اقدامات ضروری برای افزایش امنیت اکتیو دایرکتوری
اکتیو دایرکتوری (Active Directory) یکی از بخش‌های مهم زیرساخت شبکه سازمان است و بروز مشکل امنیتی در آن می‌تواند عملکرد بخش‌های مختلف سازمان را تحت تأثیر قرار دهد. به همین دلیل محافظت از Active Directory فقط به معنای جلوگیری از دسترسی غیرمجاز به حساب‌های کاربری نیست؛ بلکه مدیریت دسترسی‌های مدیریتی، تنظیم سیاست‌های امنیتی، ارزیابی وضعیت زیرساخت و شناسایی فعالیت‌های مشکوک را نیز شامل می‌شود.
در این مقاله موضوع هاردنینگ و افزایش امنیت اکتیو دایرکتوری را از جنبه‌های مختلف بررسی کرده‌ایم. در نظر داشتن این موارد به شما کمک می‌کند تا در هنگام استفاده از خدمات امنیت شبکه به درصد موفقیت بالاتری دست پیدا کنید.
فهرست محتوا
هاردنینگ اکتیو دایرکتوری چیست و چرا اهمیت دارد؟
هاردنینگ (Hardening) به مجموعه اقداماتی گفته می‌شود که با هدف افزایش امنیت یک زیرساخت انجام می‌شوند. در اکتیو دایرکتوری این اقدامات شامل بررسی و اصلاح تنظیمات، کنترل دسترسی‌ها، محدود کردن سطح دسترسی حساب‌های مدیریتی و استفاده از سیاست‌های امنیتی مناسب است.
امنیت اکتیو دایرکتوری در چارچوب امنیت شبکه (Network Security) و در راستای ایمن‌سازی سرویس‌های مایکروسافت بررسی می‌شود. امنیت اطلاعات نیز سه جنبه اصلی دارد: محرمانگی (Confidentiality)، یکپارچگی (Integrity) و در دسترس بودن (Availability). بنابراین هنگام بررسی امنیت Active Directory باید علاوه بر جلوگیری از دسترسی غیرمجاز، یکپارچگی اطلاعات و در دسترس بودن سرویس نیز مورد توجه قرار بگیرد.
برای مثال اگر یک Domain Controller از مدار خارج شود، نباید کل دامین یا فارست از دسترس خارج شود. این موضوع به پایداری زیرساخت و مفاهیمی مانند افزونگی (Redundancy)، تحمل خطا (Fault Tolerance) و دسترس‌پذیری بالا (High Availability) مربوط است. البته در این مقاله تمرکز اصلی بر اقدامات امنیتی و هاردنینگ است.
یکی از نکات مهم در هاردنینگ توجه به جزئیات کوچک تنظیمات است. گاهی چند تنظیم ساده که به‌درستی انجام نشده‌اند، می‌توانند سطح ریسک اکتیو دایرکتوری را افزایش دهند. به همین دلیل بررسی وضعیت فعلی زیرساخت و اصلاح موارد پرریسک باید در اولویت قرار بگیرد.
چگونه حساب‌های کاربری و دسترسی‌های ادمین را ایمن کنیم؟
حساب‌های مدیریتی در اکتیو دایرکتور سطح دسترسی بالایی دارند و به همین دلیل باید با دقت بیشتری مدیریت شوند. برای درک بهتر این موضوع باید به مدل سطح‌بندی دسترسی‌ها یا Tiering اشاره کنیم.
در این مدل حساب‌های مدیریتی بر اساس سطح دسترسی و نوع مسئولیت به سه گروه تقسیم می‌شوند:
- Tier 0: حساب‌هایی که به مدیریت خود اکتیو دایرکتوری و بخش‌های اصلی آن دسترسی دارند؛ مانند اعضای گروه‌های Enterprise Admins، Schema Admins و Domain Admins.
- Tier 1: حساب‌های مدیران سرورها که در گروه Administrators سرورها قرار می‌گیرند.
