BloodHound w audycie Active Directory – analiza ścieżek ataku i zależności uprawnień
BloodHound w audycie Active Directory – analiza ścieżek ataku i zależności uprawnień
Active Directory jest jednym z najważniejszych elementów infrastruktury Windows. Odpowiada za zarządzanie:
- użytkownikami,
- komputerami,
- grupami,
- uprawnieniami,
- dostępem do zasobów.
W małych środowiskach administrator często jest w stanie kontrolować zależności ręcznie.
Problem zaczyna się w dużych organizacjach.
Kilka tysięcy użytkowników, setki grup, dziesiątki serwerów i wiele wyjątków konfiguracyjnych powodują, że klasyczny audyt uprawnień staje się bardzo trudny.
I właśnie tutaj pojawia się:
BloodHound.
To narzędzie pozwalające analizować strukturę Active Directory poprzez przedstawienie jej jako grafu zależności.
Nie pokazuje tylko:
kto jest administratorem?
Pokazuje znacznie ważniejsze pytanie:
jaką drogą zwykłe konto użytkownika może dojść do pełnej kontroli domeny?
Czym jest BloodHound?
BloodHound to narzędzie do analizy relacji i uprawnień w środowiskach Active Directory.
Jego głównym zadaniem jest wykrywanie:
- ukrytych zależności,
- nadmiernych uprawnień,
- ścieżek eskalacji,
- błędnych konfiguracji.
Active Directory jest strukturą opartą na zależnościach:
Przykład:
Użytkownik
↓
Grupa
↓
Serwer
↓
Administrator lokalny
↓
Domain Admin
Na pierwszy rzut oka pojedyncze uprawnienie może wyglądać niegroźnie.
Jednak po połączeniu wielu elementów może powstać ścieżka przejęcia domeny.
Dlaczego klasyczny audyt Active Directory często nie wystarcza?
Administrator może sprawdzić:
- członków Domain Admins,
- listę administratorów,
- podstawowe GPO.
Problem:
zagrożenia często znajdują się kilka poziomów głębiej.
Przykład:
Użytkownik:
jan.nowak
nie jest administratorem.
Jednak:
jan.nowak
↓
MemberOf
↓
Helpdesk
↓
GenericAll
↓
Serwer aplikacji
↓
Local Admin
↓
Credential Exposure
↓
Domain Admin
Ręczne znalezienie takiej zależności może być bardzo trudne.
BloodHound automatyzuje tę analizę.
Jak działa BloodHound?
BloodHound składa się z kilku elementów.
Najważniejsze:
Collector
Komponent zbierający informacje z domeny.
Pobiera między innymi:
- użytkowników,
- grupy,
- komputery,
- sesje,
- uprawnienia,
- relacje Kerberos,
- delegacje.
Baza grafowa
BloodHound wykorzystuje model grafowy.
Elementy Active Directory stają się węzłami:
User
Computer
Group
Domain
GPO
Relacje są krawędziami:
MemberOf
AdminTo
HasSession
GenericAll
Owns
Interfejs analityczny
Administrator może zadawać pytania:
Przykład:
Czy konto użytkownika może zostać administratorem domeny?
albo:
Które konta mają ścieżkę do Domain Admins?
BloodHound jako mapa Active Directory
Największa wartość BloodHound polega na wizualizacji.
Zamiast tysięcy wpisów:
User
Group
Computer
Permission
otrzymujemy:
[User]
↓
[Group]
↓
[Server]
↓
[Admin Rights]
↓
[Domain Admin]
Administrator widzi rzeczywiste zależności.
Najważniejsze relacje analizowane przez BloodHound
MemberOf
Pokazuje członkostwo w grupach.
Przykład:
Jan
↓
IT Admins
↓
Server Admins
AdminTo
Pokazuje możliwość administracji komputerem.
Przykład:
Administrator
↓
SERVER01
HasSession
Pokazuje aktywne sesje użytkowników.
Przykład:
Domain Admin
↓
Laptop użytkownika
To bardzo ważna informacja.
Jeżeli konto Domain Admin loguje się na zwykłe komputery:
ryzyko kradzieży poświadczeń rośnie.
GenericAll
Jedno z najbardziej niebezpiecznych uprawnień.
Oznacza praktycznie pełną kontrolę nad obiektem.
Przykład:
User A
↓
GenericAll
↓
User B
WriteDACL
Pozwala zmieniać uprawnienia obiektu.
Może prowadzić do eskalacji:
WriteDACL
↓
Dodanie uprawnień
↓
Administrator
BloodHound a konta uprzywilejowane
Jednym z najlepszych zastosowań jest analiza:
Tier 0.
Czyli:
- Domain Admins,
- Enterprise Admins,
- kontrolery domeny,
- konta krbtgt.
