Tim Beasley Senior Incident Response

Nicht jede gefährliche Gruppe in Active Directory wirkt auf den ersten Blick riskant.

Ich bin schon lange genug in den Bereichen incident response, identity forensics und Wiederherstellung nach Sicherheitsverletzungen tätig, um eine fortlaufende Liste von AD-Gruppen zu führen, die als „keine große Sache“ abgetan werden. Backup-Administratoren. Druck-Administratoren. Server-Administratoren. Diejenigen, um die sich niemand große Sorgen macht, weil sie keine Domänenadministratoren sind.

Warum sollte Sie das interessieren? Weil Angreifer keine „Domain Admin“-Berechtigungen benötigen . Was diese Gruppen betrifft, benötigen sie lediglich eine einzige, übersehene Gruppe mit den richtigen Berechtigungen – und niemanden, der diese im Auge behält.

Genau dieses Muster soll diese Serie durchbrechen.

In jedem Beitrag dieser Reihe werden wir uns eine ausgewählte AD-Sicherheitsgruppe genauer ansehen, und ich werde folgende Aspekte erläutern:

  • Die konkreten Rechte, die diese Gruppe hat
  • Die Risiken, die dadurch entstehen können
  • Wie Angreifer diese tatsächlich missbrauchen
  • Was Sie heute in Ihrer eigenen Umgebung überprüfen sollten

Am Ende dieser Serie werden Sie über eine echte Checkliste mit unauffälligen Gruppen verfügen, die einen zweiten Blick verdienen.

Lesen Sie diesen ersten Beitrag zum Thema „Backup-Operatoren“, und Sie erhalten eine konkrete Checkliste für die Prüfung und Überwachung, die Sie noch in dieser Woche umsetzen können. Kehren Sie anschließend zurück, um sich die nächste Gruppe auf der Liste anzusehen.

Lassen Sie uns eintauchen.


Welche Rechte haben Backup-Operatoren tatsächlich?

Dies ist eine jener Active-Directory-Gruppen, deren Name zwar langweilig klingt … die aber tatsächlich gefährlich ist.

Sicherheitsbeauftragte neigen dazu, dies auf die leichte Schulter zu nehmen, da es nicht so auffällig ist wie die Rolle „Domain-Administratoren“. Das ist ein Fehler. Im Hintergrund verfügt diese Rolle über Berechtigungen, die einen schwerwiegenden – und in den falschen Händen katastrophalen – Missbrauch ermöglichen können.

Mitglieder der Gruppe „Backup Operators“ verfügen über:

  • SeBackupPrivilege: Jede Datei auf dem System lesen, wobei NTFS-ACLs ignoriert werden
  • SeRestorePrivilege: Beliebige Dateien auf dem System schreiben oder überschreiben, wobei die ACLs erneut ignoriert werden
  • SeShutdownPrivilege: Das System herunterfahren
  • Möglichkeit, sich standardmäßig lokal an Domänencontrollern und Servern anzumelden

Warum die Berechtigungen von Backup-Operatoren schnell zu einem Domänenproblem führen

Die Rechte dieser Gruppe sind zwar technisch gesehen lokale Rechte, domain controller jedoch auf einem domain controller schnell domain controller die gesamte Domäne aus. Ein kompromittierter „Backup Operator“ kann auf einen Domänencontroller zugreifen, diesen herunterfahren oder kritische Dateien unabhängig von den NTFS-Berechtigungen lesen, schreiben und überschreiben. Dazu gehören ntds.dit, Registrierungszweige, geschützte Binärdateien, Dienstpfade und Ziele für geplante Aufgaben.

ntds.dit ist die AD-Datenbank; an dieser Stelle ist das „Spiel also vorbei“. Wenn es einem Angreifer gelingt, eine Schattenkopie dieser Datei zu erstellen und die SYSTEM Bienenstock, dann können sie Auszug NTLM-Hashes von Domänenbenutzern, Kerberos-Schlüssel, DPAPI-bezogene Geheimnisse sowie Daten zu privilegierten Dienstkonten offline.

Übersetzung: Sie haben Sie in der Hand.

Im Grunde handelt es sich hierbei um einen DCSync-Angriff… ohneDCSync auszuführen. Teams, die sich vor solchen Angriffen schützen, achten häufig auf Replikationsrechte, Aktivitäten unter Port 4662 oder andere Replikationsindikatoren. Backup-Administratoren können diese Kontrollen umgehen, indem sie die Datenbank direkt kopieren – gleiches Endergebnis, anderer Weg und weitaus leichter zu übersehen.

