Praha ročník největší odborné IT konference v ČR! Ondřej Ševeček MCM:Directory | MVP:Security | CEH | sevecek.com Co by skutečný hacker udělal vaší Active Directory

O čem bude řeč?  Nejdřív musí zjistit něco o vaší síti –anonymní LDAP čtení –ověřené LDAP čtení  Potom se musí stát domain adminem –hardware keylogger –nezašifrovaný LDAP simple bind –Kerberos delegation with protocol transition –fyzický přístup k DC a usnadnění –hekněte si forest ze subdomény  A nakonec chce v síti zůstat na vždy –neviditelné naplánované úlohy –"originální" MS root autorita

Scan všech DC  PORTQRY -n IP.IP.IP.IP -e 389  LDP

Anonymní LDAP čtení  Výchozí, pokud první DC bylo Windows 2003 a starší  Celoforestové zapínátko –dsHeuristics ~  Pre-Windows 2000 Compatible Access –obsahuje Anonymous Logon  nebo někdě uvnitř LDAPu je přímo použito Anonymous Logon

Ověřené LDAP čtení  Každý vidí skoro všechno

Hardware keylogger  Toho si opravdu nevšimnete  Používejte čipové karty

LDAP simple bind  Basic autentizace  Využívá ji mnoho zařízení a aplikací –NAS –hardware routery, switche, VPN gateway –VMWare konzole  Pokud nemáte TLS tak to lítá nezašifrované  Odposlech pomocí ARP poisoningu –na stejné VLAN

Kerberos delegation Client App Server DB LDAP FS Kamil

Neeebezpečná delegace  Když to zapnete špatně, budou se dít divy  Any authentication protocol –Kerberos protocol transition –umožňuje přihlašovat uživatele bez znalosti jejich hesla

Usnadnění  Nešifrujete DC?  Šifrujte je!

Forest je "security boundary"  Všechna DC si vzájemně věří  Všechna DC replikují Configuration oddíl  Uvnitř forestu není SID filtering  Není cesta, jak zabránit členovi Domain Admins ze subdomény, aby se stal členem Enterprise Admins v root doméně a pánem celého forestu

Kontrola "co se spouští"  SysInternals Process Explorer  NOD32 System Inspector

Naplánované úlohy pomocí WMI  SELECT * FROM __InstanceModificationEvent WHERE TargetInstance ISA 'Win32_LocalTime' AND TargetInstance. = 5  Second, Minute, Hour, DayOfWeek, Month, Quarter, Year, WeekInMonth

Důvěra je důvěra  Něčemu prostě musím věřit  Co když si to digitálně podepíšu vlastní důvěryhodnou CA?

MS certifikační autorita a podpis  CA –CN=Microsoft Root Authority,OU=Microsoft Corporation,OU=Copyright (c) 1997 Microsoft Corp.  Issuer –CN=Microsoft Corporation,OU=MOPR,O=Microsoft Corporation,L=Redmond,S=Washington,C=US

AD CS configuration  Delší platnost vydávaných certifikátů –CERTUTIL -setreg CA\ValidityPeriodUnits 5  Vynechat jméno certifikační šablony z vydaných certifikátů –CERTUTIL -setreg policy\DisableExtensionList  Nedávat CRL do vydávaných certifikátů –certutil -setreg DBFlags +DBFLAGS_ENABLEVOLATILEREQUESTS

Související kurzy  GOC171 - Active Directory Troubleshooting  GOC172 - Kerberos Troubleshooting  GOC173 - PKI Deployment