Здравствуйте, уважаемые читатели блога KtoNaNovenkogo.ru. Сделал недавно для себя небольшое открытие, которое добавило довольно-таки интересный (и, по-моему, уникальный) инструмент в копилку бесплатных сервисов, которыми регулярно пользуюсь. Что примечательно, обычно я «открываю Америку» (пишу о том, что многие из вас до этого уже знали и активно использовали). Надеюсь, что сегодня я опережу многих из вас, анонсировав появившийся только в начале лета сервис по поиску красивых и свободных доменных имён.

Живет он на созвучном с его сутью домене Frishki.ru (фришки — то бишь свободные домены). Как пишет сам автор на странице «О нас», его род деятельности связан с поиском подходящих доменных имен для сайтов, и довольно часто при этом попадались ненужные в данный момент, но очень классные варианты.

Поначалу он публиковал их на тематических форумах, но потом решил оформить все это в виде онлайн-сервиса, где пользователи могут вести поиск по имеющимся в базе свободным доменам, используя массу фильтров (тематика, доменная зона, длина, с исключением определенных символов и т.д.). Давайте посмотрим на этот уникальный сервис повнимательнее.

Зачем нужен Frishki.ru и каковы его возможности?

Зачем вам может понадобиться доменное имя и почему оно так важно, наверное, объяснять не нужно. Хотя все же приведу ссылку на свою публикацию, посвященную существующим разновидностям доменов, а также ссылку на статьи, опубликованные на Фришке (весьма познавательные). В любом случае здорово, когда домен, выбранный вами для будущего сайта, несет в себе нужную вам смысловую нагрузку и легко запоминается. Иногда за это платят в десятки, сотни и даже тысячи раз больше, чем стоит аренда доменного имени непосредственно у регистратора.

Звучные, красивые и перспективные доменные имена раскупают киберсквоттеры с целью их дальнейшей перепродажи, но уже за существенно большие деньги. Они, например, пытаются угадать популярные тренды в различных областях, чтобы попытаться зарегистрировать домен, который через некоторое время будет востребован. Примерно половина из купленных в мире доменных имен простаивают, т.е. на них не размещаются сайты (часть из них принадлежит этим самым сквоттерам).

Однако, существует и другое явление. Иногда интересные доменные имена освобождаются (после неоплаты их продления) по разным причинам. Их называют дропы или дропнутые домены. Отслеживать освобождающиеся домены можно на сайте крупных регистраторов, например, рег.ру. Они имеют возраст, за ними довольно часто остается какое-то значение Тиц и Пр, а иногда на них можно восстановить существующий там ранее сайт с помощью уникального в своем роде сервиса Webarchive.

В общем-то, существуют различные способы поиска красивых адресов для своего будущего сайта, но в любом случае на это уходит довольно-таки много времени и сил. Довольно часто на различных SEO форумах устраивают конкурсы на подбор имени для будущего сайта и победителю выплачивается оговоренная сумма. Дело в том, что тут очень важно иметь чутье и багаж опыта за плечами. Собственно, сервис Frishki.ru и был придуман для упрощения данной задачи.

Все собранные в нем доменные имена прошли ручной отбор на предмет красивости и незанятости, что избавит вас от многочасовой и нудной работы. Они отсортированы по тематикам и иногда даже имеют поясняющие описания, чтобы вам было проще понять скрывающийся за названием смысл. За использование сервиса никакой платы с вас браться не будет — все построено на чистом энтузиазме и желании помочь обычному вебмастеру. Хотя и вы тоже можете внести свой вклад, добавив интересные домены в их копилку (при желании можете даже оставить реквизиты своих электронных кошельков, чтобы благодарный вебмастер в порыве чувств смог сказать вам спасибо в виде перевода).

Кстати, появился Frishki.ru, как я упоминал чуть выше, совсем недавно, но его функционал уже впечатляет (особенно скорость его усовершенствования). Сервис очень перспективный, постоянно обновляется и дополняется различными полезными функциями. За столь короткий срок он уже разросся до больших размеров базы, а также получил заслуженное признание (судя по количеству уже забранных из него бесплатно доменных имен).

