Wat is Active Directory-beveiliging? AD-beveiliging uitgelegd

Wat zijn de belangrijkste bedreigingen en aanvalstechnieken tegen Active Directory?

Dit zijn de belangrijkste bedreigingen en aanvalstechnieken die tegen Active Directory worden gebruikt:

Accountgebaseerde aanvallen

Accountgebaseerde Active Directory (AD)-aanvallen richten zich op uw gebruikers en proberen hun inloggegevens te compromitteren. Zo werken de belangrijkste:

Golden Ticket (T1558.001)

Golden Ticket-aanvallen  zijn een subtechniek van de Steal or Forge Kerberos Tickets: Golden Ticket (T1558.001). Ze kunnen volledige netwerken compromitteren en ongeautoriseerde toegang tot domeinresources verlenen.

Het werkt met tools zoals Impacket en Mimikatz om detectie te ontwijken, en manipuleert het Kerberos-authenticatieprotocol binnen Windows-netwerken.

Silver Ticket

Silver Ticket-aanvallen werken op een andere manier. Ze compromitteren uw gebruikersreferenties en maken misbruik van het ontwerp van het Kerberos-protocol. Silver Ticket-aanvallen stellen de aanvaller in staat ticket-granting (TGS)-tickets voor doelservices te vervalsen. Ze worden versleuteld met een wachtwoordhash en deze TGS-tickets kunnen voor die services worden uitgegeven. Silver Ticket-aanvallen bieden in feite heimelijke en persistente toegang tot resources, waarbij alleen de wachtwoordhash van het serviceaccount nodig is om er toegang toe te krijgen.

Serviceaccounts met te veel rechten

Niet-menselijke accounts met buitensporige machtigingen en controles worden in Active Directory aangeduid als accounts met te veel rechten. Ze kunnen datalekken, diefstal van inloggegevens en operationele verstoringen veroorzaken.  Welke machtigingen ze ook hebben, het zijn er meer dan nodig is in netwerken.

Diefstal van inloggegevens

Aanvallen op diefstal van Active Directory (AD)-inloggegevens stelen gebruikersnamen, wachtwoorden en andere authenticatiegegevens. Zo werken ze:

Pass-the-Hash (T1550.002)

Pass-the-Hash (PtH) (MITRE T1550.002) is een laterale bewegingsaanval waarbij de aanvaller uw wachtwoordhash steelt via een gecompromitteerd systeem. Deze wordt gebruikt om zich op een ander systeem te authenticeren als een legitieme gebruiker.

Pass-the-Ticket (T1550.003)

Pass-the-Ticket (PtT) (MITRE T1550.003) hergebruikt gestolen Kerberos-tickets. om ongeautoriseerde toegang te krijgen tot resources in uw netwerken. Aanvallers gebruiken Mimikatz om TGT's uit het geheugen van uw systeem te extraheren. Ze injecteren deze gestolen tickets in hun eigen sessies en doen zich voor als legitieme gebruikers om toegang te krijgen tot exclusieve services.

Kerberoasting (T1558.003)

Kerberoasting (MITRE T1558.003) is een techniek voor het verzamelen en kraken van serviceaccounts voor accounts die offline zijn. Elke geauthenticeerde domeingebruiker kan dit doen. Er is geen risico om op het netwerk te worden gedetecteerd en dreigingsactoren kunnen accountvergrendelingsbeleid omzeilen omdat het een offline aanval is. Zolang SPN's aan gebruikersaccounts zijn gekoppeld, bent u kwetsbaar.

AS-REP Roasting

Dit is een aanval voor het dumpen van inloggegevens die misconfiguraties in uw Active Directory misbruikt. De aanvaller zoekt eerst accounts waarvoor de instelling 'Do not require Kerberos preauthentication' is ingeschakeld. Hij/zij stuurt namens een kwetsbare gebruiker een Authentication request (AS-REQ) naar een domeincontroller. Er hoeft geen wachtwoord te worden opgegeven omdat pre-authenticatie is ingeschakeld, en zo krijgt de aanvaller een geldige Authentication Server Response (AS-REP) terug die het Ticket-Granting Ticket (TGT) bevat.

Misbruik van directoryservices

Hier zijn enkele manieren waarop aanvallers Active Directory-services kunnen misbruiken:

DCsync/DCShadow (T1003.006/T1528)

Een DCSync-aanval dumpt inloggegevens door misbruik te maken van het replicatieproces van AD. De aanvaller kan zich voordoen als domeincontrollers en een andere controller verzoeken gevoelige wachtwoordgegevens rechtstreeks voor hen te repliceren.

