Audit delle modifiche di Active Directory e rollback

L'auditing di Active Directory è il processo di monitoraggio di AD alla ricerca di vulnerabilità e di comuni errori di configurazione e gestione che possono dar luogo a compromissioni della sicurezza. Molte organizzazioni hanno ambienti AD legacy con decine o centinaia di configurazioni errate che si sono accumulate nel tempo. A causa delle risorse limitate e della mancanza di competenze AD nel personale, l'audit continuo di AD e Azure AD per individuare le lacune di sicurezza viene spesso trascurato. I criminali informatici sanno che molte lacune comuni nella sicurezza dell'AD non vengono colmate, rendendo AD il bersaglio numero 1 degli attacchi informatici: i ricercatori di Mandiant riferiscono che 9 attacchi su 10 hanno coinvolto in qualche modo AD. Per comprendere le vulnerabilità della sicurezza di AD nella tua organizzazione, scarica Purple Knight, lostrumento gratuito di valutazione della sicurezza AD che analizza l'ambiente AD alla ricerca di centinaia di indicatori di esposizione (IOE) e di compromissione (IOC), fornisce un punteggio complessivo di sicurezza e fornisce indicazioni prioritarie per la correzione da parte di esperti di sicurezza AD.

La verifica delle modifiche ai criteri di gruppo è una parte fondamentale dell'irrobustimento della sicurezza di Active Directory e rappresenta una sfida perché le soluzioni tradizionali di monitoraggio basate sugli eventi di solito non includono i dettagli sulle modifiche all'interno di un criterio di gruppo. Ad esempio, se un aggressore effettua una modifica dannosa con il ransomware Ryuk ransomware, l'unico segnale sarà il fattoche un account con accesso ai criteri di gruppo ha apportato una modifica, il che probabilmente non farà scattare un avviso. Per individuare le modifiche dannose ai criteri di gruppo, è necessaria una soluzione che utilizzi più fonti di dati, compreso il flusso di replica AD, per ottenere un contesto aggiuntivo che indichi un potenziale attacco in corso. Per comprendere le lacune di sicurezza di AD relative alle configurazioni errate dei criteri di gruppo, scaricaPurple Knight, lo strumento gratuito di valutazione della sicurezza di AD che analizza l'ambiente AD alla ricerca di centinaia di indicatori di esposizione (IOE) e di compromissione (IOC). Purple Knight analizza diverse configurazioni errate dei criteri di gruppo, tra cui le modifiche agli eseguibili SYSVOL, la delega del collegamento dei GPO a livello di sito AD e le password reversibili trovate nei GPO.

Per tenere traccia dei cambiamenti in Active Directory è necessario monitorare costantemente l'ambiente AD alla ricerca di indicatori di esposizione (IOE) e indicatori di compromissione (IOC) relativi alla sicurezza degli account Active Directory, alla delega AD, ai Criteri di gruppo, a Kerberos, alla sicurezza di Azure AD e alla sicurezza dell'infrastruttura AD. I gruppi di ransomware sviluppano costantemente nuovi metodi per compromettere AD, che è il principale archivio di identità per il 90% delle organizzazioni di tutto il mondo. Con un accesso privilegiato a AD, i criminali informatici possono accedere all'intera rete, bloccando le operazioni aziendali. Per una valutazione puntuale delle lacune di sicurezza di AD, scarica Purple Knight, uno strumento gratuito di valutazione della sicurezza di Active Directory D che analizza l'ambiente AD alla ricerca di centinaia di indicatori di esposizione (IOE) e indicatori di compromissione (IOC), fornisce un punteggio complessivo di sicurezza e indicazioni prioritarie di rimedio da parte di esperti di sicurezza AD. Per tenere costantemente sotto controllo i cambiamenti in AD e Azure AD, visita il sito Directory Services Protector, una soluzione di rilevamento e monitoraggio delle minacce AD che tiene traccia delle modifiche in AD e Azure AD e fornisce il rollback automatico delle modifiche AD dannose.

È possibile utilizzare lo strumento gratuito di valutazione della sicurezza AD Purple Knight per analizzare l'ambiente Azure AD alla ricerca di vari IOE e IOC, tra cui account guest inattivi, criteri di accesso condizionato non configurati correttamente e utenti privilegiati di Azure AD che sono anche utenti privilegiati in AD on-prem, che possono compromettere entrambi gli ambienti. È possibile utilizzare Directory Services Protector per monitorare le modifiche di Azure AD in tempo reale; per ulteriori informazioni, vedere "5 nuovi modi per proteggere AD e Azure AD".

DCShadow è uno dei pochi tipi di attacchi che non lascia evidenza dell'attività attività dannose, quindi sono difficili da rilevare con i sistemi tradizionali basati sugli eventi o sui log. Questa tecnica di attacco aggira la tradizionale registrazione basata su SIEM. Le modifiche vengono invece inserite direttamente nel flusso di replica dei controller di dominio di produzione. Per difendersi dagli attacchi che eludono il monitoraggio tradizionale, le organizzazioni hanno bisogno di soluzioni che utilizzino più fonti di dati, compreso il flusso di replica AD. Per un rilevamento e una risposta completi alle minacce AD, compresa la possibilità di controllare AD per gli attacchi che eludono i SIEM e altri strumenti di monitoraggio tradizionali, visita il sito Directory Services Protector.