Najczęstszy scenariusz przejęcia domeny Active Directory nie zaczyna się od kontrolera domeny. Zaczyna się od stacji roboczej, na której administrator zalogował się swoim jedynym kontem, żeby coś sprawdzić. Poświadczenia zostają w pamięci, stacja jest już zainfekowana, a napastnik dostaje w prezencie konto z pełnymi uprawnieniami. Model warstw istnieje po to, by ten scenariusz nie był możliwy.
Trzy warstwy
Systemy i konta dzieli się według tego, co daje ich przejęcie:
- Warstwa 0: wszystko, co kontroluje tożsamość w organizacji. Kontrolery domeny, urząd certyfikacji, hypervisory, na których działają kontrolery, system kopii zapasowych, który ma do nich dostęp, oraz konta z uprawnieniami administratora domeny lub przedsiębiorstwa.
- Warstwa 1: serwery aplikacji, bazy danych, usługi biznesowe i konta administratorów tych serwerów.
- Warstwa 2: stacje robocze, urządzenia użytkowników, konta użytkowników i konta pracowników wsparcia.
Zasada jest jedna: poświadczenia warstwy wyższej nigdy nie trafiają do systemu warstwy niższej. Administrator domeny nie loguje się na serwer aplikacji ani na stację. Administrator serwerów nie loguje się na stację użytkownika swoim kontem serwerowym.
Co to oznacza w praktyce
Każda osoba z uprawnieniami administracyjnymi ma osobne konta na każdą warstwę, w której pracuje. Typowy administrator w małej organizacji ma trzy: konto zwykłego użytkownika do poczty i dokumentów, konto do serwerów i konto do warstwy 0 używane rzadko, wyłącznie na kontrolerach domeny i systemach z nimi równoważnych.
Konta administracyjne nie mają skrzynki pocztowej, nie służą do przeglądania internetu i nie logują się na komputery, na których ktoś robi te rzeczy.
Wymuszenie przez zasady grupy
Model, który opiera się wyłącznie na dyscyplinie, przestaje działać przy pierwszej pilnej awarii. Egzekwowanie zapewniają zasady grupy w sekcji przypisywania praw użytkownika:
- na stacjach roboczych: odmowa logowania lokalnego, przez Pulpit zdalny, jako zadanie wsadowe i jako usługa dla grup administratorów warstwy 0 i warstwy 1,
- na serwerach warstwy 1: te same odmowy dla grup warstwy 0,
- na kontrolerach domeny: logowanie interaktywne wyłącznie dla grupy administratorów warstwy 0.
Konta warstwy 0 trafiają dodatkowo do grupy Protected Users, która wyłącza słabsze mechanizmy uwierzytelniania i skraca życie biletów Kerberos. Hasła lokalnego administratora na każdej maszynie są unikalne i rotowane automatycznie, aby przejęcie jednej stacji nie otwierało pozostałych.
Stacja administracyjna
Do warstwy 0 loguje się wyłącznie z wyznaczonego miejsca: dedykowanej stacji administracyjnej bez poczty i przeglądarki lub z hosta pośredniego, który sam należy do warstwy 0 i wymaga uwierzytelniania wieloskładnikowego. W najmniejszych organizacjach wystarcza jedna maszyna wirtualna z restrykcyjną polityką i bez dostępu do internetu.
Wdrożenie krok po kroku
- Inwentaryzacja: kto jest w grupach uprzywilejowanych i czego faktycznie używa. Zwykle połowa członków nie powinna tam być.
- Utworzenie kont warstwowych i grup dla każdej warstwy.
- Wdrożenie zasad odmowy w trybie audytu: najpierw monitorowanie zdarzeń logowania kont uprzywilejowanych na niewłaściwych systemach, dopiero potem blokada.
- Przeniesienie zadań, które wymagały logowania konta domeny na stacjach, do narzędzi działających w kontekście konta systemowego lub przez zdalne zarządzanie.
- Włączenie egzekwowania i przegląd zdarzeń odmowy przez pierwsze tygodnie.
Podsumowanie
Model warstw nie wymaga budżetu, tylko decyzji i konsekwencji. Osobne konta, kilka zasad grupy i jedno miejsce do pracy na kontrolerach domeny sprawiają, że zainfekowana stacja robocza pozostaje incydentem na stacji roboczej, a nie początkiem odbudowy całej domeny.