مراحل حمله به اکتیو دایرکتوری؛ مهاجمان چگونه نفوذ می‌کنند؟

اکتیو دایرکتوری یکی از بخش‌های مهم زیرساخت شبکه سازمانی است و به همین دلیل می‌تواند هدف حملات مختلف قرار بگیرد. مهاجم برای نفوذ به این زیرساخت اغلب با یک اقدام واحد به هدف نمی‌رسد؛ بلکه در چند مرحله اطلاعات شبکه را جمع‌آوری می‌کند، دسترسی‌ها را بررسی می‌کند و در ادامه برای گسترش نفوذ و دسترسی به سیستم‌ها و منابع دیگر تلاش می‌کند.

در این مقاله مراحل حمله به اکتیو دایرکتوری، مفهوم حرکت جانبی (Lateral Movement) و نقش ارتباط Trust بین Forestها در گسترش مسیر حمله را بررسی می‌کند. شناخت این مراحل به مدیران شبکه و متخصصان خدمات امنیت شبکه کمک می‌کند فعالیت مهاجم را در هر مرحله بهتر شناسایی کنند.

مراحل حمله به اکتیو دایرکتوری کدام‌اند؟

حمله به اکتیو دایرکتوری را می‌توان در قالب مراحلی بررسی کرد که مهاجم به‌تدریج اطلاعات بیشتری از زیرساخت به دست می‌آورد و برای دستیابی به سطح دسترسی بالاتر تلاش می‌کند. در ادامه 3 مرحله اصلی این فرایند با عنوان‌های Reconnaissance، Enumeration و Privilege Escalation را بررسی کرده‌ایم. شناخت این 3 مرحله در انتخاب استراتژی برای افزایش امنیت اکتیو دایرکتوری کمک زیادی به شما می‌کند:

۱. شناسایی اولیه یا Reconnaissance

در مرحله Reconnaissance مهاجم تلاش می‌کند شناخت اولیه‌ای از ساختار اکتیو دایرکتوری و شبکه سازمان به دست بیاورد. اطلاعاتی مانند تعداد Forestها و دامین‌ها، آدرس IP دامین کنترلرها (Domain Controller) و Functional Level از جمله مواردی هستند که در این مرحله شناسایی می‌شوند.

این اطلاعات به مهاجم کمک می‌کنند تصویر اولیه‌ای از زیرساخت داشته باشد و برای مراحل بعدی حمله تصمیم بگیرد. از دید تیم امنیت نیز شناسایی این فعالیت‌ها اهمیت دارد؛ زیرا اگر مشخص شود فرد یا حسابی در حال جمع‌آوری اطلاعات غیرمعمول از ساختار اکتیو دایرکتوری است، می‌توان احتمال فعالیت مشکوک را بررسی کرد.

۲. جمع‌آوری جزئیات یا Enumeration

پس از شناسایی اولیه، مهاجم وارد مرحله Enumeration می‌شود. در این مرحله به‌جای شناخت کلی ساختار شبکه، جزئیات بیشتری از کاربران، گروه‌ها و مجوزهای دسترسی بررسی می‌شود. برای مثال مهاجم به دنبال شناسایی اعضای گروه‌های مدیریتی، کاربران دارای دسترسی‌های خاص و مجوزهای تعریف شده برای بخش‌های مختلف اکتیو دایرکتوری است.

ابزارهایی مانند BloodHound، PowerView و ابزارهای مجموعه Sysinternals می‌توانند برای بررسی و جمع‌آوری این اطلاعات به کار بروند. همچنین بخشی از این اطلاعات به دلیل مجوزهای پیش‌فرض قابل خواندن برای کاربران احراز هویت شده است. بنابراین در همه سازمان‌ها نمی‌توان دسترسی خواندن را به‌سادگی محدود کرد.

۳. ارتقای سطح دسترسی یا Privilege Escalation

پس از جمع‌آوری اطلاعات، مهاجم می‌تواند برای دستیابی به سطح دسترسی بالاتر تلاش کند. در این مرحله اطلاعاتی که از کاربران، گروه‌های مدیریتی و مجوزها به دست آمده‌اند، به شناسایی مسیرهای احتمالی ارتقای دسترسی کمک می‌کنند.

این مرحله در ادامه Reconnaissance و Enumeration مطرح می‌شود. نکته مهم این است که فعالیت مهاجم باید در هر مرحله شناسایی و در صورت امکان متوقف شود. بنابراین بررسی صرفاً ورود اولیه کافی نیست و تمام مراحل حمله به اکتیو دایرکتوری نیز باید تحت نظارت باشند.

Lateral Movement چیست و چگونه در اکتیو دایرکتوری اتفاق می‌افتد؟

حرکت جانبی یا Lateral Movement به وضعیتی گفته می‌شود که مهاجم پس از تسلط بر یک سیستم تلاش می‌کند به سیستم‌های دیگر شبکه دسترسی پیدا کند. برای مثال ممکن است یک سیستم کلاینت تحت کنترل مهاجم قرار بگیرد و او از همان نقطه برای دسترسی به کلاینت‌ها یا سرورهای دیگر اقدام کند.

