Se c'è mai stato un momento per riesaminare la sicurezza della vostra Active Directory, è questo.
In risposta alle crescenti preoccupazioni relative alla famigerata vulnerabilità Zerologon (CVE-2020-1472), l’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha emanato una“direttiva d’emergenza” rivolta alle agenzie federali affinché applichino immediatamente la patch di Microsoft. Le aziende farebbero bene a seguire il loro esempio.
"Zerologon": grave vulnerabilità che consente l'escalation dei privilegi
Nell'ultima settimana è emerso online il codice di exploit per la grave vulnerabilità di escalation dei privilegi denominata "Zerologon". La vulnerabilità risiede nel protocollo remoto Netlogon. Inviando una serie di messaggi Netlogon con vari campi riempiti di zeri, l'aggressore può modificare la password del controller di dominio (DC) memorizzata in AD. In effetti, l'attacco consente a qualsiasi attore di minacce sulla rete locale di elevare i propri privilegi e compromettere il dominio Windows senza alcuna credenziale utente. Con Zerologon, gli aggressori possono rubare le credenziali di amministrazione del dominio e ripristinare la password originale del controller di dominio, facilitando ogni tipo di attacco, dal ransomware al furto di dati.
Scoperto dai ricercatori di Secura, il bug ha un punteggio CVSS di 10 su 10, il più grave. Diversi exploit proof-of-concept per Zerologon sono già stati rilasciati in natura. Zerologon è stato anche reso operativo in una versione aggiornata dello strumento Mimikatz.
Hai già applicato una patch?
Con la diffusione di exploit, cresce la pressione per applicare le patch il prima possibile. Il problema viene affrontato in due fasi. Ad agosto, Microsoft ha rilasciato unaggiornamento di sicurezzache modifica il protocollo Netlogon per proteggere i dispositivi Windows per impostazione predefinita, registra gli eventi relativi all’individuazione di dispositivi non conformi e abilita la protezione per tutti i dispositivi iscritti al dominio, con eccezioni esplicite. Un secondo aggiornamento è previsto per il primo trimestre del 2021. Esso imporrà l’uso sicuro delle chiamate di procedura remota (RPC) per gli account macchina su sistemi non basati su Windows, a meno che non sia consentito dalla politica di gruppo “Controller di dominio: Consenti connessioni vulnerabili al canale sicuro Netlogon”.
Va notato che, dopo l’implementazione dell’aggiornamento di agosto, i DC aggiornati registreranno l’ID evento 5829 nel registro eventi di sistema ogni volta che verrà consentita una connessione vulnerabile tramite canale sicuro Netlogon. Microsoft consiglia alle organizzazioni di risolvere questi eventi prima della configurazionedella modalità di applicazionedei DC o prima dell’aggiornamento del 2021, per evitare interruzioni del servizio. È inoltre fondamentale che tutti i DC, compresi i controller di dominio di sola lettura, vengano aggiornati. Il processo di applicazione delle patch non è sempre semplice, spesso ostacolato da ritardi dovuti all’elevato numero di applicazioni e sistemi presenti negli ambienti IT e al timore generale di interrompere le operazioni. Tuttavia, qualsiasi organizzazione che utilizzi Active Directory dovrebbe iniziare fin da ora a identificare i sistemi vulnerabili e dare priorità all’applicazione delle patch.
Preparatevi all'afflusso di nuovi attacchi che prendono di mira Active Directory
Dopo aver applicato rigorosamente le patch, è il momento di prendere atto dell’ondata di nuovi attacchi che sfruttano Active Directory. È fondamentale comprendere i propri punti deboli e concentrarsi sul rafforzamento di AD. Le valutazioni delle vulnerabilità e delle configurazioni sono elementi fondamentali per alzare l’asticella agli attacchi mirati ad AD. Allo stesso modo, il monitoraggio continuo delle modifiche ad AD che eludono i log di sicurezza e l’abilitazione del rollback autonomo delle modifiche sospette, troppo rischiose per attendere l’intervento umano, consentiranno di bloccare il movimento laterale e le minacce persistenti avanzate. Il monitoraggio automatizzato, la valutazione delle vulnerabilità e la correzione sono elementi fondamentali per garantire la sicurezza del proprio ambiente AD.
In caso di disastro informatico, l'esecuzione di backup regolari e l'archiviazione di copie offline faranno la differenza tra un'interruzione breve e un tempo di inattività prolungato in caso di compromissione dell'AD. Altrimenti, i backup accessibili in rete possono essere facilmente distrutti e aumentare le possibilità di risarcimento da parte della vittima. Le organizzazioni dovrebbero sempre avere backup sufficienti per eseguire un ripristino completo della foresta. Infine, evitate i ripristini bare-metal e dello stato del sistema durante il ripristino da un cyberattacco, poiché questi approcci comportano gravi problemi di fondo, tra cui la probabile possibilità di reinfezione da parte del malware.
Come dimostra Zerologon, è giunto il momento che le organizzazioni valutino attentamente lo stato di sicurezza di Active Directory. Un aggressore determinato troverà sempre un modo per infiltrarsi, in un modo o nell’altro. Non lasciate che AD diventi un bersaglio facile.
