Active Directory təhlükəsizliyi: domen adminə aparan səhv konfiqurasiyalar

Active Directory niyə hücumçuların əsas hədəfidir?

Active Directory (AD) təşkilatda kimin kim olduğunu və nəyə çıxışı olduğunu müəyyən edən mərkəzi kataloqdur. İstifadəçilər, kompüterlər, qruplar və qrup siyasətləri buradan idarə olunur. Ona görə domen nəzarətçisi (domain controller) üzərində tam nəzarət praktikada bütün şəbəkə üzərində nəzarət deməkdir.

Bu nəzarət nadir hallarda tək bir kritik zəiflikdən gəlir. Daha tez-tez rast gəlinən mənzərə budur: illər ərzində yığılmış kiçik səhvlər bir-birinə bağlanır və adi istifadəçi hesabından domen admin səviyyəsinə uzanan yol yaradır. Active Directory təhlükəsizliyi də məhz bu yolları vaxtında görmək və qırmaqdan ibarətdir. Kiber təhlükəsizlik komandaları üçün AD ona görə ən vacib müdafiə obyektlərindən biridir.

Hansı səhv konfiqurasiyalar domen admin riskini artırır?

Aşağıdakı beş qrup AD yoxlamalarında ən çox qarşılaşılan problemlərdir. Hər biri ayrılıqda kiçik görünə bilər, amma birlikdə ciddi risk yaradır.

• Zəif və təkrar istifadə olunan parollar: bir hesabın parolu tapılarsa, eyni parol başqa hesablarda da işləyə bilər. Yerli administrator parolunun bütün kompüterlərdə eyni olması da bu qəbildəndir.
• İmtiyazlı qruplarda artıq üzvlər: Domain Admins, Enterprise Admins və Administrators qruplarına əlavə olunan hər hesab hücum səthini genişləndirir. Köhnə layihələrdən qalıb unudulan üzvlüklər xüsusilə təhlükəlidir.
• Həddən geniş ACL icazələri və nümayəndəlik (delegation): obyekt üzərində parolu sıfırlamaq və ya qrupa üzv əlavə etmək hüququ yanlış qrupa verilibsə, bu, gizli imtiyaz yüksəltmə yolu açır. Məhdudiyyətsiz nümayəndəlik (unconstrained delegation) də eyni səbəbdən risklidir.
• Zəif parollu xidmət hesabları və SPN: Service Principal Name qeydiyyatlı hesab üçün istənilən domen istifadəçisi xidmət bileti tələb edə bilər. Parol zəifdirsə, onu oflayn təxmin etmək mümkündür — MITRE ATT&CK bu texnikanı Kerberoasting (T1558.003) adı ilə təsvir edir.
• Köhnə protokollar: NTLMv1, SMBv1, imzasız LDAP və Kerberos-da RC4 şifrələməsi müasir qorumaları zəiflədir və etimadnamələrin ələ keçirilməsini asanlaşdırır.

Müdafiəçi hansı hadisə ID-lərini izləməlidir?

Windows təhlükəsizlik jurnalı AD-dəki fəaliyyəti kifayət qədər ətraflı qeyd edir — şərtlə ki, audit siyasəti düzgün qurulsun. SIEM-ə yönləndirilən bu hadisələr müdafiəçinin əsas məlumat mənbəyidir.

