เจาะลึก Active Directory: 12 เทคนิคที่ Red Team ต้องรู้ เพื่อบุกทะลวงเครือข่าย
Active Directory (AD) เป็นเหมือนหัวใจสำคัญของเครือข่ายองค์กรส่วนใหญ่ มันทำหน้าที่จัดการผู้ใช้งาน คอมพิวเตอร์ และทรัพยากรทั้งหมด
ถ้าลองนึกถึงปราสาท AD ก็คือห้องควบคุมหลักที่เก็บกุญแจสำคัญทุกดอกไว้ด้วยกัน ดังนั้นจึงไม่แปลกเลยที่ ผู้โจมตี หรือทีม Red Team ผู้เชี่ยวชาญ จะพุ่งเป้าไปที่ AD เป็นอันดับแรก
การเข้าใจกลไกและช่องโหว่ของ AD อย่างลึกซึ้ง ไม่ใช่แค่เรื่องของฝ่ายโจมตีเท่านั้น แต่ฝ่ายป้องกันก็จำเป็นต้องรู้เท่าทัน เพื่อสร้างเกราะป้องกันที่แข็งแกร่ง
บทความนี้จะพาคุณไปสำรวจ 12 เทคนิคสำคัญที่ Red Team ใช้เพื่อบุกทะลวง Active Directory ซึ่งเป็นสิ่งจำเป็นอย่างยิ่งหากต้องการเข้าใจภูมิทัศน์การโจมตีสมัยใหม่
การรวบรวมข้อมูลและค้นหาเป้าหมาย
ก่อนจะเริ่มโจมตี ผู้บุกรุกต้องรู้จักเป้าหมายให้ดีเสียก่อน
การรวบรวมข้อมูลจาก Active Directory เป็นขั้นตอนแรกที่สำคัญ เพื่อทำความเข้าใจโครงสร้าง สมาชิก และช่องโหว่ที่อาจเกิดขึ้น
เทคนิคสำคัญในขั้นตอนนี้ได้แก่:
1. การสอบถาม LDAP (LDAP Querying):
นี่คือวิธีหลักในการดึงข้อมูลจาก AD เพื่อค้นหาชื่อผู้ใช้งาน กลุ่ม คอมพิวเตอร์ และนโยบายต่างๆ ที่อาจเป็นประโยชน์ในการวางแผนการโจมตี
2. การค้นหา Service Principal Names (SPNs):
SPNs คือชื่อเฉพาะของบริการที่รันภายใต้บัญชีผู้ใช้ ทำให้ผู้โจมตีสามารถค้นหาบริการเหล่านี้เพื่อใช้เทคนิค Kerberoasting ในภายหลัง เพื่อขโมยและถอดรหัสรหัสผ่านบริการเหล่านั้น
3. การตรวจสอบ Group Policy Objects (GPOs):
GPOs กำหนดนโยบายและสิทธิ์การเข้าถึงต่างๆ ภายในเครือข่าย การทำความเข้าใจ GPOs ช่วยให้ค้นหาการตั้งค่าที่อ่อนแอ หรือช่องทางที่สามารถใช้ประโยชน์ได้
4. การวิเคราะห์ Access Control Lists (ACLs):
ACLs บอกว่าใครมีสิทธิ์ทำอะไรกับวัตถุต่างๆ ใน AD การหา ACL ที่ตั้งค่าผิดพลาด อาจนำไปสู่การยกระดับสิทธิ์โดยไม่ได้รับอนุญาต
การเข้าถึงและยกระดับสิทธิ์เริ่มต้น
เมื่อมีข้อมูลเพียงพอ ขั้นต่อไปคือการหาทางเข้าไปในระบบและเพิ่มระดับสิทธิ์ให้สูงขึ้น
เทคนิคเหล่านี้มักใช้เพื่อเจาะเข้าสู่เครือข่ายหรือยึดบัญชีที่มีสิทธิ์มากขึ้น
5. Kerberoasting:
เป็นเทคนิคที่ใช้โจมตี SPNs ที่พบ เพื่อดึงแฮชของรหัสผ่านบริการออกมา และนำไปถอดรหัสแบบออฟไลน์ ทำให้ได้รหัสผ่านของบัญชีบริการ ซึ่งมักจะมีสิทธิ์สูงและถูกใช้น้อยกว่าบัญชีผู้ใช้ทั่วไป
