أمان Active Directory وحماية الهوية

بالنسبة للعديد من المؤسسات، يعد Active Directory (AD) المحور المركزي لإدارة الهوية والوصول - التحكم في عمليات تسجيل دخول المستخدمين وحسابات الكمبيوتر والأذونات. على هذا النحو، فهي جوهرة التاج للمهاجمين. تركز تقنية AD Security & Identity Protection على حماية هذه البنية التحتية الحيوية من إساءة الاستخدام والتكوين الخاطئ والاستغلال.

يعد Active Directory معقدًا ويمكن أن يكون عرضة للانحراف في التكوين والمشكلات القديمة (فكر في المنظمات التي جمعت المجموعات والسياسات وعلاقات الثقة على مدار سنوات). يستغل المهاجمون عادةً التكوينات الخاطئة مثل الامتيازات المفرطة أو حسابات الخدمة غير المُدارة أو بروتوكولات المصادقة الضعيفة. يستخدمون تقنيات مثل Pass-the-Hash و Golden Ticket (تذاكر Kerberos المزورة) و DCSync للتنقل بصمت داخل AD والحصول في النهاية على تحكم مشرف النطاق، مما يمنحهم مفاتيح المملكة بشكل فعال.

تقوم التقنيات الموجودة في هذه المساحة بإجراء تدقيق مستمر لإعدادات AD والأذونات والحالة. ويمكنهم تصور العلاقات لتحديد مسارات تصعيد الامتيازات، واكتشاف التغييرات الشاذة في الوقت الفعلي، وفرض أفضل الممارسات. على سبيل المثال، قد يقومون بالتنبيه في حالة حصول مجموعة حساسة (مثل Domain Admins) على عضو جديد، أو إذا قام شخص ما بإنشاء طلب نسخ لبيانات AD (والتي يمكن أن تكون هجوم DCSync).

يوفر الحل الذي نقدمه من Forestall - FSProtect - مثل هذه الإمكانات. فهي تحدد بيئة الإعلان الخاصة بك وتحدد نقاط الضعف أو التكوينات الخاطئة التي يمكن الاستفادة منها في الهجوم. سيحدد أشياء مثل الحسابات ذات حقوق المسؤول التي ربما لا ينبغي أن تمتلكها، أو أجهزة الكمبيوتر التي لا تتلقى تحديثات الأمان المناسبة في AD. بالإضافة إلى ذلك، قد يسلط الضوء على الحسابات القديمة أو بيانات الاعتماد (الحسابات التي لم تقم بتسجيل الدخول لمدة 90 يومًا، مما يشير إلى أنها قد تكون قديمة وتشكل خطرًا أمنيًا إذا تم تمكينها) وفرض الامتثال لسياسة كلمة المرور.

جانب آخر هو مراقبة مصادقة AD والتذاكر. يمكن لبعض أدوات أمان AD المتقدمة اكتشاف طلبات تذاكر Kerberos غير العادية أو أنماط مصادقة NTLM، والتي قد تشير إلى قيام شخص بإجراء استطلاع أو محاولة هجمات AD معروفة. إذا حاول أحد المهاجمين إنشاء تذكرة ذهبية، على سبيل المثال، فقد تلاحظ أداة مراقبة الإعلانات التي تم ضبطها جيدًا خصائص التذكرة غير الطبيعية.

تمتد حماية الهوية إلى ما وراء AD إلى موفري الهوية في السحابة (مثل Azure AD أو غيرها في الإعدادات المختلطة). غالبًا ما يتضمن تطبيق المصادقة متعددة العوامل (MFA) وأمان تسجيل الدخول الأحادي وسياسات الوصول المشروط لضمان وصول الأشخاص والأجهزة والسياقات المناسبة فقط إلى الموارد.

في الأساس، تهدف تقنية AD وأمن الهوية إلى تقليص مساحة الهجوم حول الهويات (التي تعد هدفًا مفضلًا) وتوفير الكشف المبكر عن أي سلوك مشبوه يشمل حسابات المستخدمين أو خدمات الدليل. نظرًا لأن حساب المشرف المخترق يمكن أن يقوض جميع عناصر التحكم الأمنية الأخرى، فإن حماية هذه الحسابات والدليل أمر بالغ الأهمية. من خلال استخدام هذه التقنيات، يمكن للمؤسسات منع المهاجمين من تصعيد الامتيازات بسهولة وكذلك تلبية متطلبات الامتثال لإدارة الهوية (مثل ضمان حصول الموظفين المصرح لهم فقط على وصول معين، مع إثبات التطبيق المستمر).