Auch die Wiederherstellung von Berechtigungen spielt eine Rolle. Ein Angreifer kann geschützte Dateien überschreiben oder Binärdateien wie beispielsweise sethc.exe oder utilman.exe, Dienst-Ausführungsdateien zu ändern oder die Ziele geplanter Aufgaben anzupassen.

Mit anderen Worten: Ein kompromittierter Backup-Operator kann die Schlüssel stehlen und eine Hintertür einbauen .


Auch ohne Domain Controller ist das Risiko nach wie vor erheblich

Auf jedem Server, auf dem sich das Konto anmelden kann, haben Backup-Operatoren Lesezugriff auf alle Daten – einschließlich der Dateien, deren Eigentümer SYSTEM. Durch diesen Zugriff können Registrierungsdaten, Anwendungsverzeichnisse, Sicherungsspeicher und alles andere offengelegt werden, was unter der Annahme auf die Festplatte geschrieben wurde, dass NTFS-Berechtigungen diese Daten schützen würden. (HA! KEINESWEGS!)

Dies bedeutet häufig, dass Zugangsdaten für Dienstkonten, gespeicherte Domänenzugangsdaten, die von Anwendungen oder Sicherungsaufträgen verwendet werden, Datenbankverbindungszeichenfolgen, API-Token, Kerberos-Daten sowie private Schlüssel von Zertifikaten zugänglich sind.

Backup-Operatoren dienen bei Angriffen häufig als Sprungbrett – nicht als Endziel.


Eskalationswege von Backup-Operatoren

Angreifer können zudem die Wiederherstellungsrechte missbrauchen, um schädliche DLLs in geschützte Verzeichnisse zu schreiben, Dienstdateien zu ersetzen, Start- oder Wiederherstellungseinstellungen zu ändern und die Ausführung als SYSTEM.

Da Konten der Gruppe „Backup-Operatoren“ häufig als vertrauenswürdig eingestuft werden, können sie auf Backup-Servern landen, bestimmten Sicherheitsmaßnahmen entgehen oder mit weniger strenger Kontrolle arbeiten als offensichtliche Administratorgruppen.


Warum die Risiken der Gruppe der Backup-Operatoren oft unterschätzt werden

Das höre ich ständig:

  • „Sie sind keine Administratoren.“
  • „Sie können keine AD-Objekte ändern.“
  • „Backup-Konten benötigen umfassende Zugriffsrechte.“
  • „Unsere Tools überwachen bereits den Missbrauch von Replikationen.“

All dies bricht zusammen, sobald ein Angreifer die ntds.dit sowie die Registrierung.


„Was sollen wir also tun?“

Ganz einfach: Leeren Sie die Gruppe, überwachen Sie Änderungen bei der Mitgliedschaft und halten Sie sie leer. Wenn niemand zur Gruppe „Backup Operators“ gehört, kann auch niemand diese Gruppe missbrauchen.

Das ist die optimale Lösung, und ehrlich gesagt würde ich mir wünschen, dass mehr Teams diese Lösung akzeptieren würden, bevor sich ein Anbieter sie zu einem unüberlegten Schritt überreden kann.

Doch so einfach ist es selten. Bei incident response beobachte ich dies ständig:

  • Ein Anbieter gibt an, dass seine Anwendung Backup-Operatoren „benötigt“.
  • Die Konten werden der Gruppe hinzugefügt.
  • Jeder macht weiter.

Sollten Sie sich in dieser Situation befinden, besteht das Ziel darin, das Risiko so konsequent wie möglich zu reduzieren und diese Konten nicht länger als Konten mit geringer Auswirkung zu behandeln.


Erstens: Eine Staffelung durchsetzen

Konten von Backup-Operatoren sollten als Identitäten behandelt werden, die dem Tier 0 nahekommen. Wenn ein Konto einem Angreifer den Zugriff auf Ihre AD-Datenbank, Ihre privilegierten Geheimnisse oder Ihre sensibelsten Server ermöglichen kann, gehört es zum Tier 0.