Przykład pytania:
Kto może pośrednio uzyskać dostęp do Domain Admins?
Praktyczny przykład audytu
Firma posiada:
500 użytkowników
100 komputerów
20 serwerów
Administrator uważa:
„Domain Admins są dobrze zabezpieczeni.”
Analiza BloodHound pokazuje:
Zwykły użytkownik
↓
Grupa Helpdesk
↓
GenericAll na serwerze
↓
Administrator lokalny
↓
Kradzież sesji
↓
Domain Admin
Problem nie był w grupie Domain Admins.
Problem był w ścieżce prowadzącej do niej.
TIP administratora: najważniejsza jest analiza ścieżek, nie pojedynczych uprawnień
Częsty błąd podczas audytu:
„Ten użytkownik nie jest administratorem, więc jest bezpieczny.”
W Active Directory liczy się:
łańcuch zależności.
Pojedyncze niewielkie uprawnienie może w połączeniu z innymi stworzyć pełną drogę ataku.
BloodHound i Kerberos
BloodHound analizuje również elementy związane z Kerberos.
Może pomóc wykrywać:
- konta ze SPN,
- potencjalne cele Kerberoasting,
- delegacje Kerberos,
- błędne konfiguracje.
Przykłady:
Unconstrained Delegation
Constrained Delegation
Resource Based Constrained Delegation
BloodHound i delegowanie uprawnień
Jednym z częstych problemów Active Directory jest zbyt szeroka delegacja.
Przykład:
Administrator nadaje grupie:
Helpdesk
prawo:
Reset Password
ale przez błędną konfigurację:
Helpdesk może zmienić hasło konta administracyjnego.
BloodHound może wskazać taką zależność.
BloodHound w rękach administratora bezpieczeństwa
Narzędzie może być używane defensywnie do:
- audytu domeny,
- hardeningu,
- przygotowania raportów,
- wykrywania ryzyka.
Typowe pytania:
- Kto ma dostęp do Domain Admins?
- Które komputery mają sesje administratorów?
- Czy istnieją niebezpieczne delegacje?
- Czy konta usługowe mają za duże prawa?
- Czy możliwy jest ruch boczny?
TIP: wykonuj audyt BloodHound po większych zmianach AD
Warto uruchomić analizę po:
- migracji domeny,
- zmianach grup,
- wdrożeniu nowych aplikacji,
- dodaniu serwerów,
- zmianach GPO.
Środowisko Active Directory cały czas się zmienia.
Uprawnienia dodane „na chwilę” często pozostają przez lata.
Najczęstsze problemy wykrywane przez BloodHound
Nadmierne członkostwo w grupach
Przykład:
200 użytkowników
↓
Domain Admins
Stare konta administracyjne
Konta:
- byłych pracowników,
- testowe,
- techniczne.
Niebezpieczne sesje administratorów
Przykład:
Domain Admin
↓
Komputer użytkownika
Nieprawidłowe delegacje Kerberos
Przykłady:
- Unconstrained Delegation,
- błędne SPN.
Konta usługowe z dużymi uprawnieniami
Przykład:
svc_backup
↓
Domain Admin
BloodHound nie zastępuje zabezpieczeń
Warto pamiętać:
BloodHound nie naprawia problemów.
Nie:
- zmienia uprawnień,
- blokuje kont,
- konfiguruje GPO.
Jego zadaniem jest:
pokazać rzeczywisty model ryzyka.
Active Directory jako graf zależności
Największa wartość BloodHound wynika ze zmiany sposobu myślenia.
Tradycyjne podejście:
Kto jest administratorem?
Podejście grafowe:
Jak można zostać administratorem?
To ogromna różnica.
Podsumowanie
BloodHound jest jednym z najważniejszych narzędzi do analizy bezpieczeństwa Active Directory.
Jego siła nie polega na sprawdzaniu pojedynczych ustawień, ale na analizowaniu całego środowiska jako sieci zależności.
Pomaga wykrywać:
- ukryte ścieżki eskalacji,
- nadmierne uprawnienia,
- ryzyko ruchu bocznego,
- problemy z delegacją.
W dojrzałej organizacji Active Directory powinno być regularnie analizowane nie tylko pod kątem tego:
kto ma dostęp,
ale przede wszystkim:
kto może uzyskać dostęp i jaką drogą.
BloodHound pozwala zobaczyć właśnie te ścieżki, które często pozostają niewidoczne podczas klasycznej administracji Windows.
Trojany to złośliwe oprogramowanie, które jest jednym z najgroźniejszych rodzajów ataków cybernetycznych. W tym artykule przyjrzymy się bliżej temu, czym Czytaj dalej
Zarządzanie wydajnością SQL Server na Windows Server – Optymalizacja i Najlepsze Praktyki Windows Server to jeden z najczęściej wybieranych systemów Czytaj dalej