DCShadow-aanvallen pushen kwaadaardige wijzigingen dankzij hogere rechten die door de aanvaller zijn verkregen. Het is een uitstekende stealth-persistentietechniek en kan gecompromitteerde machines dwingen zich op netwerken voor te doen als malafide domeincontrollers.

Misbruik van AD Certificate Services (ESC1–ESC8-aanvalspaden)

ESC1-aanvalspaden omvatten het gebruik van kwetsbare certificaatsjablonen om misconfiguraties te misbruiken. De aanvaller kan tools zoals Certipy gebruiken om deze sjablonen te identificeren en certificaten namens gebruikers aan te vragen. Ze kunnen zich authenticeren als geprivilegieerde gebruikers en met die certificaten meer aanvallen uitvoeren.

ESC8 (NTLM Relay) maakt misbruik van verkeerd geconfigureerde AD CS-webinschrijvingsservices. Ze gebruiken NTLM-authenticatie in plaats van HTTP en kunnen geprivilegieerde accounts dwingen zich te authenticeren bij kwaadaardige services door NTLM-hashes door te sturen.

Misbruik van trusts en delegatie

Aanvallers kunnen misbruik maken van trusts in omgevingen met meerdere domeinen, waardoor gebruikers toegang krijgen tot andere resources. Ze kunnen rechten escaleren in vertrouwde domeinen en machines compromitteren met unconstrained delegations.  Resource-based constrained delegation (RBCD) is een andere manier waarop ze binnendringen en services die op systemen draaien verkeerd configureren om hun rechten te escaleren.

Replicatieaanvallen

Active Directory-replicatieservices kunnen kwaadaardige wijzigingen pushen en proberen inloggegevens te stelen door misbruik te maken van de directory. Zo werken replicatieaanvallen:

• Ongeautoriseerde replicatieverzoeken (DCsync): Hiermee kan een aanvaller zich voordoen als een Domain Controller (DC) en gevoelige gegevens opvragen.
• Shadow Domain Controller (DCShadow): Het is een techniek met hoge stealth waarbij de aanvaller een malafide DC registreert. De malafide controller pusht kwaadaardige wijzigingen naar de directory via normale replicatie.
• Persistentie via AdminSDHolder/ACL-misbruik: De aanvaller verkrijgt persistente toegang via een gecompromitteerd geprivilegieerd account. Hij/zij wijzigt machtigingen op het AdminSDHolder-object. Dit zet ook handmatige wijzigingen aan machtigingen voor beschermde groepen automatisch terug.

Hoe Active Directory te hardenen: best practices en checklist

Hier is uw checklist voor het hardenen van Active Directory-beveiliging. Deze bevat ook best practices voor Active Directory-beveiliging die u kunt volgen:

• Beheerdersaccounts moeten toegang beperken via privileged access management. Verwijder onnodige machtigingen en pas het model van toegangsrechten met minimale privileges toe. Voorkom verspreiding van inloggegevens in uw domeinomgeving door accounts regelmatig te auditen.
• Jump servers kunnen gecontroleerde toegangspunten bieden en laterale beweging tijdens potentiële inbreuken voorkomen. Creëer netwerksegmentatie tussen reguliere gebruikers en domeinbeheertaken. Zorg ervoor dat u uw admin-werkstations beveiligt en tiering toepast.
• Gebruik LDAP-signing omdat dit man-in-the-middle-aanvallen voorkomt, terwijl channel binding credential relay-pogingen tegen uw directoryservices stopt.
• Stel sterke wachtwoordbeleidsregels en geautomatiseerde wachtwoordrotatie in voor serviceaccounts om het aanvalsoppervlak te verkleinen. Wijzig wachtwoorden vaak en zorg ervoor dat ze uniek zijn om credential-based aanvallen moeilijker te maken voor threat actors om uit te voeren.
• Certificate Services hebben juiste templates en inschrijvingscontroles nodig om ze te hardenen. U moet Federation-trusts zorgvuldig configureren om cross-domain privilege escalation en pogingen tot ongeautoriseerde toegang tot resources te voorkomen.
• Controleer uw werkstations, apps, member servers en datarepo's om ervoor te zorgen dat u geen buitensporige privileges aan gebruikersaccounts hebt verleend. Begin secure admin hosts te gebruiken en controleer ook de fysieke beveiliging daarvan, naast systeem- en netwerkbeveiliging.
• U kunt security configuration baselines instellen voor uw domeincontrollers en afdwingen met group policy objects (GPOs).  Gebruik geavanceerde auditbeleidsregels en classificeer uw AD-data.