  1. Halten Sie die Gruppe leer, überwachen Sie Änderungen bei der Mitgliedschaft und stufen Sie jede Ausnahme als hohes Risiko ein.
  2. Erlauben Sie Backup-Operatoren unter keinen Umständen, sich bei Domänencontrollern anzumelden es sei denn, es gibt keine praktikable Alternative. Verwenden Sie Deny log on locally und Deny log on through Remote Desktop Services. Und beschränken Sie diese Konten ausschließlich auf bestimmte Backup-Server.
  3. Überwachen Sie interaktive Anmeldungen. Backup-Operator-Konten sollten sich wie Dienstidentitäten verhalten und nicht wie Personen, die an der Tastatur sitzen.
  4. Erweiterte Überwachung des Dateizugriffs aktivieren auf ntds.dit, das SYSTEM Hive, Backup-Repositorys und Speicherorte für Anwendungskonfigurationen. Warnungen bei „unmöglichen Lesevorgängen“ – wie beispielsweise 4663—bei Dateien, auf die das Konto nicht allein über NTFS zugreifen darf.
  5. Achten Sie auf Werkzeuge wie zum Beispiel diskshadow.exe, vssadmin.exe, wbadmin.exe, ntdsutil.exe, und esentutl.exe, insbesondere auf Domänencontrollern, außerhalb der Sicherungsfenster oder aus interaktiven Sitzungen heraus.
  6. Verringern Sie den Schadensumfang durch gMSAs, anwendungsspezifische APIs, moderne Backup-Tools mit eingeschränkten Berechtigungen sowie, soweit möglich, eine dedizierte oder isolierte Backup-Infrastruktur.

So überprüfen Sie den Missbrauch des SeBackupPrivilege-Rechts

Revision SeBackupPrivilege Die Verwendung ist schwierig, da Windows keine Protokolle erstellt SeBackupPrivilege was used direkt.

Sie können erkennen, wann einer Anmeldung besondere Berechtigungen zugewiesen werden, jedoch nicht, wann eine bestimmte Datei unter Ausnutzung dieser Berechtigung aufgerufen wird. Die Erkennung erfolgt anhand des Kontexts, des Dateizugriffs, des Prozessverhaltens und durch Korrelation.

Beginnen Sie mit dem Ereignis 4672, das anzeigt, wann sich ein Benutzer anmeldet und SeBackupPrivilege oder SeRestorePrivilege. Hier wird angezeigt, wann die Sitzung begonnen hat, wodurch sich der Suchbereich eingrenzt. Backup-Operatoren auf Domänencontrollern, auf Servern, die nicht für Backups vorgesehen sind, oder in interaktiven Sitzungen sollten sofort ins Auge fallen.

Aktivieren Sie anschließend die erweiterte Dateisystemüberwachung und weisen Sie SACLs den wirklich wichtigen Elementen zu:

  • C:\Windows\NTDS\ntds.dit
  • Die SYSTEM Bienenstock
  • SAM
  • Backup-Repositorys
  • Konfigurationsverzeichnisse der Anwendung

Ereignisse wie 4663 und, sofern sinnvoll, 4656 zeigen, was tatsächlich berührt wurde.

Das deutlichste Anzeichen ist der „unmögliche Lesezugriff“ – ein erfolgreicher Lesezugriff auf eine Datei, auf die der Benutzer allein aufgrund der NTFS-Berechtigungen eigentlich keinen Zugriff haben dürfte. Handelt es sich bei dem Konto um einen „Backup Operator“, so wurde dies durch die Berechtigung „Backup“ ermöglicht.

  • 4672: Wer hat sich mit dieser Berechtigung angemeldet?
  • 4663: Welche geschützten Dateien oder Snapshot-Pfade wurden gelesen?
  • 4688: Durch welchen Prozess oder welches Werkzeug wurde dies ermöglicht?
  • Kontext: Wo es geschah, wann es geschah, ob es interaktiv war und ob es aus betrieblicher Sicht sinnvoll war

Die Telemetrie zur Prozesserstellung bildet die nächste Ebene. Aktivieren 4688 mit Protokollierung über die Befehlszeile und achten Sie auf ntdsutil.exe, diskshadow.exe, wbadmin.exe, esentutl.exe, vssadmin.exe, sowie „copy“-Befehle oder PowerShell-Befehle, die auf sensible Pfade abzielen. Die Kombination aus 4672, 4688, und 4663 Hier setzen die Erkennungen mit hoher Zuverlässigkeit an.


