LDAP (Lightweight Directory Access Protocol) — открытый стандартный протокол для запросов к службам каталогов и изменения их данных о пользователях, группах, компьютерах и других сетевых ресурсах.
Как работает LDAP
Каталог организует записи в дерево; каждая запись идентифицируется отличительным именем (DN), например cn=Alice,ou=Staff,dc=example,dc=com, и содержит атрибуты: адрес почты, членство в группах или хеш пароля. Клиенты подключаются к LDAP-серверу, проходят аутентификацию (bind), а затем ищут, добавляют или изменяют записи. LDAPv3 описан в RFC 4511 и связанных документах. LDAP использует TCP-порт 389, LDAPS (LDAP поверх TLS) — порт 636. LDAP поддерживают Microsoft Active Directory, OpenLDAP и многие платформы управления идентификацией, а приложения, VPN и принтеры часто проверяют через него учётные данные пользователей.
Почему LDAP важен для безопасности
- Учётные данные открытым текстом — простая привязка (simple bind) по незашифрованному LDAP передаёт пароли открытым текстом. Microsoft призывает администраторов включать подпись LDAP и привязку каналов на каждом контроллере домена.
- Разведка — любой аутентифицированный пользователь домена может запрашивать AD через LDAP; сборщики данных BloodHound используют это, чтобы построить карту пользователей, групп и путей атаки (MITRE ATT&CK T1087.002).
- LDAP-инъекция (CWE-90) — как и при других видах внедрения кода, неочищенный ввод в поисковых фильтрах позволяет обойти аутентификацию или получить данные.
- Log4Shell — уязвимость Log4j (CVE-2021-44228) 2021 года обычно эксплуатировалась через JNDI-запросы, загружавшие код атакующего с вредоносных LDAP-серверов.
- Усиление DDoS — открытый LDAP без установления соединения (CLDAP, UDP 389) используют в атаках с отражением.
Рекомендации
- Требовать LDAPS или StartTLS, включить подпись и привязку каналов.
- Использовать для интеграций с LDAP отдельные сервисные учётные записи с минимальными привилегиями и по возможности предпочитать Kerberos или современную федерацию.
- Экранировать специальные символы в LDAP-фильтрах, построенных из пользовательского ввода.
- Никогда не открывать порты LDAP в интернет и отслеживать необычные массовые запросы.