Но все же попрошу вас, по возможности, попиарить Фришки в своей среде (сайте или социалках, форумах), чтобы укрепился и разросся костяк аудитории, которая берет там новые полезные домены и предлагает свои, оказавшиеся ими невостребованными. Это выгодно всем нам — получим в результате огромный бесплатный банк наработок по красивым и вкусным доменам.

Итак, давайте пробежимся по его возможностям. Собственно, все они доступны прямо на главной странице сервиса. В верхней части размещается блок с фильтрами, а чуть ниже список доменов, которые доступны для вас на текущий момент. Вы можете сразу начать просмотр списка, но логичнее было бы сузить его и воспользоваться фильтром, хотя бы с помощью выбора нужной тематики:

Итак, с помощью фильтров в Frishki.ru можно будет сделать следующее:

1. Ограничить длину оставшихся в списке доменов до нужного вам числа символов (www не учитывается, и точка перед доменной зоной за символ тоже не считается). В принципе, чем короче будет ваше доменное имя (при условии его осмысленности), тем легче оно будет запоминаться и эффектнее выглядеть. Но слишком заужая диапазон количества символов вы рискуете упустить что-то очень «вкусное», пусть и не очень короткое. В общем-то, предлагаемый по умолчанию интервал подойдет для большинства случаев.
2. По умолчанию во Фришках предлагают домены из зон RU/COM/NET/ORG/INFO и BIZ. Если вам интересны варианты из всех этих зон, то никаких галочек в следующем фильтре ставить не нужно, а вот если хотите ограничиться какой-то одной или несколькими доменными зонами, то поставьте напротив них галочки.
3. В следующем блоке фильтров вы сможете исключить домены, в которых содержатся не нужные вам знаки. Можно исключить варианты с цифрами или состоящие только из цифр, а также исключить варианты с одним или двумя тире (очень часто тире используется в доменных именах в качестве разделителя слов).
4. Самое большое поле отводится выбору тематики вашего будущего сайта. На самом деле это самый важный фильтр, ибо он позволяет быстро отсеять все лишнее. По умолчанию будут показываться все тематики, но при установке галочки напротив одной или нескольких тем будет осуществлено фильтрование. При этом не забудьте всегда ставить галочку в поле «Другое», ибо там скрывается то, что не удалось четко классифицировать, и там может лежать та «вкусняшка», что вы так долго искали.
5. Ну и в поле сортировки вы можете задать параметр, по которому будет упорядочиваться сформированный список красивых доменов. По умолчанию вверху отображаются только что добавленные имена и это довольно удобно, ибо они, можно сказать, самые «горячие» (с пылу с жару). Хотя можно настроить сортировку еще и по алфавиту или количеству символов.

Правила использования бесплатного сервиса Фришки.ру

Теперь давайте поподробнее рассмотрим сам список доменных имен, которые для нас формирует Frishki.ru, и те кнопки управления, что там имеют место быть.

При подведение курсора мыши к названию домена, вверху появляются три иконки, которые позволяют сделать следующее:

1. Первая кнопка отправит вас на сайт PR-CY.ru (писал о нем в статье про бесплатный Сео анализ сайтов). Там вы сможете ознакомиться с историей этого домена (актуально только для дропов), узнать его Тиц и Пр, число внешних ссылок и т.п.
2. Вторая кнопка приведет вас на замечательный сайт WebArchive.org, о котором я упомянул выше и приводил там же ссылку на страницу, повествующую о его безграничных возможностях. Если у понравившегося вам доменного имени была история и на нем существовал сайт, то вы сможете с помощью вебархива его посмотреть, а при желании и терпении даже восстановить (в той статье про Вебархив я описывал как это можно сделать).
3. Третья же кнопка позволит вам проследить историю изменения параметров этого домена и проверить их на склейку с помощью сервиса РДС. Правда в этом сервисе нужно будет зарегистрироваться.

