Nos estamos preparando para un escenario en el que una de las cuentas de un dominio se ve comprometida: ¿qué hacer a continuación?
Deshabilitar la cuenta sería mi primera respuesta, pero tuvimos pentesters aquí hace unas semanas y pudieron usar inicios de sesión hash de un usuario administrador que se fue hace un par de meses.
Nuestras dos respuestas hasta ahora son:
- Elimine la cuenta y vuelva a crearla (crea un nuevo SID pero también más drama para el usuario y trabaja para nosotros)
- Cambie la contraseña al menos 3 veces y desactive la cuenta
¿Cuál sería su método o qué recomendaría?
active-directory
security
JurajB
fuente
fuente
Respuestas:
Si solo se compromete una cuenta de usuario estándar, cambiar la contraseña una vez y dejar la cuenta habilitada debería estar bien. Un hash no funcionará una vez que la contraseña haya cambiado. Tampoco funcionará si la cuenta está deshabilitada. Como probador de la pluma, me pregunto si los probadores de la pluma estaban usando boletos Kerberos. En ciertas circunstancias, esto puede seguir funcionando si se cambia una contraseña, o si se deshabilita una cuenta O incluso se elimina (vea los enlaces para la mitigación).
Si una cuenta de administrador de dominio se ha visto comprometida, entonces, literalmente, se acabó el juego. Debe poner su dominio fuera de línea y cambiar CADA contraseña. Además, la contraseña de la cuenta krbtgt debería cambiarse dos veces; de lo contrario, los atacantes aún podrán emitir tickets Kerberos válidos con la información que han robado. Una vez que haya hecho todo eso, puede volver a poner su dominio en línea.
Implemente una política de bloqueo de cuenta para que no se puedan adivinar las contraseñas modificadas. No cambie el nombre de sus cuentas. Los atacantes pueden fácilmente encontrar los nombres de inicio de sesión.
Otro punto importante es capacitar a sus usuarios. Probablemente hicieron algo imprudente que significó que la cuenta se comprometió. Es posible que el atacante ni siquiera conozca la contraseña, solo puede estar ejecutando procesos como esa cuenta. Por ejemplo, si abre un archivo adjunto de malware que le da acceso a un atacante a su máquina, se ejecutará como su cuenta. No saben tu contraseña. No pueden obtener su hash de contraseña, a menos que sea un administrador. No permita que los usuarios se ejecuten como administradores locales en sus estaciones de trabajo. ¡No permita que los administradores de dominio inicien sesión en estaciones de trabajo con derechos de administrador de dominio, nunca!
Enlaces para más información / mitigaciones:
https://blogs.microsoft.com/microsoftsecure/2015/02/11/krbtgt-account-password-reset-scripts-now-available-for-customers/
http://www.infosecisland.com/blogview/23758-A-Windows-Authentication-Flaw-Allows-DeletedDisabled-Accounts-to-Access-Corporate-Data.html
https://mva.microsoft.com/en-us/training-courses/how-to-avoid-golden-ticket-attacks-12134
fuente
You need to bring your domain offline. Eso puede funcionar para una oficina pequeña, pero es poco probable que una empresa grande pueda desconectar su dominio / bosque.Los hashes de credenciales robados no funcionan para las cuentas que están deshabilitadas, a menos que esté en una computadora que no esté conectada a la red. El proceso aún necesita solicitar un ticket o autenticarse con un controlador de dominio. No puedo hacer eso si la cuenta está deshabilitada.
Debe deshabilitar las cuentas administrativas de los ex empleados cuando se van.
fuente
Suponiendo una cuenta de usuario estándar, es posible que desee considerar:
Para el n. ° 4, ya tiene una política de grupo que hace lo siguiente:
Para una cuenta de administrador de dominio, toda su red es tostada.
fuente