Active Directory Penetration Testing | Azure AD

Active Directory คือหัวใจของ Identity ในองค์กรส่วนใหญ่ และเป็นเป้าหมายอันดับหนึ่งของ Hacker การยึดผู้ใช้งาน Domain Admin คือเป้าหมายสุดท้ายของแคมเปญ Ransomware แทบทุกรายการ การทดสอบของเราจำลองการโจมตีจริงเพื่อระบุเส้นทางที่ Hacker จะใช้

การทดสอบครอบคลุม Kerberoasting, AS-REP Roasting, Unconstrained/Constrained Delegation Abuse, ACL Abuse, Group Policy Misconfigurations, Certificate Services (AD CS) Attack, การประเมินเส้นทางการโจมตีด้วย BloodHound และ Pass-the-Hash/Pass-the-Ticket Attacks สำหรับสภาพแวดล้อม Hybrid ครอบคลุมการประนีประนอม On-Premises สู่ Azure AD / Entra และในทางกลับกัน

Hybrid Identity กลายเป็นส่วนหนึ่งของขอบเขตทดสอบมากขึ้นเรื่อย ๆ เมื่อสภาพแวดล้อมของคุณเชื่อม On-Prem AD กับ Azure AD / Entra ID โครงการสามารถครอบคลุมเส้นทางข้ามสภาพแวดล้อมที่การโจมตีจริงใช้ประโยชน์อยู่ในปัจจุบัน

ทำไมจึงสำคัญ

ความเสี่ยงที่ต้องพิจารณา

การบุกรุก domain คือผลกระทบเชิงปฏิบัติการ

เมื่อ Hacker ได้รับสิทธิ์ domain admin แล้ว เวิร์กสเตชันทุกเครื่อง เซิร์ฟเวอร์ไฟล์ทุกตัว และระบบธุรกิจทุกระบบที่ยืนยันตัวตนผ่าน AD ล้วนตกอยู่ภายใต้การควบคุมของ Hacker ไม่มีมาตรการแก้ไขใดที่เพียงพอนอกจากการกู้คืนระบบ

เส้นทางโจมตีส่วนใหญ่สำหรับ Domain Admin มักมีอายุหลายปีและไม่ถูกตรวจพบ

Finding ของ ACL การใช้รหัสผ่านซ้ำของบัญชีบริการ และการกำหนดค่า ADCS ที่ไม่ถูกต้อง ล้วนมีอยู่ในสภาพแวดล้อมส่วนใหญ่นับตั้งแต่วันที่ถูกติดตั้งใช้งาน สิ่งเหล่านี้ไม่เคยถูกพบว่าเป็นปัญหา เพราะไม่เคยถูกทดสอบ

Hybrid Identity เพิ่ม Attack Surface

การเชื่อมต่อ AD กับ Azure AD / Entra เพิ่มเส้นทางการโจมตีใหม่ ได้แก่ การขโมย Token การทำ Consent Phishing และ Privilege Escalation แบบ federated ซึ่งการทดสอบ AD แบบดั้งเดิมเพียงอย่างเดียวไม่ครอบคลุม

ขอบเขตและการครอบคลุม

สิ่งที่เราทดสอบ

Credentials และ Authentication

ช่องโหว่ของ Password Policy
Kerberoasting และ AS-REP Roasting
การโจมตีและใช้งาน Service Account
NTLM Relay และ Downgrade Attacks
Pass-the-Hash และ Pass-the-Ticket
การครอบคลุมและช่องว่างของ LAPS

Domain, Policy และ Hybrid

ช่องโหว่ของ ACL และเส้นทางการโจมตีโดยใช้ BloodHound
กลุ่ม Admin ที่ไม่ได้รับการปกป้องและขอบเขต Tier-0
การตั้งค่าที่ไม่ปลอดภัยใน GPO
Active Directory Certificate Services (ESC1–ESC11)
ความสัมพันธ์ระหว่าง Domain และ Forest
Azure AD / Entra Hybrid Identity (เมื่ออยู่ในขอบเขต)
ช่องว่างใน Logging และ Monitoring

สิ่งที่เรามักพบ

ช่องโหว่ที่เรามักพบจากการทดสอบในลักษณะนี้

ข้อมูลที่นำเสนอเป็นกลุ่มช่องโหว่ที่ที่ปรึกษาของเรามักพบจากการทดสอบในลักษณะเดียวกัน ความรุนแรงและความถี่จะแตกต่างกันตามสภาพแวดล้อมและระดับความพร้อมของแต่ละองค์กร

เข้าโจมตี Domain Admin ภายในไม่กี่ชั่วโมง

จาก Domain User สู่ DA ผ่าน Kerberoasting บน Service Account ที่มีรหัสผ่านอ่อนเเอ เละการใช้งาน ACL ในทางที่ผิด บนกลุ่ม Tier-0 และ Template ESC1 ของ ADCS ที่ยังเปิดใช้งาน

การใช้และเปิดเผย Credentials ซ้ำ

รหัส Local Admin ที่เหมือนกันทั่วทั้ง Endpoint หลายพันเครื่อง Service Account Credentials ใน GPP และ Credentials แบบ Cleartext ในสคริปต์บน File Share