Справа от интересующего вас доменного имени будет расположен ряд кнопок, которые позволят проделать следующие действия:

1. Первые две кнопки позволяют прочитать описание для этого домена, либо отредактировать его, если по вашему мнению оно не корректно написано или вовсе отсутствует (получается нечто похожее на Википедию, где сами пользователи могут создавать и править контент).
2. Следующая кнопка позволяет проверить данное доменное имя на занятость через сервис Ник.ру. В общем-то Frishki.ru в автоматическом режиме регулярно проводит эту операцию и чистит базу от уже занятых имен, но делает он это только раз в сутки. За это время может что-то поменяться, поэтому и была добавлена данная кнопка для ручной проверки.
3. Если при проверке занятости вы обнаружили, что данный домен уже забрали, то не примените кликнуть по кнопке «Уже занят», чтобы он был оперативно удален из базы Фришки.
4. Если вам какое-то доменное имя приглянулось и вы решили начать процесс его оформления на себя, то не примените нажать на кнопку «Забираю». Спустя некоторое время модератор сервиса проверит состояние домена, и в случае подтверждения занятости удалит его из базы.
5. Ну и последняя кнопка служит для отображения цены регистрации данного домена у проверенного регистратора, которого рекомендует автор сервиса. При нажатии на эту кнопку вы попадете на страницу регистратора, где вам будет предложено ввести данные о себе. Наверное, не стоит вам напоминать, что при регистрации доменных имен для своего сайта (если планируете не ГС или дорвей) имеет смысл указывать реальные данные, чтобы в случае возникновения форс-мажора не остаться с носом.

Как вы, наверное, поняли из моего описания, сервис Фришки.ру уже представляет из себя очень удобный и востребованный инструмент, но со временем должен, как мне кажется, развиться еще больше, особенно если мы ему поможем.

Хочу еще раз подчеркнуть, что сервис Frishki.ru не только отдает безвозмездно бесплатные и красивые домены, но и позволяет публиковать свои — с указанием ваших платежных реквизитов, на которые в свою очередь благодарные посетители, нашедшие понравившийся им домен, при желании, смогут выплатить небольшое поощрение.

Поэтому, если Вы знаете привлекательные свободные домены и они Вам не нужны, то вместо того чтобы публиковать их на каком нибудь форуме просто так (или вовсе проходить мимо них) — можно добавить их на Фришки и возможно со временем получить за это благодарность.

Удачи вам! До скорых встреч на страницах блога KtoNaNovenkogo.ru

Что такое доменное имя и как выбрать домен

Веб-студия VOLL / Блог / Имя домена: что это такое и как правильно выбрать доменное имя

Каждый веб-сервер в сети имеет свой IP-адрес, через который осуществляется доступ пользователей. Он представляется в виде набора разделённых точками цифр, удобных для компьютеров, но совершенно незапоминаемых для человека. Чтобы решить проблему, в инфраструктуру Интернета было введено доменное имя сайта. Удобный, легко читаемый адрес ресурса, выделяющий в ряду прочих и служащий эффективным средством продвижения.

Что такое доменное имя сайта

Это понятие является основой, с которой начинается создание веб-ресурса. Оно вводится в адресной строке браузера для перехода, указывается в контактной информации, при регистрации, поэтому значение в будущем развитии интернет-площадки сложно переоценить. Чтобы подбор домена был сделан грамотно, стоит разобраться в структуре, состоящей из нескольких уровней:

• второй, третий, четвёртый. Это символы, находящиеся слева от точки. Их придумывает владелец ресурса при регистрации. Могут содержать название компании, отражать специфику деятельности. Для написания могут использоваться латинские буквы, кириллица, цифры или тире. Главное, придерживаться принципа уникальности;

• первый. Несколько символов справа от точки, определяющих зону деятельности веб-ресурса. Владелец выбирает вариант из предложенных регистратором и не может создавать свой. Подбирается имя домена по географическому признаку и определяет страну (ua, ru, fr), регион, область, город (lviv.ua, kiev.ua, kh.ua). Если создание сайтов предполагает коммерческую направленность, стоит выбрать com, biz, информационную – info. Провайдеры, другие организации, связанные с IT-технологиями, часто предпочитают net. Иногда географическая составляющая комбинируется с тематической, например, com.ua;

• нулевой. Обозначается точкой в конце и не выводится в адресной строке.

Любое название домена имеет иерархичную структуру, где каждый следующий уровень принадлежит предыдущему.

От чего должен зависеть выбор домена

При условии грамотного подбора может во многом определить узнаваемость, успешность, посещаемость ресурса. В ходе формирования стоит обратить внимание на ряд моментов:

1. Длина. Правильный выбор доменного имени основывается на принципе лаконичности. Если содержит несколько слов (лучше не более трёх), их необходимо разделить тире без пробелов. Оптимальный вариант – зарегистрировать варианты с тире и без, что обеспечит защиту от недобросовестных конкурентов.