Hoe u Active Directory-aanvallen detecteert: monitoring- en threat detection-signalen

Er zijn veel signalen om op te letten in Active Directory-omgevingen die u kunnen helpen aanvallen te monitoren en direct te stoppen. Hier is waar u op moet letten:

Logs en telemetrie

Verzamel event logs van domeincontrollers. Controleer op Kerberos-ticketaanvragen en DC Diagnostics-rapporten om ongebruikelijke patronen te ontdekken. Let op pieken in ticket‐granting-ticket-aanvragen of herhaalde mislukte authenticaties vanaf één host. Correleer telemetrie over services heen om reconnaissance of privilege abuse te identificeren.

Tools/analyses

Gebruik attack-path-mappingtools en anomaly detection-engines om te visualiseren hoe credentials door uw netwerk stromen. Netwerkmonitoringplatforms volgen East-West-verkeer en identificeren vreemde SMB- of RPC-calls; ze kunnen verborgen laterale beweging aan het licht brengen.

Indicators of compromise

Let op SPN's die op onverwachte hosts verschijnen, Kerberos-tickets die over meerdere accounts worden hergebruikt en plotselinge groepswijzigingen. U moet elk account markeren waarvan de toegangsrechten veranderen zonder een goedgekeurde workflow of elk ticket dat buiten normale kantooruren is uitgegeven.

Hoe u reageert en herstelt na een Active Directory-inbreuk

Active Directory-bedreigingen kunnen grote schade aanrichten in uw organisatie wanneer ze onbeheerd blijven. Zo reageert en herstelt u na een Active Directory-beveiligingsinbreuk:

U moet onmiddellijk alle gecompromitteerde accounts isoleren om verdere schade te voorkomen. Trek uw tickets in en reset wachtwoordlimieten tijdens forensische analyse. U moet al het bewijs dat u vindt bewaren voor verder onderzoek en herstelplanning.

U moet ook uw systemen herstellen. Maak schone back-ups en focus op NTDS-databaseherstel. Forensische analyse kan u helpen Active Directory-aanvalstechnieken, vectoren en gecompromitteerde systemen te identificeren voordat u services veilig weer online brengt.

Post-incident-hardening moet lessen toepassen die uit de inbreuk zijn geleerd. Wijzig uw configuraties en voer aanvullende monitoring uit om vergelijkbare aanvallen te voorkomen en tegelijkertijd de algehele beveiligingshouding en detectiemogelijkheden van uw organisatie te verbeteren.

Welke tools en technologieën verbeteren Active Directory-beveiliging?

Hier zijn enkele tools en technologieën die uw Active Directory-beveiliging kunnen verbeteren:

SIEM/EDR/Identity Threat Detection-technologieën

Security Information and Event Management-systemen verzamelen authenticatielogs van domeincontrollers en scannen gedragspatronen op aanwijzingen van verdachte activiteit, zoals diefstal van inloggegevens of privilege-escalatie. Endpoint Detection and Response-systemen scannen proactief werkstations op infecties door malware en op pogingen tot laterale verplaatsing, terwijl Identity Threat Detection-systemen authenticatieafwijkingen in uw hybride omgeving scannen. Deze systemen correleren gebeurtenissen uit meerdere bronnen om aanwijzingen van geavanceerde persistente dreigingen te identificeren.

Software voor beheer van cyberaanvalspaden + identity-/privilege-management

Privileged Access Management-software beveiligt beheerdersreferenties in versleutelde kluizen en biedt just-in-time-toegang met geautomatiseerde goedkeuringsworkflows. Deze platforms modelleren potentiële aanvalsoppervlakken in uw omgeving en vereisen tegelijkertijd least-privilegeprincipes met geautomatiseerde wachtwoordrotatie van serviceaccounts. Producten zoals SentinelOne Singularity™ Identity Detection & Response bieden ook preventie van verspreiding van referenties via beheer van geprivilegieerde accounts met realtime monitoring van sessieactiviteiten.