این حرکت می‌تواند از یک سیستم به سیستم دیگر یا از یک Domain به Domain مجاور ادامه پیدا کند. در سطح گسترده‌تر مهاجم ممکن است تلاش کند از یک Forest به Forest دیگری برسد. در نتیجه نفوذ اولیه به یک بخش از زیرساخت لزوماً به همان بخش محدود نمی‌ماند.

نقش Trust در حرکت جانبی بین Forestها

برای توضیح این موضوع مثالی از دو سازمان مطرح می‌کنیم که به دلیل تعاملات کسب‌وکاری با یکدیگر، بین Forestهای اکتیو دایرکتوری آنها Trust برقرار شده است.

فرض کنید اکتیو دایرکتوری سازمان اول به‌خوبی ایمن‌سازی شده، اما سازمان دوم اقدامات امنیتی مناسبی انجام نداده است. در چنین شرایطی مهاجم ممکن است سازمان دوم را به‌عنوان نقطه شروع یا مسیر ورود انتخاب کند و سپس با استفاده از ارتباط Trust، برای حرکت به سمت Forest سازمان اول تلاش کند.

به این ترتیب حتی اگر زیرساخت یک سازمان به‌خوبی محافظت شده باشد، ارتباط آن با زیرساخت سازمانی دیگر که سطح امنیت پایین‌تری دارد، می‌تواند مسیر حمله را گسترش دهد. به همین دلیل بررسی امنیت ارتباطات بین Forestها فقط به وضعیت زیرساخت داخلی سازمان محدود نمی‌شود و باید وضعیت Forestهای مرتبط نیز مورد توجه قرار بگیرد.

چگونه Trust بین Forestهای اکتیو دایرکتوری به نقطه ضعف امنیتی تبدیل می‌شود؟

Trust امکان برقراری ارتباط و دسترسی بین بخش‌های مختلف اکتیو دایرکتوری را فراهم می‌کند؛ اما اگر این ارتباط بدون محدودیت‌های لازم برقرار شود، می‌تواند سطح دسترسی و مسیر حرکت مهاجم را گسترش دهد. بنابراین ایجاد Trust باید با توجه به نیاز واقعی سازمان انجام شود و نباید ارتباطی گسترده‌تر از نیاز تعریف کرد. برای کاهش ریسک، دو نکته مهم زیر مطرح می‌شوند:

• بررسی SID Filtering و SID History: یکی از این موضوعات، SID Filtering است. این سازوکار با اعتبار SIDهای موجود در SID History ارتباط دارد و به‌صورت پیش‌فرض روی External Trust فعال است؛ بااین‌حال توصیه می‌شود وضعیت آن بررسی شود تا از فعال بودن این قابلیت اطمینان حاصل شود.
• محدود کردن دامنه Trust: نکته مهم دیگر محدود کردن دامنه Trust است. توصیه می‌شود به‌جای تعریف ارتباط‌های گسترده مانند Forest-wide یا Domain-wide، از Selective Authentication استفاده شود تا مشخص باشد کدام کاربران و کامپیوترهای Forest مقابل اجازه احراز هویت روی سیستم‌های سازمان را دارند. به بیان دیگر نباید Trust را بدون محدودیت و به‌شکل گسترده تعریف کرد. هرچه دامنه این ارتباط دقیق‌تر و متناسب با نیاز سازمان باشد، مسیرهای غیرضروری برای دسترسی و حرکت جانبی محدودتر خواهند شد.

آنچه در رابطه با مراحل حمله به اکتیو دایرکتوری یاد گرفتیم

امنیت اکتیو دایرکتوری فقط به کنترل رمزهای عبور یا محدودکردن دسترسی کاربران خلاصه نمی‌شود. مهاجمان می‌توانند با شناسایی ساختار شبکه، بررسی حساب‌های مدیریتی و مجوزها، افزایش سطح دسترسی و حرکت جانبی، از یک سیستم آسیب‌پذیر به بخش‌های حساس‌تر زیرساخت برسند. حتی ارتباط مبتنی بر Trust بین Forestها نیز در صورت پیکربندی نامناسب می‌تواند مسیر نفوذ به بخش‌های دیگر شبکه را فراهم کند.

به همین دلیل سازمان‌ها باید ساختار Active Directory، سطح دسترسی‌ها، تنظیمات امنیتی و ارتباط بین Forestها را به‌صورت مستمر بررسی کنند و نقاط ضعف احتمالی را پیش از سوءاستفاده مهاجمان شناسایی کنند. اگر برای ارزیابی امنیت زیرساخت اکتیو دایرکتوری و تقویت امنیت شبکه سازمان خود به راهکار تخصصی نیاز دارید، می‌توانید از خدمات امنیت شبکه فالنیک استفاده کنید. کارشناسان فالنیک با بررسی زیرساخت و نیازهای سازمان، در شناسایی ریسک‌های امنیتی و انتخاب راهکارهای مناسب به شما کمک می‌کنند.

خدمات امنیت شبکه توسط بهترین‌ها

متخصصان ما با اجرای بیش از 9 هزار پروژه موفق IT و به پشتوانه سه دهه تجربه در حوزه شبکه، امنیت شبکه شما را به بهترین نحو تامین می‌کنند. همین حالا با ما تماس بگیرید و ضمن استفاده از مشاوره رایگان متخصصان ما، شبکه‌ی خود را به دژی غیر قابل نفوذ تبدیل کنید.

خدمات امنیت شبکهمشاوره رایگان