2. Содержание. Должно дублировать название компании, особенно если имеется узнаваемость у потребителя, или отражать специфику деятельности. Это даст потенциальным пользователям ориентиры для запоминания адреса. Важно, чтобы не было созвучности с доменами конкурентов, это сыграет им на руку. Если подобрать домен схожий с известным раскрученным брендом, это может повлечь проблемы, связанные с нарушением авторских прав.

3. Регион. Географическая привязка веб-ресурса важна, так как позволяет ориентироваться на аудиторию в определённой стране, области, городе. Это даёт преимущество перед конкурентами, которые предпочли общие доменные зоны типа org или biz.

4. Язык. В последнее время набирает популярность тенденция использования кириллицы, так как выбрать домен, состоящий из знакомых глазу символов, означает обеспечить бо́льшую запоминаемость и узнаваемость. Зачастую его можно не писать, а воспринимать на слух. В качестве доменной зоны стоит предпочесть укр. Важно помнить, что сочетать латинские и кириллические символы недопустимо. В то же время адрес латинскими символами воспринимается привычнее, главное, чтобы в написании было трудно ошибиться.

В идеале можно зарегистрировать ряд доменов для разных регионов, если компания имеет разветвлённую сеть филиалов, а также на латинице и кириллице для продвижения онлайн и оффлайн. Их можно подвязать к одному ресурсу.

Как домен может повлиять на продвижение сайта 

Фактически продвижение веб сайтов начинается на этапе грамотного составления названия, что может напрямую повлиять на успешность раскрутки. Многие разработчики и сео-специалисты рекомендуют выбрать домен, содержащий одно или несколько важнейших ключевых слов. Главное не переспамить, чтобы не попасть под фильтр. Не менее важно обратить внимание на следующие критерии:

• количество уровней. Чем их больше, тем менее авторитетен веб-ресурс в глазах поисковых систем. Доменные имена третьего и ниже уровней часто выдаются бесплатными площадками для ведения блогов. Их надёжность не слишком велика, так как любая проблема с сервером, может стать причиной потери контента без возможности восстановления. Если площадка предоставляет возможность выбора домена второго уровня, это не слишком повышает надёжность по мнению поисковых роботов. В результате при ранжировании предпочтение отдаётся сайтам, которые имеют дело с крупным регистратором;

• история. Пункт актуален для владельцев, покупающих домен, который ранее использовалось другим ресурсом. Здесь важно обратить внимание на возраст (чем старше, тем лояльнее поисковики), срок продления (лучше, чтобы предыдущих владельцев было минимальное число), изменение ТИЦ (не должно быть резких скачков). Особенно важна история наложения фильтров. Если площадка с этим названием была в бане, восстановить репутацию в Goolge будет сложно.

Определить, какой выбрать домен для сайта лучше с точки зрения запоминаемости вне Интернета и адаптированности для эффективного продвижения в сети, нелегко. Особенно, если у владельца ресурса нет опыта в создании, раскрутке веб-площадок. Поэтому вопросы подбора оптимального названия и разработки, продвижения стоит доверить специалистам. Профессиональная веб студия в Киеве, Харькове или Одессе сможет быстро, грамотно справиться с этими задачами. При этом расходы на оплату её услуг будут в разы меньше, чем цена потраченного времени на попытки создать сайт и зарегистрировать название самостоятельно.

Итоги внутренних пентестов — 2020

Содержание

Об исследовании

В отчете представлены результаты работ по внутреннему тестированию на проникновение, которые были проведены специалистами Positive Technologies в 2019 году. Мы расскажем о распространенных недостатках защиты и методах атак, которые могут использовать злоумышленники, а также поделимся рекомендациями по повышению уровня защищенности.

Это продолжение исследования по результатам внешних пентестов, где рассматривались атаки от лица внешнего нарушителя. При проведении внутреннего пентеста моделируются атаки со стороны нарушителя, который находится внутри компании (например, атаки с типовым набором привилегий сотрудника или от лица случайного посетителя).

При внутреннем пентесте перед экспертами стоит задача определить максимально возможный уровень привилегий, который может получить злоумышленник. Дополнительно заказчик может ставить и другие задачи, например проверить возможность реализации кибератак на критически важные бизнес-системы. Цель тестирования на проникновение заключается в оценке эффективности используемых в компании средств защиты. Кроме того, во время пентеста можно оценить готовность служб ИБ к выявлению и пресечению атак, если они заранее не предупреждены о проводимых работах.

