Se alguma vez houve um momento para reexaminar a segurança do seu Active Directory, esse momento é agora.
Em resposta às crescentes preocupações relativamente à notória vulnerabilidade Zerologon (CVE-2020-1472), a Agência de Cibersegurança e Segurança das Infraestruturas dos EUA (CISA) emitiu uma«Diretiva de Emergência» dirigida às agências federais para que apliquem imediatamente a correção da Microsoft. As empresas fariam bem em seguir o exemplo.
Vulnerabilidade grave de escalada de privilégios «Zerologon»
Na semana passada, surgiu online o código de exploração para a grave vulnerabilidade de escalonamento de privilégios denominada "Zerologon". A vulnerabilidade reside no protocolo remoto Netlogon. Ao enviar uma série de mensagens Netlogon com vários campos preenchidos com zeros, o atacante pode alterar a palavra-passe do controlador de domínio (DC) armazenado no AD. Com efeito, o ataque permite a qualquer agente de ameaça na rede local elevar os seus privilégios e comprometer o domínio Windows sem quaisquer credenciais de utilizador. Com o Zerologon, os atacantes podem roubar as credenciais de administrador do domínio e restaurar a palavra-passe original do controlador de domínio, facilitando todo o tipo de ataques, desde ransomware a roubo de dados.
Descoberto por investigadores da Secura, o bug tem uma pontuação CVSS de 10 em 10, a classificação mais grave. Várias explorações de prova de conceito para o Zerologon já foram lançadas na natureza. O Zerologon também foi operacionalizado numa versão actualizada da ferramenta Mimikatz.
Já corrigiram o problema?
Com a circulação de exploits, há uma pressão para aplicar as correções o mais rapidamente possível. Esta questão está a ser abordada em duas fases. Em agosto, a Microsoft lançou umaatualização de segurançaque altera o protocolo Netlogon para proteger os dispositivos Windows por predefinição, regista eventos relativos à deteção de dispositivos não conformes e ativa a proteção para todos os dispositivos integrados no domínio, com exceções explícitas. Está prevista uma segunda atualização para o primeiro trimestre de 2021. Esta irá impor a utilização segura de chamadas de procedimento remoto (RPC) para contas de máquina em sistemas que não sejam baseados no Windows, a menos que tal seja permitido pela política de grupo «Controlador de domínio: Permitir ligações vulneráveis ao canal seguro Netlogon».
É importante referir que, após a implementação da atualização de agosto, os controladores de domínio (DC) corrigidos registarão o ID de evento 5829 no registo de eventos do sistema sempre que for permitida uma ligação vulnerável através do canal seguro Netlogon. A Microsoft aconselha as organizações a resolverem estes eventos antes deo modo de aplicaçãodos DC ser configurado ou antes da atualização de 2021, para evitar interrupções de serviço. É também crucial que todos os controladores de domínio, mesmo os de leitura apenas, sejam atualizados. O processo de aplicação de correções nem sempre é fácil, sendo frequentemente afetado por atrasos devido ao grande número de aplicações e sistemas nos ambientes de TI e ao receio geral de perturbar as operações. Ainda assim, qualquer organização que utilize o Active Directory deve começar já a identificar os sistemas vulneráveis e dar prioridade à aplicação das correções.
Esteja preparado para um afluxo de novos ataques que visam o Active Directory
Após a aplicação rigorosa de correções, é altura de reconhecer o aumento de novos ataques que exploram o Active Directory. Compreenda os seus pontos fracos e concentre-se no reforço da segurança do AD. As avaliações de vulnerabilidades e de configuração são elementos essenciais para elevar o nível de dificuldade para os atacantes que têm como alvo o AD. Da mesma forma, a monitorização contínua das alterações no AD que contornam os registos de segurança e a ativação da reversão autónoma de modificações suspeitas — cujo risco é demasiado elevado para se esperar pela intervenção humana — irão impedir o movimento lateral e as ameaças persistentes avançadas. A monitorização automatizada, a avaliação de vulnerabilidades e a correção são elementos essenciais para manter o seu ambiente do AD seguro.
No caso de um desastre cibernético, fazer cópias de segurança regulares e armazenar cópias offline será a diferença entre uma breve interrupção e um tempo de inactividade prolongado se o AD for comprometido. Caso contrário, as cópias de segurança acessíveis pela rede podem ser facilmente destruídas e aumentar as hipóteses de pagamento por parte da vítima. As organizações devem ter sempre cópias de segurança suficientes para efectuar uma recuperação total da floresta. Por fim, evite restauros bare-metal e do estado do sistema quando recuperar de um ciberataque, uma vez que estas abordagens acarretam graves problemas subjacentes, incluindo a possibilidade provável de reinfecção por malware.
Como o Zerologon demonstra, está na hora de as organizações analisarem com rigor o estado de segurança do Active Directory. Um atacante determinado encontrará sempre uma forma de entrar, de uma maneira ou de outra. Não deixem que o AD seja um alvo fácil.
