آسیب پذیری سرویس Active Directory

شرکت Aorato به تازگی مشکل امنیتی را در Active Directory کشف کرده است که علی رغم اقدامات امنیتی لحاظ شده به مهاجمان اجازه می دهد رمز عبور قربانی را تغییر دهد.

این موضوع در حالی است که بیش از 95 درصد شرکت ها از این سرویس استفاده می کنند.

در این حمله، مهاجم با استفاده از رمز عبور جدید می تواند به سطح دسترسی و محتواهای مختلف دست یابد. متاسفانه، علی رغم اقدامات امنیتی انجام شده در لایه های مختلف این پروتکل، مهاجم بدون اطلاع قبلی از لاگ های سیستم، یک سیستم بر اساس لاگ را با امنیت بالا برای مقابله با چنین حملاتی لحاظ می کند.

در این حمله، مهاجم با استفاده از ابزار رایگان تست نفوذی که برای عموم آزاد  می باشد (مانند WCE یا Mimikatz) اقدام به سرقت رمزعبور و دیگر مطالب محرمانه از سوی کارمندان می کند  (که موسوم به هش NTLM می باشد). هش NTLM به صورت  پیش فرض بر روی تمام تجهیزاتی که به شرکت ها متصل می شوند موجود می باشد.

از آنجایی که احراز هویت به عنوان یک مسئله امنیتی می باشد (که این کار توسط حمله Pass-the-Hash انجام می گیرد)، باید مورد حفاظت قرار گیرد. این موضوع در حالی است که بیشتر شرکتها استفاده از پروتکل احراز هویت Active Directory (به عنوان مثال NTLM) را که به صورت پیش فرض فعال می باشد را محدود می کنند. در این آسیب پذیری مهاجم کاربران را مجبور به استفاده از احراز هویت ضعیفتر جهت اتصال به سرویس Active Directory می کند. در انتها مهاجم از این رمزعبور برای سرقت اطلاعات محرمانه قربانی جهت دسترسی به منابع شرکت استفاده می کند.

به گفته تال بییری مدیر ارشد شرکت Aorato : "میلیون ها شرکت از سرویس Active Directory به عنوان یک زیر ساخت قابل اعتماد برای IT خود استفاده می کنند. این حقیقت تلخ منجر به این موضوع شده است که حجم بالایی از شرکت ها و کاربران آنها در معرض سرقت اطلاعات محرمانه قرار بگیرند.  تا زمانی که شرکت Aorato از تبعات کامل استفاده از سرویس Active Directory مطمئن نشده است، به شناسایی مهاجمان خواهیم پرداخت".

برای کاهش تبعات ناشی از این آسیب پذیری، شرکت Aorato اقدامات زیر را پیشنهاد می کند:

• تشخیص پروتکل های احراز هویت غیر متعارف
• تشخیص دادن حمله بوسیله مرتبط کردن روش های رمزنگاری استفاده شده غیر معمول با هویت قربانی که استفاده می شود
• انجام اقدامات امنیتی برای کاهش حملات سطحی