Red Team · 7 мин чтения · Учебная команда Log Academy
Безопасность Active Directory: ошибки конфигурации, которые ведут к правам администратора домена
Безопасность Active Directory — прежде всего вопрос конфигурации. Большинство путей к правам администратора домена открывает не эксплойт, а слабые пароли, лишние участники привилегированных групп, слишком широкие ACL, сервисные учётные записи со слабыми паролями и устаревшие протоколы. Защитники закрывают эти бреши аудитом, мониторингом журналов событий и многоуровневой моделью администрирования.
- Компрометация домена обычно складывается не из одной ошибки, а из нескольких мелких ошибок конфигурации, связанных в цепочку.
- Чем меньше участников в привилегированных группах (Domain Admins, Enterprise Admins), тем меньше поверхность атаки.
- У сервисных учётных записей с SPN не должно быть слабых паролей; где возможно, используйте gMSA.
- События 4624, 4625, 4662 и 4769 при правильной политике аудита дают в SIEM ценные сигналы.
- Многоуровневая модель администрирования не позволяет использовать привилегированные учётные записи на обычных рабочих станциях.
- Атакующее тестирование AD проводится только с письменного разрешения или в изолированной лаборатории.
Почему Active Directory — главная цель атакующих?
Active Directory (AD) — центральный каталог, который определяет, кто есть кто в организации и к чему у кого есть доступ. Отсюда управляются пользователи, компьютеры, группы и групповые политики. Поэтому полный контроль над контроллером домена на практике означает контроль над всей сетью.
Такой контроль редко достигается через одну критическую уязвимость. Гораздо чаще картина другая: мелкие ошибки, накопленные за годы, связываются между собой и прокладывают путь от обычной учётной записи до администратора домена. Безопасность Active Directory как раз и состоит в том, чтобы вовремя увидеть и разорвать такие пути. Поэтому для команд кибербезопасности AD — один из важнейших объектов защиты.
Какие ошибки конфигурации повышают риск захвата домена?
Ниже — пять групп проблем, которые чаще всего встречаются при проверках AD. По отдельности каждая может казаться мелочью, но вместе они создают серьёзный риск.
- Слабые и повторно используемые пароли: если пароль одной учётной записи раскрыт, он может подойти и к другим. Сюда же относится одинаковый пароль локального администратора на всех компьютерах.
- Лишние участники привилегированных групп: каждая учётная запись в Domain Admins, Enterprise Admins и Administrators расширяет поверхность атаки. Особенно опасны забытые членства, оставшиеся от старых проектов.
- Слишком широкие ACL и делегирование: если право сбрасывать пароль объекта или добавлять участников в группу выдано не той группе, это открывает скрытый путь повышения привилегий. По той же причине рискованно неограниченное делегирование (unconstrained delegation).
- Сервисные учётные записи со слабыми паролями и SPN: для учётной записи с зарегистрированным Service Principal Name любой пользователь домена может запросить сервисный билет. Если пароль слабый, его можно подобрать офлайн — в MITRE ATT&CK эта техника описана как Kerberoasting (T1558.003).
- Устаревшие протоколы: NTLMv1, SMBv1, LDAP без подписи и шифрование RC4 в Kerberos ослабляют современные механизмы защиты и упрощают перехват учётных данных.
Внимание
Эта статья написана с позиции защиты: цель — распознать слабые места и закрыть их. Атакующее тестирование Active Directory проводится только с письменного разрешения владельца системы, в согласованных рамках или в изолированной лаборатории. Тестирование без разрешения незаконно и может нарушить работу сервисов в продуктивной среде.
Какие события Windows должен отслеживать защитник?
Журнал безопасности Windows довольно подробно фиксирует активность в AD — при условии, что политика аудита настроена правильно. Эти события, переданные в SIEM, — основной источник данных для защитника.
- 4624 — успешный вход. Показывает тип входа, исходный компьютер и пакет аутентификации (Kerberos или NTLM). Вход привилегированной учётной записи с неожиданного хоста требует внимания.
- 4625 — неудачный вход. Много неудачных попыток для одной учётной записи за короткое время или попытки из одного источника по многим учётным записям могут указывать на подбор паролей.
- 4662 — операция с объектом AD. Если на объекте настроен аудит (SACL), событие фиксирует обращения к чувствительным атрибутам и правам репликации. Запрос репликации с хоста, который не является контроллером домена, — серьёзный сигнал.
- 4769 — запрос сервисного билета Kerberos. Показывает, какая учётная запись получила билет к какой службе и с каким типом шифрования. Запросы к множеству служб с одной учётной записи за короткое время или запросы с устаревшим шифрованием RC4 могут быть аномалией.
- 4728, 4732 и 4756 — добавление участника в группу безопасности. Каждое добавление в привилегированную группу должно сразу порождать алерт.
Одно событие редко доказывает атаку. Ценность — в корреляции: например, серия неудачных входов, затем успешный вход и следом добавление в привилегированную группу читаются как единая цепочка. Правило обнаружения, которое видит такие цепочки, намного полезнее разрозненных алертов.
