Data/Locales/checks/it/ADKerberosChecks.json
|
{ "_family": "ADKerberosChecks.json", "ADKERB-001": { "name": { "value": "Account vulnerabili al Kerberoasting", "status": "machine-draft" }, "description": { "value": "Gli account utente associati a nomi di entità servizio (SPN) sono vulnerabili al Kerberoasting: qualsiasi utente di dominio autenticato può richiedere un ticket di servizio cifrato con l'hash della password dell'account e tentare di violarlo offline. Questo attacco non richiede alcun privilegio particolare ed è difficile da rilevare. Ogni account utente dotato di uno SPN rappresenta un potenziale vettore di esposizione delle credenziali", "status": "machine-draft" }, "recommendedValue": { "value": "Numero minimo di account utente con SPN. Tutti gli account vulnerabili al Kerberoasting identificati, documentati con una giustificazione aziendale e protetti con password di almeno 25 caratteri oppure migrati a gMSA", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera gli account vulnerabili al Kerberoasting con Get-ADUser -Filter {ServicePrincipalName -ne '$null'} -Properties ServicePrincipalName. Per ogni account: (1) valuta se lo SPN è ancora necessario, (2) rimuovi gli SPN non necessari, (3) migra ai Group Managed Service Account quando possibile, (4) per gli account rimanenti assicurati che le password siano di almeno 25 caratteri e vengano rinnovate regolarmente. Monitora le richieste TGS Kerberos rivolte ad account sensibili tramite l'Event ID 4769", "status": "machine-draft" } }, "ADKERB-002": { "name": { "value": "Account vulnerabili al Kerberoasting con crittografia debole", "status": "machine-draft" }, "description": { "value": "Gli account utente dotati di uno SPN configurati per usare la crittografia RC4 o DES sono molto più facili da violare tramite Kerberoasting rispetto a quelli che usano AES. I ticket RC4 (ARCFOUR-HMAC-MD5) possono essere violati con ordini di grandezza più velocemente dei ticket AES sull'hardware GPU moderno. Gli account configurati esplicitamente con tipi di crittografia deboli o privi di chiavi AES rappresentano gli obiettivi di Kerberoasting a priorità più alta", "status": "machine-draft" }, "recommendedValue": { "value": "Tutti gli account dotati di uno SPN supportano la crittografia AES256. Nessun account limitato ai tipi di crittografia RC4 o DES. msDS-SupportedEncryptionTypes include i flag AES su tutti gli account di servizio", "status": "machine-draft" }, "remediationSteps": { "value": "Interroga gli account utente dotati di uno SPN e verifica il loro attributo msDS-SupportedEncryptionTypes. Gli account con valore 0 (non impostato) usano RC4 per impostazione predefinita. Gli account con soli flag RC4 (0x4) o DES (0x1, 0x2, 0x3) sono vulnerabili. Rinnova le password di tutti gli account interessati dopo aver abilitato il supporto AES nel dominio per generare le chiavi AES. Imposta msDS-SupportedEncryptionTypes in modo da includere i flag AES128 (0x8) e AES256 (0x10)", "status": "machine-draft" } }, "ADKERB-003": { "name": { "value": "Account vulnerabili all'AS-REP Roasting", "status": "machine-draft" }, "description": { "value": "Gli account con il flag DONT_REQUIRE_PREAUTH impostato consentono a qualsiasi utente di richiedere un AS-REP contenente materiale cifrato che può essere violato offline senza alcuna autenticazione preventiva. A differenza del Kerberoasting, l'AS-REP Roasting in alcune configurazioni non richiede nemmeno un account di dominio valido, il che ne fa una tecnica di accesso iniziale interessante per gli aggressori che dispongono del solo accesso di rete a un controller di dominio", "status": "machine-draft" }, "recommendedValue": { "value": "Nessun account con il flag \"Non richiedere la preautenticazione Kerberos\" impostato. Zero account vulnerabili all'AS-REP Roasting", "status": "machine-draft" }, "remediationSteps": { "value": "Identifica gli account con Get-ADUser -Filter {DoesNotRequirePreAuth -eq $true -and Enabled -eq $true}. Abilita la preautenticazione Kerberos su tutti gli account. Raramente esiste un motivo legittimo per disabilitare la preautenticazione negli ambienti moderni. Rinnova le password di tutti gli account precedentemente vulnerabili, poiché potrebbero essere già stati presi di mira. Monitora l'Event ID 4768 con tipo di preautenticazione 0", "status": "machine-draft" } }, "ADKERB-004": { "name": { "value": "Delega non vincolata - Computer", "status": "machine-draft" }, "description": { "value": "Gli account computer con delega non vincolata (TrustedForDelegation) memorizzano nella cache il TGT di qualsiasi utente che si autentica presso di essi. Se un aggressore compromette una tale macchina, può estrarre i TGT memorizzati nella cache e impersonare qualsiasi utente, inclusi i Domain Admins. Combinata con l'attacco di coercizione SpoolSample o PrinterBug, un aggressore può costringere un controller di dominio ad autenticarsi e catturarne il TGT, portando alla compromissione totale del dominio", "status": "machine-draft" }, "recommendedValue": { "value": "Nessun account computer con delega non vincolata, ad eccezione dei controller di dominio (che la richiedono intrinsecamente). Ogni altra delega migrata a delega vincolata o a delega vincolata basata sulle risorse", "status": "machine-draft" }, "remediationSteps": { "value": "Identifica i computer con delega non vincolata usando Get-ADComputer -Filter {TrustedForDelegation -eq $true} -Properties TrustedForDelegation. Escludi i controller di dominio dai risultati. Per i computer rimanenti, migra alla delega vincolata individuando i servizi specifici verso cui devono delegare, quindi configura msDS-AllowedToDelegateTo. Aggiungi gli account sensibili al gruppo Protected Users per impedire che i loro TGT vengano memorizzati nella cache. Contrassegna gli account di grande valore come \"L'account è sensibile e non può essere delegato\"", "status": "machine-draft" } }, "ADKERB-005": { "name": { "value": "Delega non vincolata - Utenti", "status": "machine-draft" }, "description": { "value": "Gli account utente con delega non vincolata sono ancora più pericolosi degli account computer con la stessa impostazione, poiché gli account utente vengono compromessi più facilmente tramite furto di credenziali, phishing o attacchi alle password. Qualsiasi servizio in esecuzione con un account utente con delega non vincolata può impersonare qualsiasi utente che si autentica presso di esso, offrendo un percorso diretto verso la compromissione del dominio", "status": "machine-draft" }, "recommendedValue": { "value": "Nessun account utente con delega non vincolata. Ogni delega di account utente migrata a delega vincolata o a delega vincolata basata sulle risorse", "status": "machine-draft" }, "remediationSteps": { "value": "Identifica gli utenti con delega non vincolata usando Get-ADUser -Filter {TrustedForDelegation -eq $true} -Properties TrustedForDelegation. Non si tratta quasi mai di una configurazione legittima per gli account utente. Rimuovi il flag di delega non vincolata e configura una delega vincolata verso servizi specifici se la delega è necessaria. Rinnova immediatamente la password dell'account, poiché potrebbe essere stato preso di mira", "status": "machine-draft" } }, "ADKERB-006": { "name": { "value": "Analisi della delega vincolata", "status": "machine-draft" }, "description": { "value": "La delega vincolata limita i servizi verso cui un account può delegare tramite l'attributo msDS-AllowedToDelegateTo, ma una configurazione errata può comunque consentire l'elevazione dei privilegi. La delega verso i servizi LDAP, CIFS o HOST sui controller di dominio può essere abusata per eseguire attacchi DCSync, accedere alle condivisioni file del DC o eseguire comandi come l'utente delegato. Ogni voce di delega vincolata deve essere esaminata per il suo impatto sulla sicurezza", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le