6. AS-REP Roasting:
เทคนิคนี้ใช้กับผู้ใช้งานที่ไม่ได้เปิดใช้งานการตรวจสอบสิทธิ์ล่วงหน้า (Pre-Authentication) ผู้โจมตีสามารถร้องขอ Kerberos Ticket โดยตรง และถอดรหัสแฮชรหัสผ่านของผู้ใช้นั้นได้แบบออฟไลน์เช่นกัน
7. BloodHound และ SharpHound:
เครื่องมือเหล่านี้เป็นเหมือนแผนที่ขุมทรัพย์ ช่วยให้มองเห็นความสัมพันธ์ที่ซับซ้อนใน AD ระบุเส้นทางโจมตีที่สั้นที่สุด และค้นหาการตั้งค่าที่ผิดพลาด ซึ่งนำไปสู่การยกระดับสิทธิ์ที่ง่ายขึ้น
8. Password Spraying:
แทนที่จะลองรหัสผ่านหลายๆ แบบกับบัญชีเดียว เทคนิคนี้จะลองรหัสผ่านยอดนิยมไม่กี่ตัวกับบัญชีผู้ใช้จำนวนมาก ช่วยลดความเสี่ยงที่จะถูกล็อกบัญชีและเพิ่มโอกาสในการเข้าถึง
การเคลื่อนที่ภายในและการสร้างการคงอยู่
เมื่อเข้าถึงระบบได้แล้ว เป้าหมายต่อไปคือการเคลื่อนย้ายไปสู่ระบบอื่นๆ และสร้างช่องทางเพื่อให้ยังคงอยู่ในเครือข่ายได้ แม้ว่าจะถูกตรวจจับเจอในภายหลัง
9. Pass-the-Hash (PtH) และ Pass-the-Ticket (PtT):
เทคนิคเหล่านี้ช่วยให้ผู้โจมตีสามารถใช้แฮชรหัสผ่าน หรือตั๋ว Kerberos ที่ถูกขโมยมา เพื่อยืนยันตัวตนและเข้าถึงระบบอื่น โดยไม่ต้องรู้รหัสผ่านจริง ทำให้สามารถเคลื่อนที่ภายในเครือข่ายได้โดยไร้ร่องรอย
10. DCSync:
DCSync คือการที่ผู้โจมตีปลอมตัวเป็น Domain Controller และร้องขอการจำลองข้อมูลจาก Domain Controller ตัวจริง ทำให้สามารถดึงข้อมูลทั้งหมดใน Active Directory รวมถึงแฮชรหัสผ่านของบัญชีผู้ดูแลระบบโดเมนได้
11. Golden Ticket:
นี่คือเทคนิคระดับสูงที่ทำให้ผู้โจมตีสามารถสร้าง Kerberos Ticket (TGT) ปลอมได้เสมือนเป็น Domain Administrator ทำให้สามารถเข้าถึงทรัพยากรใดๆ ในโดเมนได้โดยสมบูรณ์ และมีสิทธิ์ไม่จำกัด
12. Silver Ticket:
คล้ายกับ Golden Ticket แต่จะสร้าง Kerberos Service Ticket (TGS) ปลอม เพื่อเข้าถึงบริการเฉพาะบนเซิร์ฟเวอร์ใดเซิร์ฟเวอร์หนึ่งโดยตรง เช่น การเข้าถึงไฟล์แชร์ หรือ Remote Desktop Services โดยไม่ต้องผ่าน Domain Controller ในบางกรณี
การทำความเข้าใจเทคนิคการโจมตี Active Directory เหล่านี้ ไม่ได้มีไว้แค่สำหรับทีม Red Team เท่านั้น
แต่ยังเป็นความรู้พื้นฐานที่สำคัญสำหรับผู้ดูแลระบบและทีมรักษาความปลอดภัยทุกคน เพื่อให้สามารถประเมินความเสี่ยง ออกแบบมาตรการป้องกัน และตอบสนองต่อภัยคุกคามได้อย่างมีประสิทธิภาพ
การรู้จักวิธีที่ ผู้โจมตี ใช้ ถือเป็นก้าวแรกในการสร้างเครือข่ายที่ปลอดภัยอย่างแท้จริง