เจาะลึก Active Directory: หัวใจสำคัญของการเจาะระบบภายใน
การทดสอบเจาะระบบ หรือ Penetration Test เป็นขั้นตอนสำคัญที่องค์กรใช้ประเมินความปลอดภัย หลายคนอาจคิดว่าเมื่อเข้าถึงระบบภายในได้แล้ว งานก็ใกล้เสร็จ แต่แท้จริงแล้ว นั่นคือจุดเริ่มต้นของการสำรวจและค้นหาช่องโหว่ที่แท้จริง
จากประสบการณ์ การเจาะเข้าสู่เซิร์ฟเวอร์เว็บผ่านช่องโหว่ เช่น SQL Injection หรือ XXE จนได้สิทธิ์รันโค้ดระยะไกลในฐานะผู้ใช้งานที่มีสิทธิ์จำกัด การยกระดับสิทธิ์สู่ NT AUTHORITY\SYSTEM มักเป็นเป้าหมายถัดไป เมื่อสำเร็จ การสำรวจเครือข่ายภายในจึงเริ่มต้น และนี่คือจุดที่ Active Directory (AD) enumeration มีบทบาทสำคัญอย่างยิ่ง
Active Directory enumeration คืออะไร และทำไมถึงสำคัญ
Active Directory (AD) เปรียบเสมือนสมองใหญ่ของเครือข่ายองค์กร เป็นฐานข้อมูลเก็บข้อมูลสำคัญทั้งหมด ไม่ว่าจะเป็นบัญชีผู้ใช้งาน กลุ่ม คอมพิวเตอร์ นโยบายความปลอดภัย และความสัมพันธ์ระหว่างโดเมน การทำ AD enumeration คือกระบวนการเก็บรวบรวมข้อมูลจาก AD เพื่อทำความเข้าใจโครงสร้างและค้นหาจุดอ่อน
เมื่อเข้าถึงระบบภายใน การรู้ว่าใครเป็นผู้ดูแลโดเมน มีคอมพิวเตอร์กี่เครื่อง หรือมีนโยบายกลุ่ม (Group Policy Objects) อะไรบ้าง เป็นข้อมูลที่มีค่ามหาศาล ข้อมูลเหล่านี้ช่วยวางแผนการโจมตีได้อย่างมีประสิทธิภาพ ไม่ว่าจะยกระดับสิทธิ์ หรือเคลื่อนที่เข้าสู่ส่วนอื่น ๆ ของเครือข่าย
เครื่องมือและเทคนิคในการสำรวจ AD
การสำรวจ Active Directory ทำได้หลายวิธี เครื่องมือยอดนิยมอย่าง BloodHound ทำงานร่วมกับ SharpHound ในการรวบรวมข้อมูลจาก AD แล้วแสดงผลในรูปแบบกราฟ ทำให้เห็นความสัมพันธ์ซับซ้อนระหว่างผู้ใช้ คอมพิวเตอร์ และกลุ่มต่าง ๆ ได้ชัดเจน พร้อมระบุเส้นทางโจมตีที่เป็นไปได้
นอกจากนี้ ยังมีคำสั่งพื้นฐานมากมาย เช่น whoami /all เพื่อดูสิทธิ์ปัจจุบัน nltest /domain_trusts ตรวจสอบความสัมพันธ์ระหว่างโดเมน หรือ net group "Domain Admins" /domain เพื่อค้นหาผู้ดูแลระบบโดเมนโดยตรง
การใช้ PowerShell ก็มีประสิทธิภาพสูงในการ query ข้อมูลจาก AD ด้วย cmdlet ต่าง ๆ เช่น Get-ADUser หรือ Get-ADGroup ช่วยให้การรวบรวมข้อมูลเป็นไปอย่างรวดเร็วและละเอียด
การนำข้อมูล AD ไปใช้ในการโจมตี
ข้อมูลจากการทำ AD enumeration เป็นเหมือนแผนที่ขุมทรัพย์ ช่วยให้ผู้โจมตีค้นหา “ช่องทางลับ” ในการเข้าถึงระบบที่สำคัญยิ่งขึ้น เช่น การระบุผู้ใช้สิทธิ์สูงที่มีรหัสผ่านอ่อนแอ หรือคอมพิวเตอร์มีช่องโหว่ที่ยังไม่ได้แพตช์ ซึ่งอาจนำไปสู่การยกระดับสิทธิ์ หรือเคลื่อนที่ไปยังเซิร์ฟเวอร์เก็บข้อมูลสำคัญ
การค้นหา Service Principal Names (SPNs) ที่ถูกกำหนดค่าไม่ถูกต้องก็เป็นอีกจุดที่มักถูกใช้ในการโจมตีแบบ Kerberoasting เพื่อขโมยแฮชรหัสผ่านของผู้ใช้บริการ
ทั้งหมดนี้เน้นย้ำว่าการป้องกันระบบที่ดี ไม่ได้หมายถึงแค่การปิดช่องโหว่ภายนอกเท่านั้น แต่ยังต้องเข้าใจถึงวิธีการที่ผู้ไม่หวังดีจะใช้ประโยชน์จากโครงสร้างภายในของ Active Directory ยิ่งเข้าใจการทำงานของ AD และช่องโหว่ที่อาจเกิดขึ้นได้มากเท่าไหร่ ก็ยิ่งสามารถสร้างการป้องกันที่แข็งแกร่งได้มากเท่านั้น