voci di delega vincolata documentate con una giustificazione aziendale. Nessuna delega verso servizi sensibili (LDAP, CIFS, HOST, WSMAN) sui controller di dominio", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera la delega vincolata usando Get-ADObject -Filter {msDS-AllowedToDelegateTo -ne '$null'} -Properties msDS-AllowedToDelegateTo. Esamina ogni destinazione di delega. Segnala come rischio elevato qualsiasi delega verso servizi del DC (in particolare LDAP, CIFS, HOST, HTTP, WSMAN). Rimuovi le voci di delega non necessarie e documenta quelle legittime con una giustificazione aziendale. Valuta la migrazione a delega vincolata basata sulle risorse per una maggiore sicurezza", "status": "machine-draft" } }, "ADKERB-007": { "name": { "value": "Delega vincolata basata sulle risorse", "status": "machine-draft" }, "description": { "value": "La delega vincolata basata sulle risorse (RBCD) consente alla risorsa di destinazione di controllare quali account possono delegare verso di essa tramite l'attributo msDS-AllowedToActOnBehalfOfOtherIdentity. Pur essendo più sicura per progettazione rispetto alla delega vincolata tradizionale, la RBCD può essere abusata se un aggressore ottiene l'accesso in scrittura a un oggetto computer per configurare percorsi di delega non autorizzati. Si tratta di una tecnica di post-sfruttamento comune", "status": "machine-draft" }, "recommendedValue": { "value": "Tutte le configurazioni RBCD documentate e sottoposte ad audit. Nessuna voce non autorizzata in msDS-AllowedToActOnBehalfOfOtherIdentity. Accesso in scrittura agli oggetti computer limitato ai soli amministratori autorizzati", "status": "machine-draft" }, "remediationSteps": { "value": "Enumera le configurazioni RBCD usando Get-ADComputer -Filter {msDS-AllowedToActOnBehalfOfOtherIdentity -ne '$null'} -Properties msDS-AllowedToActOnBehalfOfOtherIdentity. Esamina ogni voce per la sua giustificazione aziendale. Verifica chi dispone dell'accesso in scrittura agli oggetti computer in AD per individuare potenziali percorsi di abuso della RBCD. Rimuovi le voci RBCD non autorizzate. Implementa il monitoraggio delle modifiche all'attributo msDS-AllowedToActOnBehalfOfOtherIdentity", "status": "machine-draft" } }, "ADKERB-008": { "name": { "value": "Percorsi di abuso della transizione di protocollo", "status": "machine-draft" }, "description": { "value": "Gli account configurati per la delega vincolata con transizione di protocollo (flag TrustedToAuthForDelegation / T2A4D) possono ottenere ticket di servizio per conto di qualsiasi utente senza che tale utente si autentichi effettivamente tramite Kerberos. Questa capacità S4U2Self consente all'account di impersonare qualsiasi utente presso i servizi verso cui è autorizzato a delegare, rendendola un potente vettore di elevazione dei privilegi quando combinata con la delega verso servizi sensibili", "status": "machine-draft" }, "recommendedValue": { "value": "Transizione di protocollo (TrustedToAuthForDelegation) disabilitata su tutti gli account, salvo quando esplicitamente richiesta e documentata. Nessun account con transizione di protocollo in grado di delegare verso servizi del controller di dominio", "status": "machine-draft" }, "remediationSteps": { "value": "Identifica gli account con transizione di protocollo usando Get-ADObject -Filter {TrustedToAuthForDelegation -eq $true} -Properties TrustedToAuthForDelegation,msDS-AllowedToDelegateTo. Per ogni account, valuta se la transizione di protocollo è realmente necessaria (serve solo quando l'autenticazione iniziale non usa Kerberos). Disabilita la transizione di protocollo dove non è necessaria. Per gli account rimanenti, limita rigorosamente le destinazioni di delega e assicurati che nessun servizio del DC rientri nel perimetro", "status": "machine-draft" } }, "ADKERB-009": { "name": { "value": "Tipi di crittografia Kerberos", "status": "machine-draft" }, "description": { "value": "I