Для исследования были выбраны 23 проекта по внутреннему тестированию на проникновение — из числа проведенных в тех компаниях, которые разрешили использовать обезличенные данные. Мы учитывали только наиболее информативные проекты, чтобы объективно оценить защищенность корпоративной инфраструктуры.

Ключевые цифры

• В 2019 году получить полный контроль над инфраструктурой удалось во всех компаниях.
• На получение контроля над инфраструктурой требуется до пяти дней.
• В 61% компаний существует простой способ получить привилегии администратора домена, который под силу даже низкоквалифицированному хакеру.
• Почти половина всех действий пентестеров (47%) не отличаются от обычной деятельности пользователей или администраторов, а значит, и атака злоумышленника может остаться незамеченной.

Как мы получали контроль над инфраструктурой

В 2019 году нам удалось во всех компаниях получить полный контроль над инфраструктурой от лица внутреннего нарушителя. Как правило, на это уходило около трех дней, а в одной сети потребовалось всего 10 минут. В 61% компаний был выявлен хотя бы один способ получить контроль над инфраструктурой, сложность которого оценивалась как низкая.

Вектор атаки — это способ получения доступа к целевой системе в результате эксплуатации недостатков защищенности

Атака — действия нарушителя, направленные на эксплуатацию недостатка защищенности. Атака может состоять из нескольких последовательных шагов

Шаг атаки — действие нарушителя, которое позволяет ему получить информацию или привилегии, необходимые для дальнейшего развития атаки. В общем случае число шагов может равняться числу различных уязвимостей, которые нужно проэксплуатировать последовательно

Вектор атаки для получения привилегий администратора домена в среднем состоял из шести шагов. Однако большое количество шагов не всегда означает увеличение сложности. Во внутренней сети вектор обычно более длинный, чем при атаке из внешних сетей, потому что в процессе поиска учетной записи администратора домена необходимо перемещаться между значительным числом узлов.

Методы атак во внутренней сети основаны не только на эксплуатации уязвимостей ПО, но и на использовании архитектурных особенностей ОС и механизмов аутентификации, а также выполнении легитимных действий, предусмотренных функциональностью системы.

Легитимные действия, которые позволяют развить вектор атаки, составили почти половину от всех действий пентестеров. К ним относятся, например, создание новых привилегированных учетных записей на узлах сети, создание дампа памяти процесса lsass.exe, выгрузка ветвей реестра, отправка запросов к контроллеру домена или клонирование виртуальных машин. Опасность состоит в том, что такие действия сложно отличить от обычной деятельности пользователей или администраторов, а значит, атака остается незамеченной

Среди уязвимостей чаще всего выявлялись недостатки конфигурации, например отсутствие защиты служебных протоколов, недостаточная защита от восстановления учетных данных из памяти ОС, хранение важной информации в открытом виде. Каждой уязвимости присваивается уровень риска (критический, высокий, средний или низкий), который рассчитывается в соответствии с системой CVSS 3.1. Необходимо учитывать, что при проведении пентеста нет задачи выявить все уязвимости, существующие в системе. Цель работ заключается в получении объективной оценки уровня защищенности системы от атак со стороны внутренних нарушителей.

Как правило, вектор атаки строится на последовательном получении учетных данных пользователей и перемещении между узлами сети вплоть до обнаружения пароля администратора домена. Для поиска оптимального пути пентестеры используют программу Bloodhound, которое позволяет выявить связи между учетными записями и ресурсами домена, а также определить, в каких группах состоят пользователи.

Архитектурные особенности позволяют извлечь учетные данные из памяти ОС с помощью специальных утилит, таких как mimikatz и secretsdump, или используя встроенные средства ОС, например taskmgr для создания дампа процесса lsass.exe. Антивирусная защита не препятствовала созданию дампов памяти, только в одном проекте специалисты по ИБ получили уведомление о запуске утилиты procdump.

