Análise do caminho de ataque

Os activos de Nível 0 são as contas, grupos e outros activos que têm controlo administrativo directo ou indirecto de uma floresta, domínios e controladores de domínio do Active Directory. Com acesso a estes activos de Nível 0, os atacantes podem assumir o controlo de toda a rede.

A Microsoft desenvolveu o modelo de administração por níveis para o Active Directory para aumentar a dificuldade de os agentes de ameaças efectuarem o escalonamento de privilégios, ou seja, passarem da estação de trabalho para os servidores e dominarem o domínio AD. Este modelo tem três níveis:

• O Nível 2 é composto por clientes de domínio associado, impressoras, dispositivos móveis e as contas que os administram.
• O nível 1 contém os servidores e as aplicações, bem como as respectivas contas administrativas.
• O Nível 0 contém os servidores (por exemplo, controladores de domínio), estruturas do AD (como o GPO da Política de Domínio Predefinida) e contas privilegiadas que suportam o próprio serviço do Active Directory.

Esta hierarquia é imposta de forma a que as credenciais de níveis superiores não possam ser acedidas a partir de níveis inferiores (por exemplo, uma conta de administrador de domínio que inicie sessão num PC cliente, onde essas credenciais privilegiadas poderiam ser posteriormente recolhidas por malware como o mimikatz). Para ambientes híbridos, este modelo foi expandido para ter em conta a sua complexidade acrescida e é designado por modelo de acesso empresarial.

Os activos de nível 0 têm controlo administrativo do Active Directory. Se um destes activos for comprometido, um agente de ameaça pode obter o controlo do Active Directory e, consequentemente, de todos os activos - servidores, aplicações, bases de dados, clientes, outras contas do Active Directory - dentro do Active Directory para atingir os seus objectivos.

Devido a configurações incorrectas que se acumulam ao longo do tempo, muitas organizações têm contas e grupos com acesso privilegiado - ou seja, são activos de Nível 0 - mas estes privilégios excessivos são ignorados ou as equipas de TI e de segurança não têm os recursos necessários para os analisar. Descobrir esses activos pode ser um desafio. Forest Druid A ferramenta comunitária gratuita da Semperis, o Tier 0, permite identificar contas sensíveis para que as equipas de TI/segurança possam marcá-las como "Tier 0" e aplicar as medidas de protecção adequadas, incluindo o bloqueio de privilégios ou a eliminação total de contas desnecessárias.

Os caminhos de ataque são percursos que um agente de ameaça pode seguir desde o acesso inicial ao ambiente (como um PC cliente), passando por etapas intermédias, até ao domínio do domínio de nível 0.

A Semperis fornece uma ferramenta gratuita de descoberta de caminhos de ataque de Nível 0 chamada Forest Druid que o ajuda a descobrir activos vulneráveis de Nível 0, bloquear privilégios excessivos e descobrir e corrigir rapidamente os caminhos mais perigosos - não apenas os mais comuns.(Clique aqui para saber mais sobre Forest Druid.)