tipi di crittografia Kerberos determinano la robustezza della cifratura dei ticket. DES e RC4 (ARCFOUR-HMAC-MD5) sono crittograficamente deboli e dovrebbero essere disabilitati a favore di AES128 e AES256. In particolare RC4 è preso di mira dagli attacchi di Kerberoasting perché è notevolmente più rapido da violare rispetto ai ticket cifrati con AES. L'imposizione della sola crittografia AES aumenta considerevolmente la difficoltà degli attacchi offline alle credenziali", "status": "machine-draft" }, "recommendedValue": { "value": "AES256_HMAC_SHA1 e AES128_HMAC_SHA1 come unici tipi di crittografia supportati. DES e RC4 disabilitati tramite Criteri di gruppo e livello funzionale del dominio", "status": "machine-draft" }, "remediationSteps": { "value": "Configura tramite Criteri di gruppo: Configurazione computer > Criteri > Impostazioni di Windows > Impostazioni di sicurezza > Criteri locali > Opzioni di sicurezza > \"Sicurezza di rete: Configura tipi di crittografia consentiti per Kerberos\" = AES128_HMAC_SHA1, AES256_HMAC_SHA1, Tipi di crittografia futuri. Verifica gli account tramite msDS-SupportedEncryptionTypes per individuare quelli limitati a RC4. Assicurati che tutti gli account di servizio dispongano di chiavi AES generate rinnovando le password dopo aver abilitato il supporto AES a livello di dominio", "status": "machine-draft" } }, "ADKERB-010": { "name": { "value": "Durata dei ticket Kerberos", "status": "machine-draft" }, "description": { "value": "Le durate dei ticket Kerberos determinano per quanto tempo i ticket di autenticazione restano validi. Durate eccessivamente lunghe dei TGT o dei ticket di servizio prolungano la finestra durante la quale i ticket rubati possono essere usati per attacchi pass-the-ticket. La durata predefinita del TGT di 10 ore e il rinnovo massimo di 7 giorni dovrebbero essere riesaminati per bilanciare sicurezza ed esigenze operative", "status": "machine-draft" }, "recommendedValue": { "value": "Durata massima del TGT: da 4 a 10 ore. Durata massima del ticket di servizio: 600 minuti. Rinnovo massimo del ticket: 7 giorni. Scostamento massimo dell'orologio: 5 minuti", "status": "machine-draft" }, "remediationSteps": { "value": "Configura i criteri Kerberos in Criteri dominio predefiniti: Configurazione computer > Criteri > Impostazioni di Windows > Impostazioni di sicurezza > Criteri account > Criterio Kerberos. Imposta la durata massima del ticket di servizio (600 minuti), la durata massima del ticket utente (10 ore o meno) e la durata massima per il rinnovo del ticket utente (7 giorni). Per gli account Tier 0, aggiungili al gruppo Protected Users, che impone automaticamente una durata del TGT di 4 ore", "status": "machine-draft" } }, "ADKERB-011": { "name": { "value": "Audit degli SPN dei computer", "status": "machine-draft" }, "description": { "value": "I nomi di entità servizio sugli account computer definiscono i servizi registrati per l'esecuzione su ciascuna macchina. Gli SPN duplicati provocano errori di autenticazione Kerberos, mentre SPN non autorizzati possono indicare servizi non autorizzati o macchine compromesse. Una configurazione SPN pulita è essenziale per il corretto funzionamento di Kerberos e per il mantenimento di un inventario dei servizi accurato", "status": "machine-draft" }, "recommendedValue": { "value": "Nessuno SPN duplicato nel dominio. Tutti gli SPN sugli account computer corrispondono a servizi legittimi e documentati", "status": "machine-draft" }, "remediationSteps": { "value": "Cerca gli SPN duplicati usando setspn -X nella foresta o query Get-ADObject. Rimuovi o riassegna gli SPN duplicati agli account corretti. Esamina gli SPN sugli oggetti computer per individuare eventuali servizi non autorizzati o imprevisti. Usa setspn -L <nomecomputer> per elencare gli SPN per computer. Documenta tutti gli SPN non predefiniti con la loro finalità aziendale", "status": "machine-draft" } } } |