Рекомендации

Обеспечить защиту от восстановления учетных данных из памяти ОС. Рекомендуется использовать версии Windows выше 8.1 на рабочих станциях и версии Windows Server выше 2012 R2 на серверах. Привилегированных пользователей домена следует включить в группу Protected Users. На практике мы видим, что группа Protected Users редко используется для защиты привилегированных учетных записей, хотя применение такой техники способно значительно затруднить злоумышленнику развитие атаки.

В современных версиях Windows 10 и Windows Server 2016 реализована технология Credential Guard, позволяющая изолировать и защитить системный процесс lsass.exe от несанкционированного доступа.

Для дополнительной защиты привилегированных учетных записей, в частности администраторов домена, рекомендуется использовать двухфакторную аутентификацию. На архитектурном уровне для привилегированных пользователей рекомендуется организовать модель разграничения привилегий.

В 61% компаний успешно применялась атака Kerberoasting, которая основана на архитектурных особенностях Kerberos и направлена на получение учетных записей. Заключается она в следующем. Любой аутентифицированный в домене пользователь может запросить Kerberos-билет для доступа к сервису (TGS-REP), такой запрос является легитимным. При шифровании одной из частей билетов Kerberos TGS-REP используется NT-хеш пароля учетной записи, от имени которой запущен сервис, и этот пароль зачастую является простым или словарным. Так как сервисные учетные записи могут иметь административные привилегии, то выполнив по словарю перебор паролей к полученным значениям Kerberos TGS-REP, злоумышленник может получить доступ к узлам с повышенными привилегиями. Подбор паролей проводится уже на компьютере атакующего, поэтому средствами защиты его не выявить. В одной из компаний в результате атаки Kerberoasting было получено около 4000 значений TGS-REP, а затем подобраны 25 паролей для выбранных привилегированных учетных записей.

Во многих компаниях из-за недостатков разграничения доступа произвольный пользователь домена может получить пароли локальных администраторов, назначенных службой Local Administrators Password Service, например подключившись к службе Active Directory домена с помощью утилиты Active Directory Explorer.

Рекомендации

Ограничить возможность получения учетных данных из LAPS для непривилегированных пользователей домена.

Те или иные недостатки защиты служебных протоколов были выявлены в 94% компаний, где проводился анализ сетевого трафика, однако в рамках пентестов атаки на эти протоколы проводятся редко, поскольку могут нарушить работу систем. Недостатки сетевой безопасности дают злоумышленнику возможность перехватить информацию, которая передается по сети, в том числе и учетные данные. К примеру, атака на протоколы LLMNR и NBNS позволяет получить идентификаторы пользователей и значения NetNTLMv2 challenge-response, по которым можно подобрать пароли с помощью утилиты hashcat.

Рекомендации

По возможности отключить протоколы NBNS и LLMNR. Если использовать протокол NBNS необходимо — установить статические записи для основных узлов сети (шлюз по умолчанию, серверы), а также использовать WINS-сервер вместо широковещательных запросов. При использовании протокола LLMNR обеспечить его защиту, в частности не устанавливать его в качестве основного механизма для разрешения IP-адресов, а также ограничить область применения.

Практически в каждом проекте удавалось подобрать пароли пользователей (включая подбор по полученным вспомогательным данным, например NT-хешам или значениям TGS-REP). Самыми распространенными, даже среди привилегированных пользователей, оказались пароли, состоящие из сочетаний соседних символов на клавиатуре, например Qwerty123.

Самый простой вектор получения учетной записи администратора домена состоял всего из пары шагов. Сначала наши специалисты получили список идентификаторов всех пользователей домена с помощью команды net user / domain, а затем провели подбор учетных записей, которые используют пароль Ltrf,hm2019 (Декабрь2019). Среди таких пользователей оказался и администратор домена.

Рекомендации

Отказаться от использования простых и словарных паролей, разработать строгие правила для корпоративной парольной политики и контролировать их выполнение.

Проверять использование словарных паролей могут доменные администраторы — выгрузив файл ntds.dit с контроллера. В этом файле хранятся хеши паролей учетных записей всех пользователей домена. Можно в режиме офлайн попытаться подобрать по словарям пароли пользователей и в случае успешного подбора провести с соответствующими пользователями беседу, объяснить, почему важно сменить пароль на более стойкий.

Такие мероприятия стоит проводить периодически. Также следует рассмотреть возможность включения наиболее часто используемых паролей, которые публикуются в различных исследованиях по ИБ, в список запрещенных для использования в домене.

