Пентест Active Directory

Active Directory управляет учётными записями, правами доступа и аутентификацией во всей сети Windows. Тот, кто контролирует домен, контролирует все подключённые к нему системы, поэтому получение прав администратора домена — это фактически конечная цель большинства атак на корпоративную инфраструктуру. При этом AD — сложная система, накапливающая за годы работы множество настроек, устаревших объектов и избыточных прав.

Как устроена типичная атака на домен

Реальная атака редко начинается с прямого взлома контроллера домена. Обычно злоумышленник получает доступ к учётной записи рядового пользователя через фишинг или уязвимость, а затем шаг за шагом повышает привилегии, используя слабые пароли сервисных учёток, ошибки в правах доступа и особенности протокола Kerberos. Пентест AD моделирует именно этот путь.

Модель assumed breach

Мы обычно проводим пентест Active Directory по модели assumed breach — предполагая, что злоумышленник уже получил минимальный доступ, например права обычного доменного пользователя. Это отражает большинство реальных инцидентов и позволяет сосредоточиться на главном вопросе: как далеко сможет продвинуться атакующий изнутри домена.

Мы проверяем весь спектр современных техник атак на доменную инфраструктуру, которые применяются в реальных инцидентах.

Атаки на Kerberos

Kerberoasting и AS-REP Roasting — техники получения и офлайн-перебора паролей сервисных учётных записей, а также атаки на делегирование Kerberos (unconstrained и constrained delegation).

Слабые ACL и пути эскалации

Анализируем права доступа к объектам домена и строим граф возможных путей повышения привилегий, выявляя опасные цепочки, ведущие к администратору домена.

Атаки на учётные данные

Проверяем возможность атак Pass-the-Hash, Pass-the-Ticket и NTLM relay, а также наличие слабых и повторно используемых паролей, особенно у сервисных и привилегированных учётных записей.

Уязвимости AD CS и групповых политик

Оцениваем безопасность инфраструктуры сертификатов Active Directory (AD CS) и настроек групповых политик, которые всё чаще используются для повышения привилегий.

Работа строится на сборе данных о домене и построении графа атак с последующей контролируемой эксплуатацией.

Этапы пентеста AD

1. Сбор данных о домене с позиции обычного пользователя.
2. Построение графа атак и поиск путей до администратора домена.
3. Эксплуатация уязвимых конфигураций и слабых учётных записей.
4. Повышение привилегий и закрепление в инфраструктуре.
5. Оценка глубины компрометации и доступа к критичным ресурсам.
6. Отчёт с планом харденинга Active Directory.

Инструменты и методология

Мы используем признанные подходы к анализу Active Directory, включая построение графов атак для наглядного отображения путей компрометации. Каждая найденная возможность эскалации подтверждается практикой и сопровождается объяснением первопричины, чтобы администраторы понимали, что именно и почему нужно исправить.

Что вы получаете

• Граф путей компрометации и критичные точки эскалации привилегий.
• Конкретные шаги по устранению для администраторов Active Directory.
• Рекомендации по модели безопасности (tiering) и мониторингу.
• Резюме для руководства и бесплатный повторный тест после изменений.

Для кого важен пентест Active Directory

Тестирование AD необходимо любой организации с доменной инфраструктурой Windows: банкам, промышленным предприятиям, ритейлу, государственным структурам и всем компаниям со значительным числом рабочих станций и серверов. Особенно важно проводить пентест AD как часть защиты от программ-вымогателей.

Почему выбирают HirexTech

• Глубокая экспертиза в атаках и защите доменной инфраструктуры.
• Наглядные графы путей компрометации вместо абстрактного списка.
• Практичные рекомендации по харденингу и модели tiering.
• Безопасность рабочего домена и строгое соблюдение NDA.

Большинство успешных атак программ-вымогателей на крупные компании проходят через Active Directory: получив контроль над доменом, злоумышленник может одновременно зашифровать сотни систем и отключить средства защиты. При этом уязвимости AD редко связаны с отсутствием обновлений — чаще они кроются в накопленных за годы настройках: избыточных правах, забытых сервисных учётных записях со слабыми паролями, опасных делегированиях и неверно выданных сертификатах. Эти проблемы не видит обычный сканер, их выявляет только целенаправленный анализ.

Опасность в том, что путь до администратора домена обычно складывается из нескольких небольших недочётов, каждый из которых по отдельности выглядит приемлемым. Один пользователь имеет чуть больше прав, чем нужно; у сервисной учётки слабый пароль; где-то настроено небезопасное делегирование. По отдельности это мелочи, но вместе они образуют цепочку, ведущую к полной компрометации. Пентест Active Directory находит именно такие цепочки и показывает, разрыв какого звена перекроет весь путь атаки.

Регулярный пентест и последовательный харденинг Active Directory — одна из самых эффективных инвестиций в безопасность корпоративной сети. Правильно выстроенная модель уровней доступа (tiering), контроль привилегированных учётных записей и мониторинг подозрительной активности в домене резко усложняют злоумышленнику задачу и часто останавливают атаку на ранней стадии. Мы помогаем выстроить такую защиту на основе реальных путей атаки, выявленных в вашей инфраструктуре.

Данные о структуре Active Directory, учётных записях и правах доступа — это чувствительная информация, компрометация которой сама по себе опасна. Поэтому весь пентест AD проводится строго конфиденциально, в рамках соглашения о неразглашении, а доступ к результатам имеют только участники проекта. Мы работаем аккуратно, чтобы не нарушить работу контроллеров домена и пользователей, и согласуем все потенциально рискованные действия заранее.

По каждой найденной возможности эскалации мы даём подробные рекомендации: какие права пересмотреть, какие пароли усилить, какие настройки делегирования и сертификатов исправить. Мы помогаем выстроить модель уровней доступа (tiering), которая изолирует привилегированные учётные записи и резко усложняет злоумышленнику путь к администратору домена. После внесения изменений мы проводим бесплатный повторный тест и подтверждаем, что опасные цепочки эскалации действительно устранены.

Модель уровней доступа, или tiering, — это подход к организации Active Directory, при котором привилегированные учётные записи и системы разделяются на изолированные уровни, чтобы компрометация обычной рабочей станции не открывала путь к администратору домена. Идея в том, чтобы учётные данные высокого уровня никогда не использовались на системах низкого уровня, где их может перехватить злоумышленник. Это одна из самых эффективных мер защиты доменной инфраструктуры от современных атак.

На практике внедрение tiering требует пересмотра того, где и как используются привилегированные учётные записи, и последовательного разделения административного доступа. По итогам пентеста Active Directory мы показываем, какие цепочки эскалации существуют в вашем домене сейчас, и как правильная модель уровней доступа разрывает эти цепочки. Такой подход помогает выстроить защиту не на догадках, а на реальных путях атаки, выявленных в вашей инфраструктуре.