Active Directory 安全性評估 – 簡易指南 101

Active Directory (AD) 已成為攻擊者發動以身分識別為中心攻擊的主要目標。幸運的是，目前已有多種工具可協助企業資安團隊更清楚掌握其 Active Directory 執行個體的可視性，並處理所發現的任何弱點。

分析師常用的一種熱門工具是 Attack Path 圖表，可用來顯示攻擊者可能採取的路徑，從一般使用者一路提升權限至高權限帳戶，例如備受覬覦的 Domain Admin。

雖然這類視覺化方式可能有所幫助，但它無法取代 Active Directory 評估工具；後者不僅能修補弱點，還能促進最佳實務。為了說明兩者差異，在本文中 我們將透過兩個代表企業中常見情境的範例場景，比較這兩種方法。

案例研究：基本權限提升

在第一個情境中，我們將檢視一條簡單的 Attack Path，並將其與針對相同問題的 AD 安全性評估結果進行比較。

在第一個範例中，遭入侵的一般使用者「Bob」恰好是較大型 Engineering 群組的成員，而該群組又是 CAD Tools 群組的子集合。由於設定不當與權限區隔不佳，此群組同時也是 Service Installers 群組的成員，而該群組本身又恰好是 Domain Admins 群組的成員。

很明顯地，儘管 Bob 理應僅擁有 Standard User 權限，這組巢狀關係仍讓攻擊者在入侵 Bob 的帳戶後取得 Domain Admin 權限。

此時，讓我們來探討 AD 安全性評估工具在這類情況下可提供的背景資訊，以及管理員可能如何利用這些資訊來降低此問題的風險，並防止再次發生。

AD 安全性評估工具將提供：

• 所有具有特權存取權的使用者清單。這將包含所有特權群組之巢狀群組中的全部成員。
• 應從特權群組中移除的巢狀群組清單。這是管理員降低此問題風險所需的捷徑。
• 不要將群組巢狀加入特權群組的最佳實務。這可消除瓶頸點，使成員更不容易被意外授予特權存取權。這是管理員防止此問題所需的指引。

第二與第三項最為關鍵。如果我們只是將 Service Installers 群組從 Domain Admins 群組中移除（連同任何其他可能也被巢狀加入的群組），遭入侵的一般使用者帳戶將不再是 Domain Admin。透過處理此弱點並遵循最佳實務，管理員將不再需要檢視圖表並判斷應從何處修剪群組成員資格，實際上也就讓該圖表變得無關緊要。

案例研究：憑證破解

讓我們檢視另一條簡單的 Attack Path。

在上述攻擊路徑中，某位使用者的電腦 (COMPUTER 1) 已遭入侵。接著，攻擊者成功破解該電腦本機系統管理員帳戶的憑證。然後，攻擊者使用該本機系統管理員帳戶的密碼登入另一台電腦 (COMPUTER 2)，而該電腦為了便於管理而以相同憑證進行了（錯誤）設定。在 COMPUTER2 上，攻擊者破解了 Domain Admin 帳戶的雜湊值，成功提升其存取權限。

Active Directory 安全性評估工具可透過向分析師傳達以下資訊，快速降低此風險：

• 未偵測到在 Active Directory 中設定 LAPS (Local Administrator Password Solution)。如果有設定，這原本可防止攻擊者使用相同的本機系統管理員密碼，從 COMPUTER1 橫向移動到 COMPUTER2。確保每個本機系統管理員帳戶都有不同且會輪替的密碼，是一項最佳實務。LAPS 可滿足此需求。
• 過去曾有 Domain Admin 帳戶登入工作站，留下了可供攻擊者利用的雜湊值。此處建議的最佳實務是，僅使用 Domain Admin 帳戶登入網域控制站，並清除工作站與成員伺服器上的所有雜湊值。

透過遵循 AD 安全性評估工具的風險緩解步驟與最佳實務建議，管理員可以消除攻擊者可能利用的 Attack Path，並防止其利用這些錯誤設定與弱點。

Attack Path 遺漏的 Active Directory 風險

Attack Path 的設計是為了呈現已知攻擊，而修補弱點則能同時消除這些攻擊，且往往也能消除未知向量。因此，根除弱點並遵循最佳實務更為重要。

Attack Path 所描繪的圖像，對實際的 Active Directory 安全狀況而言是不完整的呈現。顯示組織可能如何暴露於風險中的圖表，不如能夠確保 AD 基礎架構現在與未來都不會暴露於風險中的工具來得有效。

以下是一些不適合以複雜 Attack Path 圖表呈現的攻擊範例，然而 AD 安全性評估能偵測出其中每一項卻至關重要。

• 暴力破解密碼攻擊 – 評估應能偵測使用常見已知密碼、字典詞彙的憑證，或嘗試輸入所有可能字元組合直到「猜中」密碼的行為。
• 非受限委派暴露 – 當 AD 使用者或電腦物件已被委派給任何使用 Kerberos 的服務時。若遭入侵，這可能讓攻擊者冒用已驗證帳戶存取任何服務。
• 保護您的 Active Directory 免受 AdminSDHolder 攻擊 – 將使用者或群組新增至 Active Directory 中的 AdminSDHolder 範本，該範本會「套用」到每個特權使用者與群組的 ACL 上，賦予其對這些帳戶的權限。

Singularity™ Identity Posture Management 會掃描 Active Directory 環境中的這類與更多漏洞，指導管理員如何加以緩解，並確保採用最佳實務以防止未來再次發生。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

結論

雖然 Attack Paths 是有趣的圖表，能讓管理員了解潛在攻擊如何在網路中發生，但它們無法取代主動式方法；後者可消除已知漏洞並強制執行最佳實務。 Singularity Identity Posture Management 可找出漏洞並指導管理員加以修補，並持續維持修補狀態。