Архитектурные особенности протоколов NTLM и Kerberos активно использовались в атаках для перемещения между узлами сети, например с использованием известных техник pass the hash, NTLM-relay, Kerberos silver ticket, Kerberos golden ticket.

Злоумышленник может эксплуатировать известные уязвимости, которые содержатся в устаревших версиях ПО и позволяют удаленно выполнить произвольный код на рабочей станции, повысить привилегии или узнать важную информацию, например CVE-2019-2725 в Oracle WebLogic, CVE-2019-0686 в Microsoft Exchange Server, CVE-2018-9276 в PRTG Network Monitor. Но чаще всего мы сталкиваемся с отсутствием актуальных обновлений ОС. Так, в Windows встречаются уязвимости CVE-2019-0708 (BlueKeep), CVE-2019-1040, а в некоторых компаниях до сих пор можно обнаружить уязвимости, которые были описаны в бюллетене безопасности MS17-010 (в 30% компаний), и даже MS08-067. При проведении работ были выявлены и две уязвимости нулевого дня.

В 22% компаний были получены привилегии не просто администратора домена, а администратора леса доменов (Enterprise Administrator). В частности, для этого проводилась атака SID-History Injection. Она заключается в следующем. Если домены child.domain.local и domain.local состоят в доверительных отношениях, то злоумышленник, имеющий максимальные привилегии в домене child.domain.local, может провести атаку, направленную на получение максимальных привилегий в корневом домене domain.local.

Атака основана на модификации атрибута sIDHistory, который предназначен для упрощения миграции доменов, например когда происходит слияние разных компаний или включение домена дочерней организации в домен головной компании. Когда требуется объединить в единую доменную инфраструктуру старый домен old.local c новым доменом new.local, все объекты домена old.local получают новые идентификаторы безопасности (SID) в домене new. local, а их старые значения SID записываются в атрибут sIDHistory. После объединения при аутентификации проверяется не только атрибут objectSid, но и sIDHistory. Для доменов, состоящих в доверительных отношениях, при междоменной аутентификации поле с атрибутом sIDHistory не фильтруется.

Внутри пакетов протокола Kerberos есть поле ExtraSids, в котором записано значение атрибута sIDHistory. Для проведения атаки требуется определить междоменный доверенный аккаунт, например с помощью утилиты LDAPPER, и получить NT-хеш его пароля. Используя полученный хеш пароля — сформировать Inter-Realm Ticket Granting Ticket (Inter-Realm TGT) с помощью утилиты ticketer. При этом в поле ExtraSids указывается значение SID корневого домена. Созданный Inter-Realm TGT используется для запроса Kerberos Silver Ticket для контроллера корневого домена.

Рекомендации

Отключить опцию sIDHistory для леса доменов, состоящих в доверительных отношениях. Также можно использовать опцию SID Filter Quarantining для доменов, состоящих в доверительных отношениях (атрибут TREAT_AS_ EXTERNAL). Рекомендуется исключить недоверенные домены из леса и только затем настраивать для них фильтрацию SID.

Как мы получали доступ к бизнес-системам

В рамках внутреннего пентеста перед специалистами может стоять задача продемонстрировать возможность реализации бизнес-рисков или доступа к бизнес-системам. Для каждой компании перечень рисков будет отличаться, но есть и общие пункты, например компрометация критически важной информации в случае доступа к рабочим станциям руководства. Рассмотрим на нескольких примерах, как злоумышленники могут развить векторы атак. Привилегии администратора домена позволяют злоумышленнику провести атаку Kerberos Golden Ticket. Протокол Kerberos основан на предоставлении билетов, подтверждающих уровень доступа пользователя к ресурсам доменной инфраструктуры.

Привилегии служебной учетной записи krbtgt позволяют выпустить билет с любым уровнем доступа. Поэтому нарушитель, который может получить NT-хеш учетной записи krbtgt, в том числе администратор домена, имеет возможность создать «золотой билет» (Golden Ticket) для доступа к ресурсам с любыми привилегиями.

Чтобы устранить последствия атаки Kerberos Golden Ticket необходимо дважды сменить пароль учетной записи krbtgt, а также провести расследование инцидента и переустановить системы на скомпрометированных узлах.

