Пентест Active Directory

Active Directory управляет учётными записями, правами доступа и аутентификацией во всей сети Windows. Кто контролирует домен, тот контролирует все подключённые к нему системы, поэтому права администратора домена — фактически конечная цель большинства атак на корпоративную инфраструктуру. При этом AD сложна и за годы работы накапливает множество настроек, устаревших объектов и избыточных прав.

Как устроена типичная атака на домен

Реальная атака редко начинается с прямого взлома контроллера домена. Обычно злоумышленник получает учётную запись рядового пользователя через фишинг или уязвимость, а дальше шаг за шагом повышает привилегии, эксплуатируя слабые пароли сервисных учёток, ошибки в правах доступа и особенности протокола Kerberos. Пентест AD моделирует именно этот путь.

Модель assumed breach

Обычно мы проводим пентест Active Directory по модели assumed breach: предполагаем, что злоумышленник уже получил минимальный доступ, например права обычного доменного пользователя. Так выглядит большинство реальных инцидентов, и это позволяет сосредоточиться на главном вопросе — как далеко атакующий продвинется изнутри домена.

Проверяем весь спектр современных техник атак на доменную инфраструктуру, которые встречаются в реальных инцидентах.

Атаки на Kerberos

Kerberoasting и AS-REP Roasting — техники получения и офлайн-перебора паролей сервисных учётных записей, а также атаки на делегирование Kerberos (unconstrained и constrained delegation).

Слабые ACL и пути эскалации

Анализируем права доступа к объектам домена и строим граф возможных путей повышения привилегий, вычисляя опасные цепочки, ведущие к администратору домена.

Атаки на учётные данные

Проверяем возможность атак Pass-the-Hash, Pass-the-Ticket и NTLM relay, а также наличие слабых и повторно используемых паролей, особенно у сервисных и привилегированных учётных записей.

Уязвимости AD CS и групповых политик

Оцениваем безопасность инфраструктуры сертификатов Active Directory (AD CS) и настроек групповых политик, которые всё чаще идут в ход для повышения привилегий.

В основе работы — сбор данных о домене и построение графа атак с последующей контролируемой эксплуатацией.

Этапы пентеста AD

1. Сбор данных о домене с позиции обычного пользователя.
2. Построение графа атак и поиск путей до администратора домена.
3. Эксплуатация уязвимых конфигураций и слабых учётных записей.
4. Повышение привилегий и закрепление в инфраструктуре.
5. Оценка глубины компрометации и доступа к критичным ресурсам.
6. Отчёт с планом харденинга Active Directory.

Инструменты и методология

Мы используем признанные подходы к анализу Active Directory, включая построение графов атак для наглядного отображения путей компрометации. Каждую найденную возможность эскалации подтверждаем практикой и сопровождаем объяснением первопричины, чтобы администраторы понимали, что именно и почему нужно исправить.

Что вы получаете

• Граф путей компрометации и критичные точки эскалации привилегий.
• Конкретные шаги по устранению для администраторов Active Directory.
• Рекомендации по модели безопасности (tiering) и мониторингу.
• Резюме для руководства и бесплатный повторный тест после изменений.

Для кого важен пентест Active Directory

Тестирование AD нужно любой организации с доменной инфраструктурой Windows: банкам, промышленным предприятиям, ритейлу, государственным структурам и всем компаниям со значительным числом рабочих станций и серверов. Особенно важно проводить пентест AD как часть защиты от программ-вымогателей.

Почему выбирают HirexTech

• Глубокая экспертиза в атаках и защите доменной инфраструктуры.
• Наглядные графы путей компрометации вместо абстрактного списка.
• Практичные рекомендации по харденингу и модели tiering.
• Безопасность рабочего домена и строгое соблюдение NDA.

Большинство успешных атак программ-вымогателей на крупные компании проходят через Active Directory: получив контроль над доменом, злоумышленник разом шифрует сотни систем и отключает средства защиты. При этом уязвимости AD редко связаны с отсутствием обновлений. Чаще они прячутся в накопленных за годы настройках: избыточных правах, забытых сервисных учётках со слабыми паролями, опасных делегированиях, неверно выданных сертификатах. Обычный сканер этого не видит, такое находит только целенаправленный анализ.

Опасность в том, что путь до администратора домена обычно собирается из нескольких небольших недочётов, каждый из которых по отдельности выглядит приемлемо. Один пользователь имеет чуть больше прав, чем нужно. У сервисной учётки слабый пароль. Где-то настроено небезопасное делегирование. Мелочи, но вместе они образуют цепочку, ведущую к полной компрометации. Пентест Active Directory находит именно такие цепочки и показывает, разрыв какого звена перекроет весь путь атаки.

Регулярный пентест и последовательный харденинг Active Directory — одна из самых окупаемых инвестиций в безопасность корпоративной сети. Правильно выстроенная модель уровней доступа (tiering), контроль привилегированных учётных записей и мониторинг подозрительной активности резко усложняют злоумышленнику задачу и часто останавливают атаку на ранней стадии. Мы помогаем построить такую защиту на основе реальных путей атаки, найденных в вашей инфраструктуре.

Данные о структуре Active Directory, учётных записях и правах доступа — чувствительная информация, компрометация которой опасна сама по себе. Поэтому весь пентест AD идёт строго конфиденциально, в рамках соглашения о неразглашении, а доступ к результатам есть только у участников проекта. Мы работаем аккуратно, чтобы не задеть контроллеры домена и пользователей, и согласуем все потенциально рискованные действия заранее.

По каждой найденной возможности эскалации мы даём подробные рекомендации: какие права пересмотреть, какие пароли усилить, какие настройки делегирования и сертификатов исправить. Помогаем выстроить модель уровней доступа (tiering), которая изолирует привилегированные учётные записи и резко удлиняет злоумышленнику путь к администратору домена. После изменений проводим бесплатный повторный тест и подтверждаем, что опасные цепочки эскалации действительно устранены.

Модель уровней доступа, или tiering, — это способ организации Active Directory, при котором привилегированные учётные записи и системы разносятся по изолированным уровням, чтобы компрометация обычной рабочей станции не открывала путь к администратору домена. Смысл в том, чтобы учётные данные высокого уровня никогда не использовались на системах низкого уровня, где их может перехватить злоумышленник. Это одна из самых эффективных мер защиты доменной инфраструктуры от современных атак.

На практике внедрение tiering требует пересмотра того, где и как используются привилегированные учётные записи, и последовательного разделения административного доступа. По итогам пентеста Active Directory мы показываем, какие цепочки эскалации существуют в вашем домене сейчас и как правильная модель уровней доступа их разрывает. Такой подход строит защиту не на догадках, а на реальных путях атаки, выявленных в вашей инфраструктуре.