Как обнаружить и исправить ошибки конфигурации?
| Ошибка конфигурации | Чем опасна | Что отслеживать | Как исправить |
|---|---|---|---|
| Слабые и повторяющиеся пароли | Один пароль открывает несколько учётных записей | Серии 4625, 4624 из необычного источника | Строгая парольная политика, MFA, уникальные пароли локальных администраторов через LAPS |
| Лишние участники привилегированных групп | Каждая лишняя учётная запись — прямой путь к домену | 4728, 4732, 4756 — добавление в группу | Минимальное членство, регулярный пересмотр групп, отдельные админские учётные записи |
| Широкие ACL и делегирование | Незаметный путь повышения привилегий | 4662 и 5136 — изменения объектов и разрешений | Аудит ACL, отказ от неограниченного делегирования |
| Слабые сервисные учётные записи с SPN | Пароль можно подобрать офлайн | 4769 — аномальные запросы билетов, шифрование RC4 | gMSA или длинный уникальный пароль, шифрование AES, минимальные права |
| Устаревшие протоколы | Упрощается перехват учётных данных | Пакет NTLM в 4624, 4776 — проверка NTLM | Отключение NTLMv1 и SMBv1, подпись LDAP и SMB |
Ни одно из этих исправлений не требует нового продукта — большинство делается штатными средствами Windows Server и групповыми политиками. Сложность в дисциплине: документировать изменение, проверять его в тестовой среде и внедрять поэтапно. Прежде чем отключать устаревший протокол, выясните по журналам, какие системы им ещё пользуются.
Как помогают многоуровневая модель и принцип наименьших привилегий?
В многоуровневой (tiered) модели администрирования инфраструктура делится на три уровня: Tier 0 — контроллеры домена и учётные записи, управляющие AD, Tier 1 — серверы и приложения, Tier 2 — рабочие станции пользователей. Главное правило простое: учётная запись верхнего уровня не входит на машины нижнего уровня. Тогда компрометация обычной рабочей станции не раскрывает привилегированные учётные данные.
Принцип наименьших привилегий требует давать каждой учётной записи только те права, которые нужны для её работы. На практике это означает раздельные повседневные и привилегированные учётные записи у администраторов, добавление привилегированных учётных записей в группу Protected Users, запрет интерактивного входа для сервисных учётных записей и отдельные защищённые рабочие станции для администрирования.
Для сервисных учётных записей самый надёжный вариант — групповые управляемые сервисные учётные записи (gMSA): пароль создаёт сама система, хранит его длинным и случайным и меняет автоматически. Если gMSA невозможна, минимальное требование — длинный уникальный пароль и обязательное шифрование AES.
Зачем нужна регулярная оценка безопасности AD?
AD не статичен: каждый новый проект, кадровое изменение и поспешно выданное разрешение меняют конфигурацию. Поэтому разового аудита недостаточно. Регулярная оценка проверяет членство в привилегированных группах, ACL, учётные записи с SPN, параметры делегирования и использование устаревших протоколов.
Помимо внутреннего аудита, санкционированный пентест измеряет реальную эффективность защиты: показывает, какой путь всё ещё открыт и какая активность не видна в SIEM. С точки зрения кибербезопасности самый полезный результат — не список найденных брешей, а план устранения для каждой из них.
Как мы это делаем в нашей лаборатории
В программе Red Team в Log Academy Active Directory проходит отдельным модулем: Kerberoasting, злоупотребление ACL и маршруты повышения привилегий изучаются только в закрытой лаборатории, в индивидуальной виртуальной среде каждого студента. Ключевой принцип двусторонний — студент выстраивает сценарий в лаборатории, а затем обнаруживает ту же активность в своём SIEM и видит, какие события при этом появляются. Модуль завершается отчётом с уровнем риска, масштабом воздействия и шагами по устранению.
Частые вопросы
- С чего начать укрепление безопасности Active Directory?
- С проверки членства в привилегированных группах. Выясните, кто состоит в Domain Admins и подобных группах, зачем и используется ли учётная запись до сих пор. Это даёт заметное снижение риска при небольших усилиях.
- Как обнаружить Kerberoasting?
- Основной источник — событие 4769. Подозрительны запросы билетов к множеству служб с одной учётной записи за короткое время и запросы с устаревшим шифрованием RC4. А самая эффективная защита — gMSA или длинные уникальные пароли для сервисных учётных записей.
- Что такое gMSA и почему её рекомендуют?
- У групповой управляемой сервисной учётной записи (gMSA) пароль создаёт и автоматически меняет сама Windows. Человек этот пароль не знает, поэтому проблема слабых или годами не меняющихся паролей исчезает.
- Законен ли пентест Active Directory?
- Только при наличии письменного разрешения владельца системы и согласованных рамок. Для обучения используется изолированная лаборатория — тестирование реальной корпоративной сети без разрешения незаконно.
- Какая подготовка нужна, чтобы изучать эту тему?
- Помогут основы Windows и сетей, а также опыт анализа логов. Программа Red Team в Log Academy рассчитана на средний уровень, длится 6 месяцев и предназначена для тех, у кого есть опыт Blue Team или работы с сетями. Подходящий уровень можно подобрать на бесплатной консультации; первое занятие бесплатно.