Контролер домену — сервер зі службами Active Directory Domain Services, який автентифікує користувачів і комп’ютери, зберігає їхні облікові записи та застосовує політики безпеки в домені Windows.
Як працює контролер домену
Контролер домену (DC) зберігає копію бази Active Directory — файл NTDS.dit з усіма обліковими записами користувачів, груп і комп’ютерів та хешами їхніх паролів. Він виконує роль центру розподілу ключів для Kerberos, відповідає на LDAP-запити, поширює групові політики й реплікує зміни на інші контролери домену. Великі організації мають кілька DC для відмовостійкості, часто на різних майданчиках і сайтах Active Directory.
Чому контролер домену — головна ціль атакувальників
Контроль над контролером домену означає контроль над кожним обліковим записом і машиною в домені, тому саме до нього прагнуть зловмисники під час горизонтального переміщення. Поширені техніки:
- DCSync (MITRE ATT&CK T1003.006) — зловживання правами реплікації, щоб запросити хеші паролів будь-якого облікового запису, зокрема krbtgt.
- Крадіжка NTDS.dit (T1003.003) — копіювання бази за допомогою ntdsutil або тіньових копій томів.
- Golden Ticket — підробка квитків Kerberos за допомогою викраденого хешу krbtgt.
- Експлуатація вразливостей — Zerologon (CVE-2020-1472) дозволяв зловмисникові в мережі захопити DC без жодних облікових даних.
Отримавши доступ, оператори шифрувальників часто використовують групові політики на контролері домену, щоб одночасно розіслати шифрувальник на всі комп’ютери.
Як захистити контролери домену
- Оперативно оновлювати DC і не запускати на них інших застосунків.
- Звести до мінімуму кількість адміністраторів домену й застосовувати багаторівневу модель адміністрування з виділеними робочими станціями адміністраторів.
- Відстежувати запити реплікації від систем, які не є DC, та інші підозрілі події.
- Створювати офлайнові копії Active Directory і відпрацьовувати відновлення лісу.
