BadSuccessor: การละเมิด dMSA เพื่อเพิ่มสิทธิพิเศษใน Active Directory
DMSA คืออะไร?
โดยปกติแล้ว DMSA ถูกสร้างขึ้นเพื่อแทนที่บัญชีบริการดรดกที่มีอยู่ เพื่อเปิดใช้งานการเปลี่ยนแปลงที่ราบรื่น DMSA สามารถ “รับมรดก” สิทธิ์การอนุญาตของบัญชีมรดกได้โดยการดําเนินการย้าย
https://www.akamai.com/blog/security-research/abusing-dmsa-for-privilege-escalation-in-active-directory
#ติดเทรนด์ #Lemon8 ฮาวทู #ป้ายยากับlemon8 #lemon8ไดอารี่ #freedomhack
การทำความเข้าใจเกี่ยวกับ BadSuccessor และการละเมิด DMSA ใน Active Directory เป็นสิ่งสำคัญสำหรับผู้ดูแลระบบและผู้ที่สนใจด้านความปลอดภัยไซเบอร์ DMSA หรือ Discretionary Management Service Account ถูกออกแบบมาเพื่อใช้แทนบัญชีบริการดรดก (legacy service account) ในระบบ Active Directory โดยสามารถรับช่วงสิทธิ์อนุญาตจากบัญชีต้นทางผ่านกระบวนการที่เรียกว่า "รับมรดก" (inheritance) สิ่งนี้ช่วยให้สามารถเปลี่ยนแปลงการตั้งค่าบัญชีอย่างราบรื่นโดยไม่กระทบต่อบริการที่ใช้งานบัญชีดังกล่าว อย่างไรก็ตาม ช่องโหว่ BadSuccessor เปิดโอกาสให้ผู้โจมตีสามารถละเมิด DMSA เพื่อเพิ่มสิทธิพิเศษ (privilege escalation) ได้ โดยเมื่อใช้เครื่องมือ เช่น Rubeus.exe ในการจำลองคำขอ TGS (Ticket Granting Service) สำหรับบัญชีเป้าหมาย attacker_dnsas ที่มีสิทธิ์สูงในโดเมน จะสามารถสร้างตั๋ว Kerberos ปลอม (fake ticket) ที่มีสิทธิ์ที่ได้รับมาจากการถูกโจมตี ทำให้ผู้โจมตีมีอำนาจควบคุมแลกเปลี่ยนข้อมูลในเครือข่ายได้อย่างกว้างขวาง การโจมตีนี้มีการใช้เทคนิคขั้นสูง เช่น การขโมยหรือสร้าง Kerberos ticket แบบ TGS-REO request โดยมีการเข้ารหัสประเภท aes256_cts_hmac_sha1 ซึ่งทำให้ยากต่อการตรวจจับหากไม่ได้ใช้เครื่องมือที่เหมาะสม ระบบเครือข่ายที่มีช่องโหว่ในส่วนของบัญชีบริการและการจัดการสิทธิ์ใน Active Directory จึงมีความเสี่ยงต่อการถูกโจมตีแบบนี้ เพื่อป้องกันการโจมตี BadSuccessor การตรวจสอบและจัดการบัญชีบริการใน Active Directory อย่างสม่ำเสมอเป็นสิ่งจำเป็น เช่น การจำกัดการสร้างหรือเปลี่ยนแปลง DMSA การใช้ระบบตรวจจับพฤติกรรมที่ผิดปกติของการเข้าถึงบัญชี และการอัปเดตซอฟต์แวร์เซิร์ฟเวอร์ให้ทันสมัยเพื่อปิดช่องโหว่ นอกจากนี้ การใช้การยืนยันตัวตนแบบหลายชั้น (MFA) และการจำกัดสิทธิ์ตามหลัก Least Privilege จะช่วยลดความเสี่ยงที่ผู้โจมตีจะสามารถใช้ช่องโหว่ในการยกระดับสิทธิ์ได้ ผู้ดูแลระบบควรติดตามแหล่งข้อมูลด้านความปลอดภัย เช่น บทความวิจัยของ Akamai และเครื่องมือ open-source สำหรับตรวจสอบ Kerberos ticket เพื่อรับมือกับแนวทางโจมตีใหม่ๆ ที่เกิดขึ้น และรักษาความปลอดภัยให้กับระบบ Active Directory อย่างมีประสิทธิภาพ การเข้าใจถึงกระบวนการทำงานของ DMSA และการละเมิด BadSuccessor จึงเป็นทั้งความรู้พื้นฐานและเครื่องมือสำคัญในการป้องกันการโจมตีแบบ privilege escalation ที่อาจก่อให้เกิดความเสียหายร้ายแรงในองค์กร