So erkennen Sie den Missbrauch von Schattenkopien

Der Missbrauch von Schattenkopien verdient besondere Beachtung, da dies eine der saubersten Methoden ist, um Dateisperren zu umgehen und sensible Daten unbemerkt aus einem laufenden System zu kopieren. Auf einem Domänencontroller bedeutet dies in der Regel, dass ntds.dit und die SYSTEM Hive. An anderer Stelle kann der Begriff auch Registry-Hives, Anwendungsgeheimnisse und Sicherungsdaten bezeichnen.

Um dies zuverlässig zu erkennen, benötigen Sie eine Überwachung der Prozesserstellung, eine Überwachung des Dateisystems in sensiblen Verzeichnissen sowie Einblick in privilegierte Anmeldungen. Die Protokollierung über die Befehlszeile ist wichtig, da der Prozessname allein keinen Aufschluss darüber gibt, ob ein Snapshot erstellt, offengelegt oder kopiert wurde.

Zu den Indikatoren mit starkem Signal gehören vssadmin.exe, diskshadow.exe, wbadmin.exe, ntdsutil.exe, und esentutl.exe unter der Leitung einer nicht-SYSTEM Benutzer, insbesondere auf einem DC, außerhalb bekannter Sicherungsfenster oder aus einer interaktiven Sitzung heraus. DiskShadow-Skripte, die aus temporären Verzeichnissen gestartet werden, sollten besonders sorgfältig geprüft werden.

Einer der aussagekräftigsten Indikatoren ist der Zugang zu Wegen, die HarddiskVolumeShadowCopy. Liest aus diesen Pfaden – insbesondere mit Fokus auf ntds.dit, SYSTEM, oder SAM—von einem Nicht-SYSTEM Der Nutzer sollte bis zum Beweis des Gegenteils als Missbrauch eingestuft werden.

  • 4672 Anzeige SeBackupPrivilege einem Backup-Operator oder einem Konto mit vergleichbaren Berechtigungen zugewiesen
  • 4688 Anzeige der Ausführung von VSS-bezogenen Tools, wie beispielsweise diskshadow, vssadmin, wbadmin, ntdsutil, oder esentutl
  • 4663 wobei Lesevorgänge aus einem Schattenkopie-Pfad angezeigt werden, ntds.dit, das SYSTEM Hive, SAM, oder ein anderes geschütztes Ziel
  • Aktivitäten, die innerhalb eines kurzen Zeitfensters stattfinden, insbesondere auf einem domain controller einem anderen Tier-0-System
  • Interaktive Nutzung, zeitlich flexible Einsatzmöglichkeiten oder die Ausführung außerhalb eines regulären Sicherungsplans stärken das Vertrauen zusätzlich

Fazit: „Backup Operators“ verdient Beachtung

„Backup Operators“ scheint harmlos zu sein, kommt in der Praxis jedoch einer vollständigen Kompromittierung der Domäne unangenehm nahe.

Ein Missbrauch dieser Gruppe auf einem Domänencontroller kann die Verzeichnisdatenbank offenlegen, auf Replikation ausgerichtete Erkennungsmechanismen umgehen, Anmeldedaten offline erfassen und durch das Ersetzen geschützter Dateien eine dauerhafte Präsenz etablieren. Selbst ohne Zugriff auf den Domänencontroller können dieselben Rechte dazu führen, dass Anmeldedaten für Dienste, Anwendungsgeheimnisse und Eskalationspfade in der gesamten Serverinfrastruktur offengelegt werden.

Die richtige Vorgehensweise besteht darin, diese Konten als äußerst sensibel zu behandeln. Halten Sie die Gruppe nach Möglichkeit leer, schränken Sie die Orte ein, an denen sich die Konten anmelden können, überwachen Sie privilegierte Anmeldungen und den Zugriff auf sensible Dateien, achten Sie auf das Verhalten von Schattenkopien und gehen Sie davon aus, dass eine Kompromittierung kritisch ist, bis Sie den Zugriff auf die relevanten Daten ausschließen können.

Verfolgen Sie die Diskussion über Backup-Operatoren auf LinkedIn.

Und wenn Sie fachkundige Unterstützung bei der Ermittlung und Behebung von Sicherheitslücken in Ihrem Active Directory benötigen, wenden Sie sich an uns für eine Active Directory-Sicherheitsbewertung. Wir sind für Sie da.

Weitere Lektüre