Monitoring, automatisering en  threat hunting

Wijzigingsmonitoringcontroles bewaken wijzigingen in Active Directory-objecten, groepslidmaatschap en machtigingen met realtime waarschuwingen. Geautomatiseerde systemen herkennen configuratiedrift, identificeren inactieve accounts en markeren afwijkende authenticatiepatronen die kunnen wijzen op compromittering. Threat hunting-technologieën integreren identity-signalen met netwerk- en endpointdata om geavanceerde bedreigingen te identificeren die aan conventionele beveiligingscontroles ontsnappen.

Veelvoorkomende fouten en misconfiguraties brengen Active Directory in gevaar

Regelmatige fouten en misconfiguraties brengen de beveiliging van Active Directory in gevaar. Open LDAP, zwakke wachtwoorden, overmatig lidmaatschap van geprivilegieerde groepen, verkeerd geconfigureerde trusts, slapende accounts enz.

Veel organisaties laten LDAP-kanalen onondertekend. Ze creëren mogelijkheden voor het onderscheppen van referenties en relay-aanvallen tijdens authenticatieprocessen. Zwak wachtwoordbeleid in combinatie met buitensporig lidmaatschap van Domain Admins-groepen vergroot het aanvalsoppervlak onnodig. Verkeerd geconfigureerde vertrouwensrelaties tussen domeinen maken privilege-escalatie mogelijk, terwijl slapende accounts persistente achterdeuren bieden die normale monitoringsystemen omzeilen. Zonder regelmatige beoordelingscycli kunnen serviceaccounts vaak buitensporige machtigingen krijgen.

Opkomende trends en risico's in Active Directory-beveiliging

Hier is waar u op moet letten:

Risico's van hybride AD + Azure AD-integratie

Hybride cloudimplementaties door organisaties creëren nieuwe aanvalsoppervlakken doordat threat actors synchronisatiehiaten tussen on-premises en cloud identity-infrastructuren misbruiken. Onvoldoende geconfigureerde implementaties van Azure AD Connect en ook van ADFS-federation-trusts creëren mogelijkheden voor privilege escalation over beide infrastructuren heen. Identity-syncservices worden door aanvallers gezien als een middel om tegelijkertijd on-premises en cloudcredentials aan te vallen.

Cloud identity-bedreigingen, supply chain-bedreigingen, AI-adversary-tactieken

Geavanceerde cyberbedreigingen gebruiken machine learning-algoritmen om lijsten met gestolen credentials te scannen en automatiseren zo geavanceerde aanvalsmethoden zoals password spraying en credential stuffing. Supply chain-compromitteringen richten zich steeds vaker op identity-beheerders en certificate authorities, terwijl dreigingsactoren overgeprivilegieerde cloudservice-principals en applicatie-identiteiten aanvallen die te veel privileges hebben.

Verschuivingen in beleid/governance en regeldruk

Compliance-standaarden schrijven tegenwoordig zero standing privileges voor, evenals continue identity-monitoring met volledige audit trails van elke geprivilegieerde activiteit. Bedrijven moeten just-in-time-toegangsmodellen implementeren met functiescheiding en geautomatiseerde toegangsbeoordelingen. Nieuwe wetgeving stimuleert de adoptie van identity governance-technologieën die risicogebaseerde authenticatie voorschrijven, evenals continue verificatie van compliance.

Active Directory-beveiligingsmetrics en KPI's die u moet volgen

Hier zijn de belangrijkste Active Directory-beveiligingsmetrics en KPI's om te volgen:

• Mean Time to Detect: U moet de snelheid meten waarmee uw beveiligingsteam potentiële bedreigingen ontdekt vanaf de initiële compromittering tot detectie, met als optimale respons een detectie binnen 30 minuten tot 4 uur.
• Mean Time to Respond: Dit meet de tijd vanaf dreigingsdetectie tot volledige containment en remediatie. Beide helpen de volwassenheid van uw incidentresponsprocessen en uw detectiedekking van domeincontrollers en authenticatiesystemen te meten.
• Blootstelling van geprivilegieerde accounts: Houd het totaal aantal accounts met geprivilegieerde adminrechten binnen uw domein in de gaten door lidmaatschapswijzigingen van hoogrisicogroepen zoals Domain Admins en Enterprise Admins te monitoren.  U moet ongebruikte geprivilegieerde accounts volgen die binnen een bepaalde periode niet zijn benaderd, mislukte inlogpogingen tegen adminaccounts, evenals de duur van geprivilegieerde sessies, plus indicaties van gebruik van geprivilegieerde accounts buiten kantooruren.
• Gebruik van legacy-protocollen: Monitor authenticatiepogingen met verouderde protocollen zoals NTLM, unsigned LDAP en oudere TLS-versies die credential relay-aanvallen mogelijk maken..
• Auditdekking: Volg het aantal domeincontrollers waarop volledige logging is ingeschakeld voor authenticatiegebeurtenissen, privilegewijzigingen en beleidsaanpassingen. U moet hiaten in logverzameling en retentie binnen uw AD-infrastructuur identificeren om blinde vlekken te voorkomen.
• Aantal verouderde accounts: Controleer gebruikers- en computeraccounts die zich niet binnen gedefinieerde tijdsperioden hebben geauthenticeerd, doorgaans 90 dagen voor gebruikers en 30 dagen voor computers. Monitor opschoningsactiviteiten en de verhouding tussen actieve en inactieve accounts binnen uw domeinomgeving.