С помощью атаки Golden Ticket злоумышленник может подключиться к компьютеру топ-менеджера и установить ПО для скрытого удаленного доступа, например модифицированную версию TeamViewer или VNC, — и незаметно наблюдать за всеми действиями пользователя

Рассмотрим другой пример. В ходе внутреннего пентеста был установлен адрес терминального сервера, с которого сотрудники подключались к системе TranzWare Online для управления сетью банкоматов. Поскольку пентестеры уже обладали привилегиями администратора домена, они смогли провести атаку Golden Ticket для доступа к серверу. Затем они создали дамп памяти процесса lsass.exe и с помощью утилиты mimikatz извлекли пароли пользователей в открытом виде. Подключившись к серверу уже с полученными учетными данными, специалисты выяснили, что для доступа к TranzWare Online используются те же пароли, что и для доменных учетных записей, и продемонстрировали возможность авторизации в системе. В результате такой атаки злоумышленник смог бы управлять конфигурацией банкоматов, просматривать список транзакций и иную отчетность на банкомате, а также попытаться провести мошеннические транзакции и похитить деньги.

Промышленным и топливно-энергетическим компаниям важно проверять уровень защищенности технологической сети. На практике оказывается, что из корпоративного сегмента злоумышленник может проникнуть в технологический. Приведем пример такого вектора атаки.

Во время пентеста на одном из узлов сети был создан дамп памяти процесса lsass.exe, из которого были извлечены несколько учетных записей. Анализ доменной инфраструктуры с помощью программы Bloodhound показал, что одна из этих учетных записей обладает привилегиями локального администратора на множестве узлов сети. Пентестеры изучили сведения о сотрудниках на корпоративном портале и с помощью полученной привилегированной учетной записи подключились к рабочим станциям пользователей, предположительно имеющих доступ к автоматизированным системам управления. На одной из рабочих станций они обнаружили информацию о технологической сети, способах подключения к промышленным системам и учетные данные.

Выводы и рекомендации

Тестирование корпоративных информационных систем на проникновение традиционно показывает низкий уровень защищенности от внутреннего нарушителя, который может получить полный контроль над инфраструктурой и доступ к критически важным бизнес-системам. По большей части атаки возможны из-за недостатков конфигурации и слабой парольной политики, поэтому в первую очередь необходимо соблюдать базовые правила информационной безопасности. Рекомендации по защите от распространенных методов атак приведены в исследовании.

Действия пентестеров редко привлекали к себе внимание, а следовательно, и злоумышленники могли бы долгое время скрытно находиться в инфраструктуре. Так, в ходе работ по внешнему тестированию на проникновение выявлялись следы более ранних атак хакеров, которые не были вовремя замечены службой ИБ. Важно использовать современные технические решения, которые дают возможность на ранней стадии обнаружить попытки атак. Системы анализа и мониторинга событий безопасности (SIEM-системы) позволяют выявить подозрительную активность в инфраструктуре и принять меры по пресечению атак, чтобы минимизировать негативные последствия. Помимо этого, рекомендуется регулярно проводить ретроспективный анализ событий безопасности и трафика внутри сети, чтобы обнаружить присутствие злоумышленников, если система все же была взломана. Средства глубокого анализа сетевого трафика позволяют не только выявить факт компрометации, но и отследить действия нарушителей в инфраструктуре. Своевременное выявление атаки дает возможность остановить ее до того, как будет нанесен серьезный ущерб компании, минимизировать риски кражи конфиденциальной информации, нарушения бизнес-процессов и финансовых потерь.

Рекомендуется регулярно проводить тестирование на проникновение, чтобы на практике оценивать существующие меры обеспечения информационной безопасности. Тестирование на проникновение с проверкой возможности реализации бизнес-рисков позволит максимально эффективно выстроить систему защиты.

Ukrnames усовершенствовали подбор доменных имен

Компании сообщаютНовости компаний

Впервые в Украине появились сервисы автоматизированного подбора красивого и запоминающегося доменного имени.

Конструктор веб-сайтов: Веб-хостинг: SSL-сертификаты: Dynadot.com

9,99 $ .COM | БЕСПЛАТНАЯ КОНФИДЕНЦИАЛЬНОСТЬ | БЕСПЛАТНЫЙ САЙТ

1. Аукционы
2. Объявления на торговой площадке
3. Задержанные заказы на домены