O que é AdminSDHolder?
AdminSDHolder é um objeto do Active Directory que contém o descritor de segurança para objectos que são membros de grupos privilegiados. O processo SDProp assegura que as listas de controlo de acesso (ACLs) dos objectos protegidos são sempre consistentes com o objeto AdminSDHolder. Um objeto AdminSDHolder comprometido pode levar a um ataque SDProp.
A alteração do descritor de segurança do contentor AdminSDHolder pode ter graves implicações de segurança, uma vez que este controla contas e grupos protegidos. Tais alterações indicam frequentemente configurações incorretas ou potenciais abusos e devem ser detetadas e revertidas imediatamente para evitar a escalada de privilégios ou outros riscos de segurança indesejados. A Semperis Purple Knight e oDirectory Services Protector (DSP) permitem a deteção (e, no caso do DSP, a reversão) dessas alterações.
Como é que posso proteger o AdminSDHolder?
Purple Knight e DSP fornecem um indicador de segurança para o alertar para potenciais problemas relacionados com o AdminSDHolder.
- Indicador de exposição (IOE): Grupos de operadores já não protegidos por AdminSDHolder e SDProp
- Categoria: Infraestrutura AD
- Estruturas: MITRE ATT&CK: Evasão de Defesa, MITRE D3FEND: Harden - Permissões de Conta de Utilizador
DSP também lhe permite configurar regras de notificação e receber alertas por correio eletrónico sempre que ocorrer uma alteração específica do AD. Pode utilizar esta funcionalidade para monitorizar as alterações ao AdminSDHolder.
Saiba mais sobre AdminSDHolder
Os seguintes recursos fornecem mais informações sobre o AdminSDHolder, como o proteger e como detetar e defender-se contra ataques que o exploram.
