Analisi del percorso di attacco

Gli asset Tier 0 sono gli account, i gruppi e le altre risorse che hanno il controllo amministrativo diretto o indiretto di una foresta Active Directory, dei domini e dei controller di dominio. Con l'accesso agli asset Tier 0, gli aggressori possono assumere il controllo dell'intera rete.

Microsoft ha sviluppato il modello di amministrazione a livelli per Active Directory per aumentare le difficoltà degli attori delle minacce nell'eseguire l'escalation dei privilegi, ovvero il passaggio da una workstation a un server fino al controllo del dominio AD. Questo modello prevede tre livelli:

• Il Tier 2 è composto da client, stampanti e dispositivi mobili del dominio e dagli account che li amministrano.
• Il Tier 1 contiene i server e le applicazioni e i relativi account amministrativi.
• Il Tier 0 contiene i server (ad es. i controller di dominio), le strutture AD (come la GPO Default Domain Policy) e gli account privilegiati che supportano il servizio Active Directory stesso.

Questa gerarchia viene applicata in modo tale che le credenziali dei livelli superiori non possano essere accessibili dai livelli inferiori (ad esempio, un account amministratore di dominio che accede a un PC client, dove tali credenziali privilegiate potrebbero essere successivamente raccolte da malware come mimikatz). Per gli ambienti ibridi questo modello è stato ampliato al fine di tenere conto della maggiore complessità e viene chiamato modello di accesso aziendale.

Gli asset Tier 0 hanno il controllo amministrativo di Active Directory. Se uno di questi asset viene compromesso, un attore pericoloso può ottenere il controllo di Active Directory e quindi di ogni asset (server, applicazioni, database, client, altri account AD) all'interno di Active Directory per raggiungere i propri obiettivi.

A causa di configurazioni errate che si accumulano nel tempo, molte organizzazioni dispongono di account e gruppi con accesso privilegiato, ossia di risorse Tier 0, ma questi privilegi eccessivi vengono trascurati, oppure i team IT e di sicurezza non hanno le risorse per esaminarli. Scoprire queste risorse può essere difficile. Forest Druid di Semperis, uno strumento gratuito per la community, mette in luce gli account sensibili in modo che i team IT e della sicurezza possano contrassegnarli come "Tier 0" e applicare le misure di protezione appropriate, tra cui il blocco dei privilegi o l'eliminazione totale degli account non necessari.

I percorsi di attacco sono le strade che un attore di minacce può percorrere dall'accesso iniziale all'ambiente (ad esempio un PC client), con fasi intermedie, fino al dominio Tier 0.

Semperis mette a disposizione uno strumento gratuito per l'individuazione dei percorsi di attacco Tier 0, chiamato Forest Druid, che aiuta a individuare le risorse Tier 0 vulnerabili, bloccare i privilegi eccessivi e scoprire e correggere rapidamente i percorsi più pericolosi, non solo quelli più comuni(fai clic qui per maggiori dettagli su Forest Druid).