तकों और रेस्तरां के बारे में पता नहीं चल सकता है, लेकिन AD में संवेदनशील संपर्क हैं
डेटा और अन्य फ़ील्ड जिनका उपयोग हैकर्स और यहां तक ​​कि अंदरूनी विशेष तकनीकी कौशल के बिना भी किया जा सकता है।

सिस्टम प्रशासक, निश्चित रूप से, नीचे दिए गए स्क्रीनशॉट से परिचित हैं। यह सक्रिय निर्देशिका उपयोगकर्ता और कंप्यूटर (ADUC) इंटरफ़ेस है, जहां वे उपयोगकर्ता जानकारी को स्थापित और संपादित करते हैं और उपयोगकर्ताओं को उपयुक्त समूहों को सौंपते हैं।



विज्ञापन में कर्मचारी के नाम, पता और फोन नंबर के साथ फ़ील्ड शामिल हैं, इसलिए यह एक टेलीफोन निर्देशिका की तरह दिखता है। लेकिन और भी बहुत कुछ है! अन्य टैब में एक ईमेल पता और एक वेब पता, एक तत्काल पर्यवेक्षक और नोट्स भी होते हैं।

क्या संगठन में सभी को यह जानकारी देखनी चाहिए, विशेषकर OSINT के युग में, जब हर नया हिस्सा अतिरिक्त जानकारी को और भी आसान बना देता है?

बिल्कुल नहीं! जब वरिष्ठ प्रबंधन का डेटा सभी कर्मचारियों के लिए उपलब्ध हो तो समस्या और बढ़ जाती है।

PowerView सभी के लिए

यह वह जगह है जहाँ PowerView खेलने में आता है। यह अंतर्निहित (और भ्रामक) Win32 फ़ंक्शन के लिए एक बहुत ही सुविधाजनक PowerShell इंटरफ़ेस प्रदान करता है जो AD तक पहुंचता है। संक्षेप में:
इससे AD फ़ील्ड को बहुत छोटे cmdlet में प्रवेश करना आसान हो जाता है।

आइए क्रूला डेविल के एक कर्मचारी के बारे में जानकारी एकत्र करने का एक उदाहरण लेते हैं, जो कंपनी के नेताओं में से एक है। ऐसा करने के लिए, PowerView get-NetUser cmdlet का उपयोग करें:



PowerView को स्थापित करना कोई गंभीर समस्या नहीं है - अपने लिए github पृष्ठ पर देखें। और अधिक महत्वपूर्ण बात, आपको कई पावर व्यू कमांड चलाने के लिए उन्नत विशेषाधिकार की आवश्यकता नहीं है, जैसे गेट-नेटयूज़र। इस प्रकार, एक प्रेरित, लेकिन बहुत तकनीकी रूप से समझ रखने वाला कर्मचारी नहीं, बहुत प्रयास के बिना ई.पू.

ऊपर दिए गए स्क्रीनशॉट से यह देखा जा सकता है कि इनसाइडर क्रूला के बारे में बहुत कुछ जान सकता है। क्या आपने यह भी देखा कि "जानकारी" फ़ील्ड उपयोगकर्ता की व्यक्तिगत आदतों और पासवर्ड के बारे में जानकारी प्रदर्शित करती है?

यह एक सैद्धांतिक संभावना नहीं है। अन्य पंचों के साथ संवादों से , मुझे पता चला कि वे एक अनएन्क्रिप्टेड रूप में पासवर्ड खोजने के लिए AD स्कैन करते हैं, और अक्सर ये प्रयास, दुर्भाग्य से, सफल होते हैं। वे जानते हैं कि कंपनियां AD में जानकारी के बारे में लापरवाह हैं, और आमतौर पर वे अगले विषय - AD में अनुमतियों के बारे में नहीं जानते हैं।

सक्रिय निर्देशिका का अपना ACL होता है

AD उपयोगकर्ता और कंप्यूटर इंटरफ़ेस आपको AD ऑब्जेक्ट के लिए अनुमतियाँ सेट करने की अनुमति देता है। AD में ACL होते हैं, और व्यवस्थापक उनके माध्यम से पहुँच प्रदान या अस्वीकार कर सकते हैं। आपको ADUC दृश्य मेनू में "उन्नत" पर क्लिक करने की आवश्यकता है, और फिर जब आप उपयोगकर्ता को खोलते हैं, तो आपको "सुरक्षा" टैब दिखाई देगा जिसमें आप एसीएल सेट करते हैं।

क्रुजेला के साथ मेरी स्क्रिप्ट में, मैं नहीं चाहता था कि सभी प्रमाणित उपयोगकर्ता उसकी व्यक्तिगत जानकारी देख सकें, इसलिए मैंने उन्हें पढ़ने से इनकार कर दिया:



और अब एक नियमित उपयोगकर्ता इसे तब देखेगा जब वे पावर व्यू में गेट-नेउज़र की कोशिश करेंगे:



मैं चुभती आँखों से जानबूझकर उपयोगी जानकारी छिपाने में कामयाब रहा। प्रासंगिक उपयोगकर्ताओं के लिए इसे सुलभ रखने के लिए, मैंने वीआईपी सदस्यों (क्रूला और अन्य उच्च-स्तरीय सहयोगियों) को इस संवेदनशील डेटा तक पहुंचने की अनुमति देने के लिए एक और एसीएल बनाया। दूसरे शब्दों में, मैंने रोल मॉडल के आधार पर AD अनुमतियों को लागू किया, जिसने अंदरूनी कर्मचारियों सहित अधिकांश कर्मचारियों के लिए संवेदनशील डेटा अप्राप्य बना दिया।

हालाँकि, आप AD में समूह ऑब्जेक्ट के लिए उपयुक्त ACL सेट करके उपयोगकर्ताओं के लिए समूह सदस्यता अदृश्य कर सकते हैं। यह गोपनीयता और सुरक्षा के संदर्भ में मदद करेगा।

महाकाव्य पेंटेस्ट्स की मेरी श्रृंखला में, मैंने दिखाया कि आप पावर व्यूज गेट-नेटग्रुप कैमेरे का उपयोग करके समूह के सदस्यों की खोज करके सिस्टम को कैसे नेविगेट कर सकते हैं। मेरे परिदृश्य में, मैंने एक विशेष समूह में सदस्यता तक पहुंच को प्रतिबंधित कर दिया है। आप परिवर्तनों से पहले और बाद में कमांड का परिणाम देखते हैं:



मैं वीआईपी समूह में क्रूला और मोंटी बर्न्स की सदस्यता को छिपाने में कामयाब रहा, जिसने हैकर्स और अंदरूनी लोगों द्वारा बुनियादी ढांचे की खोज को जटिल बना दिया।

इस पोस्ट का उद्देश्य आपको खेतों का अधिक बारीकी से अध्ययन करने के लिए प्रेरित करना था।
AD और संबंधित अनुमतियां विज्ञापन एक महान संसाधन है, लेकिन सोचें कि आप कैसे होंगे
विशेष रूप से गोपनीय जानकारी और व्यक्तिगत डेटा साझा करना चाहता था
जब यह आपके संगठन के पहले व्यक्तियों की बात आती है।