Audit delle modifiche di Active Directory e rollback

L'auditing di Active Directory è il processo di monitoraggio dell'AD alla ricerca di vulnerabilità e di comuni errori di configurazione e gestione che possono aprire la porta a compromessi di sicurezza. Molte organizzazioni hanno ambienti AD legacy con decine o centinaia di configurazioni errate che si sono accumulate nel tempo. A causa delle risorse limitate e della mancanza di competenze in materia di AD da parte del personale, la verifica continua di AD e Entra ID per individuare eventuali lacune nella sicurezza viene spesso trascurata. I criminali informatici sanno che molte lacune comuni nella sicurezza dell'AD non vengono colmate, rendendo l'AD il bersaglio numero 1 dei cyberattacchi: I ricercatori di Mandiant riferiscono che 9 attacchi su 10 hanno coinvolto in qualche modo l'AD. Per comprendere le vulnerabilità della sicurezza AD nella vostra organizzazione, scaricate Purple Knight, uno strumento gratuito di valutazione della sicurezza AD che analizza l'ambiente AD alla ricerca di centinaia di indicatori di esposizione (IOE) e di compromissione (IOC), fornisce un punteggio complessivo di sicurezza e fornisce indicazioni prioritarie di rimedio da parte di esperti di sicurezza AD.

L'audit delle modifiche ai Criteri di gruppo è una parte fondamentale dell'irrobustimento della sicurezza di Active Directory e rappresenta una sfida perché le soluzioni di monitoraggio tradizionali basate sugli eventi di solito non includono i dettagli sulle modifiche all'interno di un Criterio di gruppo. Ad esempio, se un aggressore effettua una modifica dannosa con il ransomware Ryuk ransomware, l'unico segnale sarà che un account con accesso ai Criteri di gruppo ha apportato una modifica, il che probabilmente non farà scattare un avviso. Per individuare le modifiche dannose ai Criteri di gruppo, è necessaria una soluzione che utilizzi più fonti di dati, compreso il flusso di replica AD, per ottenere un contesto aggiuntivo che indichi un potenziale attacco in corso. Per comprendere le lacune nella sicurezza dell'AD legate alle configurazioni errate dei Criteri di gruppo, scaricate Purple Knight, uno strumento gratuito di valutazione della sicurezza dell'AD che analizza l'ambiente AD alla ricerca di centinaia di indicatori di esposizione (IOE) e compromissione (IOC). Purple Knight analizza diverse configurazioni errate dei Criteri di gruppo, tra cui le modifiche agli eseguibili SYSVOL, la delega di collegamento delle GPO a livello di sito AD e le password reversibili presenti nelle GPO.

Per tenere traccia dei cambiamenti in Active Directory, è necessario monitorare costantemente l'ambiente AD alla ricerca di indicatori di esposizione (IOE) e compromissione (IOC) relativi alla sicurezza degli account di Active Directory, alla delega AD, ai Criteri di gruppo, a Kerberos, alla sicurezza di Entra ID e alla sicurezza dell'infrastruttura AD. I gruppi di ransomware sviluppano costantemente nuovi metodi per compromettere AD, che è il principale archivio di identità per il 90% delle organizzazioni in tutto il mondo. Con un accesso privilegiato ad AD, i criminali informatici possono accedere all'intera rete, bloccando le operazioni aziendali. Per una valutazione puntuale delle lacune di sicurezza di AD, scaricate Purple Knight, uno strumento gratuito di valutazione della sicurezza di AD che analizza l'ambiente AD alla ricerca di centinaia di indicatori di esposizione (IOE) e di compromissione (IOC), fornisce un punteggio complessivo di sicurezza e fornisce indicazioni prioritarie per la correzione da parte di esperti di sicurezza di AD. Per tenere costantemente sotto controllo i cambiamenti in AD e Entra ID, è possibile consultare Directory Services Protectoruna soluzione di rilevamento e monitoraggio delle minacce AD che tiene traccia delle modifiche in AD e Entra ID e fornisce un rollback automatico delle modifiche AD dannose.

È possibile utilizzare lo strumento gratuito di valutazione della sicurezza AD Purple Knight per analizzare l'ambiente Entra ID alla ricerca di vari IOE e IOC, tra cui account guest inattivi, criteri di accesso condizionato non configurati correttamente e utenti privilegiati Entra ID che sono anche utenti privilegiati in AD on-prem, che possono compromettere entrambi gli ambienti. È possibile utilizzare Directory Services Protector per monitorare le modifiche di Entra ID in tempo reale; per ulteriori informazioni, vedere "Migliorare la protezione di AD ed Entra ID dalle minacce informatiche".

DCShadow è uno dei pochi tipi di attacchi che non lascia evidenza dell'attività attività dannose, quindi sono difficili da rilevare con i sistemi tradizionali basati sugli eventi o sui log. Questa tecnica di attacco aggira la tradizionale registrazione basata su SIEM. Le modifiche vengono invece inserite direttamente nel flusso di replica dei controller di dominio di produzione. Per difendersi dagli attacchi che eludono il monitoraggio tradizionale, le organizzazioni hanno bisogno di soluzioni che utilizzino più fonti di dati, compreso il flusso di replica AD. Per un rilevamento e una risposta completi alle minacce AD, compresa la possibilità di controllare AD per gli attacchi che eludono i SIEM e altri strumenti di monitoraggio tradizionali, visita il sito Directory Services Protector.