- Tier 2: حساب‌هایی که برای مدیریت و پشتیبانی کلاینت‌ها و سیستم‌های کاربران استفاده می‌شوند.
یکی از اقدامات برای افزایش امنیت اکتیو دایرکتوری، محدود کردن عضویت در گروه‌های مدیریتی است. برای مثال گروه‌های Enterprise Admins و Schema Admins نباید به‌صورت مستمر عضو داشته باشند. پس لازم نیست یک حساب کاربری همیشه عضو این گروه‌ها باشد؛ بلکه در صورت نیاز می‌توان آن را برای انجام کار مشخص به گروه اضافه کرد.
استفاده از گروه Protected Users
استفاده از گروه Protected Users در اکتیو دایرکتوری یکی از روش‌های کاربردی برای افزایش امنیت است. می‌توان حساب‌های کاربری دارای دسترسی مدیریتی را در این گروه قرار داد تا محدودیت‌های امنیتی بیشتری روی آنها اعمال شود.
یکی از نتایج این کار محدود شدن استفاده از NTLM برای حساب‌های عضو این گروه است. همچنین استفاده از AES-256 در فرایند احراز هویت بسیار مؤثر است.
البته عضویت در Protected Users می‌تواند محدودیت‌هایی نیز ایجاد کند. برای مثال ممکن است برخی روش‌های اتصال یا احراز هویت با این حساب‌ها دیگر قابل استفاده نباشند. بنابراین هنگام اعمال این تنظیم باید اثر آن بر نحوه استفاده از حساب‌های مدیریتی نیز بررسی شود.
تنظیم سیاست‌های رمز عبور و قفل شدن حساب‌ها
Password Policy و Account Lockout Policy از تنظیمات مهمی هستند که برای افزایش امنیت حساب‌های کاربری مطرح می‌شوند. علاوه بر این برای حساب‌های مدیریتی می‌توان سیاست‌های متفاوتی در نظر گرفت.
در اکتیو دایرکتوری برخی سیاست‌ها به‌صورت پیش‌فرض در سطح دامین اعمال می‌شوند. اگر سازمان بخواهد برای گروه‌های مختلف کاربران سیاست‌های رمز عبور متفاوتی داشته باشد، می‌تواند از Password Settings Object یا PSO استفاده کند.
برای مثال می‌توان برای حساب‌های مدیران دامین، مدیران سرور و کاربران بخش پشتیبانی سیاست‌های رمز عبور جداگانه تعریف کرد. این روش امکان اعمال تنظیمات متفاوت را برای گروه‌های مختلف فراهم می‌کند.
محدود کردن زمان و سیستم‌های مجاز برای ورود
یکی دیگر از موارد مطرح‌شده استفاده از Logon Restrictions است. با این تنظیمات می‌توان مشخص کرد که یک حساب کاربری اجازه دارد از چه سیستم‌هایی وارد شبکه شود و در چه ساعت‌هایی امکان ورود داشته باشد.
همچنین باید به استفاده از LAPS اشاره کنیم. در این روش رمز عبور حساب Administrator محلی سیستم‌ها به‌صورت یکسان باقی نمی‌ماند و هر سیستم رمز عبور مدیریتی متفاوتی دارد. این موضوع در کاهش امکان حرکت جانبی مهاجم (Lateral Movement) اهمیت دارد؛ زیرا در صورت دسترسی به رمز عبور Administrator یک سیستم، همان رمز عبور برای ورود به سیستم‌های دیگر قابل استفاده نخواهد بود.
نقش Group Policy در افزایش امنیت اکتیو دایرکتوری
ابزار Group Policy یکی از ابزارهایی است که برای اعمال تنظیمات و سیاست‌های امنیتی در محیط اکتیو دایرکتوری استفاده می‌شود. یکی از زمینه‌های استفاده از این ابزار، مدیریت تنظیمات مرتبط با حساب‌های کاربری است. Password Policy و Account Lockout Policy از جمله مواردی هستند که در این زمینه اهمیت دارند. همچنین برای اعمال سیاست‌های متفاوت روی گروه‌های مختلف کاربران می‌توان از PSO استفاده کرد.
