เปิดโปงการโจมตี Active Directory แบบ Coercion: บังคับให้เซิร์ฟเวอร์หลักเปิดทางให้แฮกเกอร์

เปิดโปงการโจมตี Active Directory แบบ Coercion: บังคับให้เซิร์ฟเวอร์หลักเปิดทางให้แฮกเกอร์

Active Directory คือหัวใจของโครงสร้างพื้นฐานไอทีในองค์กรจำนวนมาก การรักษาความปลอดภัยของ Active Directory จึงเป็นสิ่งสำคัญอย่างยิ่ง

แต่มีเทคนิคการโจมตีที่แฮกเกอร์ใช้เพื่อเข้าควบคุมระบบ หนึ่งในนั้นคือการโจมตีแบบ Coercion ซึ่งเป็นการบังคับให้เครื่องเป้าหมายยอมตรวจสอบสิทธิ์กับเซิร์ฟเวอร์ของแฮกเกอร์

เทคนิคนี้อันตรายมาก โดยเฉพาะเมื่อใช้กับ Domain Controller (DC) ซึ่งเป็นเซิร์ฟเวอร์หลักที่จัดการการยืนยันตัวตนและการเข้าถึงทรัพยากรทั้งหมดในเครือข่าย

Coercion Attack คืออะไร ทำไมถึงอันตราย?

Coercion หรือการบังคับให้ตรวจสอบสิทธิ์ เป็นกลวิธีที่ผู้โจมตีใช้หลอกล่อหรือบังคับให้เซิร์ฟเวอร์ที่ถูกต้องตามกฎหมาย

ไม่ว่าจะเป็น Domain Controller หรือเครื่องอื่น ๆ ให้พยายามตรวจสอบสิทธิ์กับเครื่องของแฮกเกอร์ที่เตรียมไว้

ความอันตรายร้ายแรงคือเมื่อ Domain Controller ถูกบังคับให้ตรวจสอบสิทธิ์ มันอาจส่ง NTLM hash หรือข้อมูลการพิสูจน์ตัวตนที่สำคัญไปยังเครื่องของผู้โจมตี

แฮกเกอร์สามารถนำไปใช้ในการโจมตีแบบ Relay Attack หรือส่งต่อข้อมูลการพิสูจน์ตัวตนนั้นไปยังบริการอื่น ๆ เพื่อปลอมตัวเป็น DC และเข้าควบคุมทั้งระบบเครือข่ายได้โดยสมบูรณ์

รู้จักกับเทคนิค Coercion ยอดนิยม

แฮกเกอร์มีหลายวิธีในการโจมตีแบบ Coercion โดยอาศัยช่องโหว่หรือพฤติกรรมของบริการต่าง ๆ บน Windows

เทคนิคที่โด่งดังและอันตรายมากคือ PrinterBug (MS-RPRN) ซึ่งใช้ประโยชน์จากบริการ Print Spooler

หากบริการนี้ทำงานบน Domain Controller แฮกเกอร์สามารถส่งคำขอพิเศษเพื่อบังคับให้ DC ตรวจสอบสิทธิ์กับเซิร์ฟเวอร์ที่ควบคุมโดยแฮกเกอร์ได้

นอกจาก PrinterBug ยังมีเทคนิคอื่น ๆ เช่น PetitPotam (MS-EFSR) ที่ใช้ช่องโหว่ใน Encrypting File System Remote Protocol, ShadowCoerce (MS-FSRVP) ที่อาศัย File Server Remote VSS Protocol, และ DFSCoerce (MS-DFSNM) ที่ใช้ Distributed File System Namespace Protocol

เทคนิคเหล่านี้ล้วนมีเป้าหมายเดียวกันคือการบีบให้ Domain Controller เปิดการเชื่อมต่อและส่งข้อมูลการตรวจสอบสิทธิ์ออกมา

กระบวนการโจมตีเป็นอย่างไร

การโจมตีมักเริ่มจากการที่ผู้โจมตีหาทางเข้าถึงเครือข่ายได้ในระดับหนึ่งก่อน อาจด้วยสิทธิ์ผู้ใช้ทั่วไป หรือผ่านเครื่องที่ถูกบุกรุก

จากนั้นผู้โจมตีจะส่งคำขออันตรายไปยังบริการบน Domain Controller เช่น ส่งคำขอผ่าน Print Spooler สำหรับ PrinterBug

คำขอเหล่านี้จะสั่งให้ DC พยายามตรวจสอบสิทธิ์กับเซิร์ฟเวอร์ของแฮกเกอร์

เซิร์ฟเวอร์ของแฮกเกอร์ ซึ่งมักใช้เครื่องมืออย่าง Responder หรือ Impacket’s ntlmrelayx.py จะรอรับการเชื่อมต่อจาก DC

ทันทีที่ DC พยายามตรวจสอบสิทธิ์ แฮกเกอร์จะสามารถจับภาพ NTLM hash ของ Domain Controller ได้

หากเป็นการโจมตีแบบ Relay แฮกเกอร์จะส่งต่อ NTLM hash ที่ได้ไปยังบริการสำคัญอื่น ๆ ในเครือข่าย ทำให้เข้าถึงระบบเหล่านั้นได้ด้วยสิทธิ์ระดับสูงของ DC ซึ่งนำไปสู่การยึดครองระบบทั้งหมดได้ในที่สุด

ป้องกันการโจมตี Coercion ได้อย่างไร?

การป้องกันการโจมตี Coercion ต้องอาศัยการผสมผสานมาตรการความปลอดภัยหลายอย่างเข้าด้วยกัน

สิ่งสำคัญคือการ จำกัดการใช้งาน NTLM โดยเฉพาะสำหรับ Domain Controller ไม่ให้ส่งออกการตรวจสอบสิทธิ์ไปยังภายนอกผ่าน Group Policy

และการ ปิดบริการ Print Spooler บน Domain Controller เป็นมาตรการเร่งด่วนที่สำคัญมากเพื่อป้องกัน PrinterBug

ต้องหมั่น อัปเดตแพตช์ความปลอดภัย เพื่อแก้ไขช่องโหว่ต่าง ๆ เช่น PetitPotam และ CVE-2022-26923 อยู่เสมอ

ควรมีการ ตรวจสอบการจราจรเครือข่าย อย่างใกล้ชิดเพื่อหารูปแบบการตรวจสอบสิทธิ์ NTLM ที่ผิดปกติ หรือการเชื่อมต่อจาก DC ไปยังโฮสต์ที่ไม่รู้จัก

การทำ Network Segmentation เพื่อจำกัดการสื่อสารโดยตรงกับ DC ก็ช่วยลดความเสี่ยงได้

การเปิดใช้งาน Extended Protection for Authentication (EPA) และการตั้งค่า SMB Signing ให้บังคับใช้การเซ็นชื่อดิจิทัลในการสื่อสาร SMB ก็เป็นมาตรการที่ช่วยเสริมความแข็งแกร่งในการป้องกันการโจมตีแบบ Relay ได้เป็นอย่างดี

การทำความเข้าใจและใช้มาตรการเหล่านี้อย่างสม่ำเสมอ จะช่วยเสริมความแข็งแกร่งให้กับ Active Directory และลดความเสี่ยงจากการถูกโจมตีแบบ Coercion ได้อย่างมีประสิทธิภาพ