การสึกหรอของขอบเขต Tier-0

Domain Admin Login ใช้งาน Workstation สำหรับงานประจำวัน บัญชี Helpdesk ที่มีสิทธิ์ ACL เทียบเท่า DA และ Service Account ที่ทำงานในสิทธิ์ DA "ชั่วคราว"

การกำหนดค่า ADCS ผิดพลาด

Certificate Template ที่มีช่องโหว่ (ESC1 / ESC4 / ESC8), CA ที่เปิดใช้งาน HTTP Endpoint แบบ NTLM, EDITF_ATTRIBUTESUBJECTALTNAME2 ที่ยังตั้งค่าอยู่

ช่องว่างในการตรวจจับ

Kerberoast ไม่มีการแจ้งเตือน, การแก้ไข AdminSDHolder ไม่ถูกตรวจสอบ, DCSync ไม่ถูกตรวจจับ, และการใช้ Golden Ticket ไม่ถูกตรวจจับ

รูปแบบการดำเนินงาน

แนวทางการทำงานที่มีโครงสร้างชัดเจน ขับเคลื่อนด้วยข้อมูลเชิงลึกในทุกการทดสอบ

ทุกโครงการดำเนินตามแนวทางที่มีระเบียบวินัยเดียวกันผ่านแพลตฟอร์ม Velocity เพื่อให้คุณภาพ การติดตามตรวจสอบ และการรายงานมีมาตรฐานเดียวกันในทุกทีม

การกำหนดขอบเขต

กำหนดสินทรัพย์ สภาพแวดล้อม ข้อกำหนดในการทดสอบ และเกณฑ์การยอมรับร่วมกับผู้เกี่ยวข้องด้านเทคนิคและความปลอดภัย

การดำเนินการ

การทดสอบแบบ Manual และด้วยเครื่องมือโดยที่ปรึกษาที่ได้รับการรับรอง CREST พร้อมเก็บหลักฐานในทุกขั้นตอน

การตรวจสอบความถูกต้อง

ทุกการค้นพบจะถูกทำซ้ำ ประเมินระดับความเสี่ยงด้วย CVSS และยืนยันโดยที่ปรึกษาท่านที่สองก่อนรายงานผล

การรายงาน

รายงานที่ลงนามด้วยรหัส พร้อมการอ้างอิง Test Case การจัดระดับความรุนแรง ขั้นตอนการทำซ้ำ และแนวทางแก้ไข

สรุปผลและการทดสอบซ้ำ

การประชุมสรุปผลกับผู้เกี่ยวข้อง การช่วยจัดลำดับความสำคัญ และการทดสอบซ้ำหลังการแก้ไข

มาตรฐานและกรอบการทำงาน

อ้างอิงมาตรฐานสากลที่ได้รับการยอมรับ

MITRE ATT&CK

Microsoft Securing Privileged Access

NIST SP 800-53

CIS Microsoft Active Directory

คำถามที่พบบ่อย

คำถามจากผู้สนใจใช้บริการ

ต้องการระดับการเข้าถึงเท่าไร?

อย่างน้อยที่สุดคือบัญชีผู้ใช้ Domain ทั่วไป ซึ่งเป็นจุดเริ่มต้นอ้างอิงจากการโจมตีจริงหลังจากการ Phishing เราไม่ต้องการสิทธิ์ระดับสูงที่จัดเตรียมไว้ล่วงหน้า การแสดงให้เห็นเส้นทางจากผู้ใช้ทั่วไปสู่สิทธิ์ที่สูงกว่าคือเป้าหมายของการทดสอบ

ทดสอบบน Production ได้อย่างปลอดภัยหรือไม่?

ได้ด้วยความระมัดระวัง เทคนิคการทดสอบ AD ออกแบบมาไม่ให้สร้างความเสียหายต่อระบบ และเราหลีกเลี่ยงระบบที่ทราบว่าเปราะบาง เราจะแจ้งทีม Detection และ IR เกี่ยวกับ Timeline ของโครงการ เพื่อให้การแจ้งเตือนภายในสามารถเชื่อมโยงกับการทดสอบของเราได้ ไม่ถูกตรวจจับเหตุการณ์จริง

ครอบคลุม Azure AD / Entra ID และ Hybrid Identity หรือไม่?

ใช่ และนับวันยิ่งเป็นแหล่ง Finding ที่ใหญ่ขึ้นเรื่อย ๆ การทดสอบ Hybrid Identity ครอบคลุม Federation Path, การ Bypass Conditional Access, Token Theft และ Consent-Phishing นอกเหนือจาก On-Prem AD

ทดสอบการป้องกันของท่านกับผู้เชี่ยวชาญด้านการรักษาความปลอดภัยเชิงรุก

ปรึกษาที่ปรึกษาที่ได้รับการรับรอง CREST เกี่ยวกับการทดสอบ Penetration Testing ครั้งถัดไปของท่าน

ปรึกษาผู้เชี่ยวชาญ