موضوع مهم دیگر، محدود کردن دسترسی حساب‌های مدیریتی و کنترل نحوه ورود آنها به سیستم‌هاست. همان‌طور که گفته شد، با Logon Restrictions می‌توان سیستم‌ها و ساعت‌های مجاز برای ورود هر حساب را مشخص کرد. همچنین می‌توان برای مدیریت رمز عبور حساب Administrator محلی از LAPS استفاده کرد. در این روش رمز عبور حساب محلی سیستم‌ها یکسان نیست و همین تفاوت، امکان استفاده از یک رمز عبور برای حرکت بین چند سیستم را محدود می‌کند.
در مجموع نکته اصلی این است که سیاست‌های امنیتی باید متناسب با نوع حساب، سطح دسترسی و سیستم مورد استفاده تنظیم شوند. برای مثال سیاستی که برای حساب کاربر عادی در نظر گرفته می‌شود، لزوماً برای حساب مدیر دامین یا مدیر سرور مناسب نیست.
ابزار PingCastle چیست و چگونه امنیت Active Directory را ارزیابی می‌کند؟
یکی از ابزارهای کاربردی برای بررسی وضعیت امنیت اکتیو دایرکتوری، PingCastle است. این ابزار با بررسی تنظیمات و وضعیت اکتیو دایرکتوری، گزارشی از موارد قابل اصلاح و ریسک‌های موجود ارائه می‌دهد.
برخی از مواردی که در بررسی PingCastle مطرح می‌شوند عبارت‌اند از:
- عضویت در گروه‌های مدیریتی: بررسی می‌شود که چه حساب‌هایی عضو گروه‌هایی مانند Enterprise Admins و Schema Admins هستند. برای نمونه خالی بودن این گروه‌ها در حالت عادی و اضافه کردن حساب‌ها فقط هنگام نیاز، از موارد مورد توجه است.
- وضعیت حساب‌های مدیریتی: بررسی می‌شود که حساب‌های عضو گروه‌های مدیریتی تنظیمات امنیتی مورد نیاز را داشته باشند.
- فعال بودن Recycle Bin: یکی از مواردی که در گزارش بررسی می‌شود، فعال بودن Active Directory Recycle Bin است.
- محافظت از OUها: وضعیت تنظیم محافظت از OUها نیز در گزارش مورد توجه قرار می‌گیرد.
- سطح عملکرد Forest: حداقل سطح عملکرد مورد نیاز برای Forest نیز باید مطابق گزارش ابزار بررسی شود.
پس از اجرای اولیه PingCastle، باید مواردی که ریسک بیشتری ایجاد می‌کنند در اولویت اصلاح قرار بگیرند. نکته مهم این است که صرف اجرای ابزار و مشاهده گزارش به معنای برطرف شدن مشکلات نیست. مدیر شبکه باید مواردی را که باعث افزایش ریسک شده‌اند بررسی و اصلاح کند و سپس با اجرای مجدد ابزار، وضعیت را دوباره ارزیابی کند.
مانیتورینگ و Auditing در اکتیو دایرکتوری؛ چگونه فعالیت‌های مشکوک را شناسایی کنیم؟
هاردنینگ و اعمال تنظیمات امنیتی به‌تنهایی برای افزایش امنیت اکتیو دایرکتوری کافی نیست؛ بلکه سازمان باید بتواند فعالیت‌های انجام‌شده در شبکه را مشاهده و بررسی کند. این موضوع با مفاهیمی مانند Monitoring، Auditing و Telemetry ارتباط دارد.
در فرایند شناسایی حملات، مهاجم ممکن است ابتدا شبکه را شناسایی کند و سپس به سراغ جمع‌آوری جزئیات بیشتر برود. برای مثال در مرحله شناسایی (Reconnaissance) اطلاعات اولیه‌ای مانند تعداد Forestها و دامین‌ها، آدرس IP دامین کنترلرها و سطح عملکرد آنها بررسی می‌شود. در مرحله بعد مهاجم ممکن است به دنبال شناسایی اعضای گروه‌های مدیریتی و دسترسی‌های موجود باشد که به آن Enumeration گفته می‌شود.