Active Directory-beveiliging met SentinelOne

Als u wilt weten hoe u Active Directory kunt beveiligen, dan is hier een oplossing:

Singularity™ Identity Detection & Response kan u helpen misbruik van inloggegevens te beëindigen via realtime infrastructuurverdediging voor Active Directory en verdediging voor Active Directory en Entra ID. Het verdedigt domeincontrollers en aan domeinen gekoppelde assets tegen aanvallers die privileges willen verkrijgen en zich heimelijk willen verplaatsen.

U kunt AD-aanvallen in de hele onderneming detecteren die afkomstig zijn van alle beheerde of onbeheerde systemen op elk besturingssysteem, vanaf elk apparaattype, inclusief IoT & OT. U kunt aanvallers wegleiden van AD-kroonjuwelen en hen in plaats daarvan misleiden naar doodlopende steegjes met lokmiddelen en valse informatie. Het kan lokaal en in de cloud opgeslagen gegevens verbergen en de toegang ertoe weigeren, terwijl het laterale beweging voor aanvallers tegelijkertijd uiterst moeilijk maakt.

U kunt:

• De beveiliging van Active Directory verbeteren en zichtbaarheid en inzicht krijgen in aanvallersactiviteit gericht op kritieke domeinservers
• Zicht krijgen op compromittering van serviceaccounts waarmee aanvallers privileges op endpoints kunnen verhogen.
• Misconfiguraties in Access Control Lists en delegatie identificeren die accounts verhoogde rechten geven zonder correct lidmaatschap.
• Gebruikers-, service- en systeemaccounts met hoge waarde beschermen tegen compromittering door aanvallers.
• Snelle time-to-value realiseren en volledige dekking krijgen voor on-premises Active Directory, Entra ID en multi-cloudomgevingen

Singularity™ Identity Detection & Response ondersteunt uw Zero Trust-programma en kan impliciet vertrouwen beperken tot applicaties en dataresources met functies voor gecontroleerd toegangsbeheer. Het identificeert identiteitsblootstellingen op endpoints, AD en de cloud om uw totale aanvalsoppervlak te verkleinen. Het kan identiteitsaanvallen detecteren vanaf endpoints of domeincontrollers en waarschuwingen geven bij schendingen van identiteitsvertrouwen.

U zult het pad naar een inbreuk begrijpen en topografische kaarten visueel ervaren die laten zien hoe aanvallers hun aanvallen van het ene systeem naar het andere kunnen uitbreiden. Door het te gebruiken, kunt u verborgen elementen in het hele netwerk ontdekken die laterale beweging mogelijk maken, waaronder blootgestelde oppervlakken, verweesde assets met inloggegevens en beleidsschendingen. U kunt onze AI-SIEM  gebruiken voor loganalyse en SentinelOne heeft ook Singularity™ Endpoint voor endpointbeveiliging.

Identiteitsrisico's in uw hele organisatie verminderen

Detecteer en reageer in realtime op aanvallen met holistische oplossingen voor Active Directory en Entra ID.

Vraag een demo aan

Conclusie

Active Directory-beveiliging is geen one-size-fits-all-aanpak. Het is een combinatie van maatregelen, tools en technologieën, plus praktijken die u zult gebruiken om Active Directory-omgevingen te hardenen. Pak het stap voor stap aan en begin met de basis. Controleer uw bestaande beveiligingsinfrastructuur en gebruikersaccounts, en voer een audit uit. Werk vervolgens van daaruit verder.

Als u op zoek bent naar de beste Active Directory-beveiligingstools, dan kunt u contact opnemen met het SentinelOne-team. Onze diensten kunnen u helpen.