如何保護 Active Directory 對抗勒索軟體攻擊
勒索軟體會從各種角度攻擊各種類型的企業，而 Active Directory 仍然是最常見的目標。透過修復這些關鍵的 AD 與群組政策錯誤設定來遏止權限提升。
勒索軟體打擊了全球各地各種類型的企業。但它也有很大幅的改變。它會從幾乎各種角度進入企業，包括攻擊者會利用竊取而來的資料張貼在網際網路上，迫使受害者付出贖金。在大多數的案例中 (參見 SolarWinds 和 XingLocker)，Active Directory (AD) 都被當成目標，讓攻擊者在取得網域特殊權限後，得以輕易地散播勒索軟體。不過，也有一些方法能協助保護 Active Directory 避免勒索軟體成功得手。
我們可保護 Active Directory 當中的不同部份，如此可提高企業的整體安全性，並同時降低安全風險。尤其是能夠保障以下有關 AD 物件的設定。以下說明它的運作方式：
- 必須修正使用者屬性的錯誤設定
- 必須修正群組的錯誤設定
- 必須清理特殊權限群組
- 必須要有正確的 AD 流程設定 (例如：SDProp)
- 服務主體名稱 (SPN) 必須要受到保護 (如圖 1 所示)
- 信任關係必須正確且受到保護
- 必須清理使用者的 SidHistory 屬性
圖 1.具有 Service Principal Name (SPN) 的使用者帳戶
此外，保護 AD 本身和群組政策可確保攻擊者無法利用錯誤設定和提升權限可以達到的地方。以下說明它的運作方式：
- AD 信任關係必須經過驗證且受到保護 (如圖 2 所示)
- 必須清理 AD 的委派
- 必須清理群組政策的委派
- 群組政策結構元件必須受到保護
- 必須啟用由群組政策物件部署的安全設定
圖 2.合併與併購案可能會讓信任關係變得無人管理；此外，要求的信任關係也必須受到保障。
最後，攻擊者會想要獲得特殊權限。 一旦取得特殊權限，他們就會建立後門。因此，能夠偵測這些類型的 AD 攻擊就變得十分重要。以下是 AD 管理員和資安專業人員要中斷攻擊路徑時能夠採取的行動：
- 確保特殊權限群組成員資格受到監控
- 偵測 DCShadow 和 DCSync 攻attacks
- Golden Ticket 攻擊 (如圖 3 所示)
- 偵測橫向移動攻擊
- 偵測危險的 SIDHistory 和 PrimaryGroupID 設定
圖 3.Tenable.ad 能夠即時偵測 Active Directory 上的進階攻擊，且無需代理程式或特殊權限。
我們提供了可持續且自動分析與偵測 AD 安全與攻擊路徑的技術。想深入瞭解 Tenable.ad 如何提供協助，歡迎觀看此網路研討會：全新推出的 Tenable.ad：保障 Active Directory 的安全並中斷攻擊路徑
深入瞭解
Derek Melber
Derek Melber 是知名的技術講師、作者和顧問，他隨著 Alsid 併購案加入 Tenable。由於在群組政策、Active Directory、桌面管理及 Windows 安全性的深度知識，讓他 16 度獲得 Microsoft MVP 殊榮。身為一位公眾演說家與技術傳道士，他曾在 30 餘國教授許多 AD 管理員如何有效率且有效地保護 Active Directory 和 Azure AD 的安全。他曾出版各種教育性質的內容，包括書籍、文章和影片，以生動且淺顯易懂的風格揭開最複雜與最技術性的主題的神秘面紗。相關文章
Abusing Client-Side Extensions (CSE): A Backdoor into Your AD Environment
Crucial for applying Active Directory Group Policy Objects, client-side extensions (CSEs) are powerful but also present a significant, often overlooked, attack vector for persistent backdoors. Rather than cover well-documented common abuses of built-in CSEs, this article demonstrates how to create c...
How Identity Plays a Part in 5 Stages of a Cyber Attack
While credential abuse is a primary initial access vector, identity compromise plays a key role in most stages of a cyber attack. Here’s what you need to know — and how Tenable can help....
Identity Security Is the Missing Link To Combatting Advanced OT Threats
Sophisticated OT threats, like living-off-the-land (LotL) attacks, exploit identity vulnerabilities to infiltrate critical infrastructure. Find out how robust identity security and unified exposure management can help you detect, prioritize and mitigate risks across IT and OT environments....
- Active Directory
- Government
- Threat Management