دسترسی پیش‌فرض گروه Authenticated Users به اطلاعات قابل خواندن در دامین است. به همین دلیل در برخی سازمان‌ها امکان جلوگیری کامل از شناسایی و جمع‌آوری اطلاعات وجود ندارد و باید به شناسایی فعالیت‌های مشکوک توجه کرد. موارد زیر در این رابطه بسیار اهمیت دارند:
استفاده از آبجکت‌های فریبنده برای شناسایی فعالیت مشکوک
یکی از روش‌هایی که برای شناسایی فعالیت‌های شناسایی و Enumeration مطرح است، استفاده از آبجکت‌های فریبنده یا Decoy است. این آبجکت‌ها در محیط اکتیو دایرکتوری ایجاد می‌شوند و ظاهری مشابه آبجکت‌های عادی دارند؛ اما نباید توسط کاربران یا سیستم‌های مجاز مورد استفاده قرار بگیرند.
اگر یک آبجکت فریبنده توسط فرد یا ابزاری مورد بررسی قرار بگیرد، می‌توان از طریق رویداد ثبت‌شده در سیستم متوجه این فعالیت شد. در واقع این روش به سازمان کمک می‌کند تشخیص دهد که احتمالاً اکتیو دایرکتوری در حال اسکن شدن است.
جمع‌آوری و تحلیل لاگ‌ها و ترافیک شبکه
اهمیت Telemetry و مشاهده‌پذیری (Visibility) در شبکه بسیار مهم است. برای شناسایی فعالیت‌های مشکوک، فقط ثبت لاگ‌ها کافی نیست؛ بلکه باید ترافیک شبکه نیز مورد بررسی قرار بگیرد. بر همین اساس لاگ‌ها و اطلاعات مربوط به ترافیک شبکه باید جمع‌آوری و تحلیل شوند. سپس بر اساس سناریوهای تعریف شده، فعالیت‌هایی که می‌توانند نشانه حمله باشند شناسایی می‌شوند و برای آنها هشدار صادر می‌شود.
یکی از منابع غنی ثبت لاگ در ویندوز، ETW است. همچنین Sysmon از ابزارهای کاربردی در این زمینه است که در محیط‌های مختلف مورد استفاده قرار می‌گیرند. برای اطمینان از عملکرد روش‌های شناسایی، باید سناریوهای حمله شبیه‌سازی شوند. به این ترتیب می‌توان بررسی کرد که آیا سازوکارهای تشخیص و هشدار واقعاً قادر به شناسایی فعالیت مورد نظر هستند یا خیر.
آنچه درباره افزایش امنیت اکتیو دایرکتوری گفتیم
افزایش امنیت اکتیو دایرکتوری به مجموعه‌ای از اقدامات مرتبط با مدیریت حساب‌های کاربری، کنترل دسترسی‌های مدیریتی، اعمال سیاست‌های امنیتی و پایش مداوم زیرساخت نیاز دارد. در این مقاله اقداماتی مانند مدیریت عضویت در گروه‌های حساس، استفاده از Protected Users، تنظیم Password Policy و PSO، محدود کردن ورود کاربران، استفاده از LAPS و ارزیابی وضعیت امنیتی با PingCastle را برای دستیابی به این هدف به شما معرفی کردیم. در کنار این اقدامات، مانیتورینگ و Auditing نیز اهمیت دارد؛ زیرا سازمان باید بتواند فعالیت‌های مشکوک را شناسایی کند و از طریق تحلیل لاگ‌ها و ترافیک شبکه، دید مناسبی نسبت به وضعیت امنیتی Active Directory داشته باشد.
شما می‌توانید اجرای این اقدامات را به دست متخصصین حرفه‌ای فالنیک بسپارید و با استفاده از خدمات امنیت شبکه ما به بالاترین سطح امنیت اکتیو دایرکتوری در شبکه سازمان خود دست پیدا کنید.
