Контроллер домена — сервер со службами Active Directory Domain Services, который аутентифицирует пользователей и компьютеры, хранит их учётные записи и применяет политики безопасности в домене Windows.
Как работает контроллер домена
Контроллер домена (DC) хранит копию базы Active Directory — файл NTDS.dit со всеми учётными записями пользователей, групп и компьютеров и хешами их паролей. Он выполняет роль центра распределения ключей для Kerberos, отвечает на LDAP-запросы, распространяет групповые политики и реплицирует изменения на другие контроллеры домена. Крупные организации держат несколько DC для отказоустойчивости, часто в разных площадках и сайтах Active Directory.
Почему контроллер домена — главная цель атакующих
Контроль над контроллером домена означает контроль над каждой учётной записью и машиной в домене, поэтому именно к нему стремятся злоумышленники при горизонтальном перемещении. Распространённые техники:
- DCSync (MITRE ATT&CK T1003.006) — злоупотребление правами репликации, чтобы запросить хеши паролей любой учётной записи, включая krbtgt.
- Кража NTDS.dit (T1003.003) — копирование базы с помощью ntdsutil или теневых копий томов.
- Golden Ticket — подделка билетов Kerberos с помощью украденного хеша krbtgt.
- Эксплуатация уязвимостей — Zerologon (CVE-2020-1472) позволял злоумышленнику в сети захватить DC без каких-либо учётных данных.
Получив доступ, операторы шифровальщиков часто используют групповые политики на контроллере домена, чтобы одновременно разослать шифровальщик на все компьютеры.
Как защитить контроллеры домена
- Оперативно обновлять DC и не запускать на них другие приложения.
- Свести к минимуму число администраторов домена и применять многоуровневую модель администрирования с выделенными рабочими станциями администраторов.
- Отслеживать запросы репликации от систем, не являющихся DC, и другие подозрительные события.
- Создавать офлайн-копии Active Directory и отрабатывать восстановление леса.