• 4624 — uğurlu giriş. Giriş növünü, mənbə kompüteri və autentifikasiya paketini (Kerberos və ya NTLM) göstərir. İmtiyazlı hesabın gözlənilməz hostdan girişi diqqət tələb edir.
• 4625 — uğursuz giriş. Bir hesaba qısa müddətdə çoxlu uğursuz cəhd və ya bir mənbədən çoxlu hesaba cəhd parol təxmininin əlaməti ola bilər.
• 4662 — AD obyekti üzərində əməliyyat. Obyektdə audit (SACL) qurulubsa, həssas atributlara və replikasiya hüquqlarına müraciəti qeyd edir. Domen nəzarətçisi olmayan hostdan replikasiya sorğusu ciddi siqnaldır.
• 4769 — Kerberos xidmət bileti tələbi. Hansı hesabın hansı xidmət üçün bilet aldığını və biletin şifrələmə növünü göstərir. Bir hesabdan qısa müddətdə çoxlu xidmətə tələb və ya köhnə RC4 şifrələməsi ilə tələblər anomaliya ola bilər.
• 4728, 4732 və 4756 — təhlükəsizlik qrupuna üzv əlavə olunması. İmtiyazlı qruplara hər əlavə dərhal alert yaratmalıdır.

Tək bir hadisə nadir hallarda hücumu sübut edir. Dəyər korrelyasiyadadır: məsələn, uğursuz girişlər seriyası, ardınca uğurlu giriş və sonra imtiyazlı qrupa üzv əlavəsi bir zəncir kimi oxunur. Belə zəncirləri görən aşkarlama qaydası ayrı-ayrı alertlərdən qat-qat faydalıdır.

Səhv konfiqurasiyaları necə aşkarlamaq və düzəltmək olar?

Cədvəldəki düzəlişlərin heç biri yeni məhsul tələb etmir — çoxu mövcud Windows Server imkanları və qrup siyasəti ilə edilir. Çətin olan intizamdır: dəyişikliyi sənədləşdirmək, sınaq mühitində yoxlamaq və mərhələli tətbiq etmək. Köhnə protokolu söndürməzdən əvvəl ondan hansı sistemlərin hələ istifadə etdiyini jurnallardan müəyyən edin.

Pilləli admin modeli və ən az imtiyaz prinsipi necə kömək edir?

Pilləli (tiered) admin modelində infrastruktur üç səviyyəyə bölünür: Tier 0 — domen nəzarətçiləri və AD-ni idarə edən hesablar, Tier 1 — serverlər və tətbiqlər, Tier 2 — istifadəçi iş stansiyaları. Əsas qayda sadədir: yuxarı pillənin hesabı aşağı pillədəki maşına daxil olmur. Belə olduqda adi iş stansiyasının ələ keçirilməsi imtiyazlı etimadnamələri ifşa etmir.

Ən az imtiyaz prinsipi hər hesaba yalnız işi üçün lazım olan hüququ verməyi tələb edir. Praktikada bu, administratorlar üçün gündəlik və imtiyazlı hesabların ayrılması, imtiyazlı hesabların Protected Users qrupuna əlavəsi, xidmət hesablarına interaktiv giriş qadağası və idarəetmə üçün ayrıca qorunan iş stansiyalarının istifadəsi deməkdir.

Xidmət hesabları üçün ən etibarlı yol qrup idarəli xidmət hesablarıdır (gMSA): parolu sistem özü yaradır, uzun və təsadüfi saxlayır və avtomatik dəyişir. gMSA mümkün deyilsə, uzun unikal parol və AES şifrələməsinin məcburi edilməsi minimum tələbdir.

Müntəzəm AD təhlükəsizlik qiymətləndirməsi niyə lazımdır?

AD statik deyil: hər yeni layihə, kadr dəyişikliyi və tələsik verilmiş icazə konfiqurasiyanı dəyişir. Ona görə bir dəfəlik audit kifayət etmir. Müntəzəm qiymətləndirmə imtiyazlı qrupların üzvlüyünü, ACL-ləri, SPN-li hesabları, nümayəndəlik parametrlərini və köhnə protokolların istifadəsini yoxlayır.

Daxili audit ilə yanaşı, icazəli sızma testi (pentest) müdafiənin real effektivliyini ölçür: hansı yolun hələ açıq qaldığını və hansı fəaliyyətin SIEM-də görünmədiyini üzə çıxarır. Kibertəhlükəsizlik baxımından ən faydalı nəticə tapılan boşluqların siyahısı deyil, hər biri üçün yazılmış remediasiya planıdır.