FreeIPA: правила корреляции
Таблица содержит сведения о разработанных правилах корреляции, включая их краткое описание и перечень тактик и техник MITRE ATT&CK, которые они охватывают.
| ID правила | Название правила | Описание | Тактики и техники |
|---|---|---|---|
RV-D-1048 |
Разведка пользователей/ролей Free IPA |
Обнаружение использования команд поиска пользователей, групп и ролей в IPA. Атакующие могут попытаться получить список учетных записей домена. Далее эта информация может помочь определить, какие учетные записи домена существуют, чтобы облегчить последующее поведение, например, нацеливание на определенные учетные записи, обладающие определенными привилегиями. В случае подтверждения нелегитимной активности необходимо незамедлительно изолировать хост и отключить скомпрометированную учетную запись. Далее проверить возможные пути распространения атаки и осуществить поиск изначальной причины компрометации узла/УЗ. |
|
RV-D-1049 |
Изменение оболочки входа средствами FreeIPA |
Некоторые оболочки могут предоставлять больше возможностей для выполнения скриптов или команд. Атакующие могут воспользоваться изменением оболочки входа для повышения своих возможностей в системе. Данный функционал реализуется за счет функции user_mod() из функционала API FreeIPA (ipa user-mod) или при помощи смены оболочки пользователя в веб-интерфейсе. В случае возникновения активности требуется опросить пользователя, ответственного за учетную запись инициатора активности, на предмет осуществления активности. Если активность является нелегитимной, рекомендуется заблокировать учетную запись ее инициатора. |
|
RV-D-1050 |
Остановка/перезапуск сервисов FreeIPA |
FreeIPA — это набор компонентов для централизованного управления учетными записями, группами, политиками безопасности (аналог Active Directory в Windows). Для работы сервера FreeIPA по умолчанию устанавливается несколько сервисов. Для применения изменения многих конфигураций требуется перезагрузка этих сервисов. Атакующий может перезапустить или остановить сервисы для отключения функционала FreeIPA или подмены легитимных сервисов на вредоносные. В случае подтверждения нелегитимной активности, необходимо незамедлительно изолировать хост и отключить скомпрометированную учетную запись. Далее проверить возможные пути распространения атаки и осуществить поиск изначальной причины компрометации узла/УЗ. |
|
RV-D-1055 |
Изменение конфигурации sudo в FreeIPA |
Обнаружение использования команд изменения конфигураций sudo в FreeIPA. Команда sudo позволяет системному администратору делегировать полномочия, чтобы предоставить определенным пользователям (или группам пользователей) возможность выполнять некоторые (или все) команды как root. Атакующие могут изменять конфигурацию sudo для закрепления в системе и повышения привилегий на доменных хостах. В случае подтверждения нелегитимной активности необходимо незамедлительно изолировать хост и отключить скомпрометированную учетную запись. Далее проверить возможные пути распространения атаки и осуществить поиск изначальной причины компрометации узла/учетной записи. |
|
RV-D-1056 |
Добавление HBAC-правила через FreeIPA |
HBAC (Host-based access control) — набор правил для настройки доступа пользователей или групп пользователей к определенным хостам с использованием определенных сервисов. Добавление HBAC-правил для определенного пользователя — это своего рода повышение привилегий, позволяющее изменить настройки доступа пользователей или групп пользователей к определенным хостам с использованием определенных сервисов. Создание нового HBAC-правила может нести риски по несанкционированному доступу к определенным сервисам FreeIPA. В случае возникновения активности требуется опросить пользователя, ответственного за учетную запись инициатора активности, на предмет осуществления активности. В случае если активность нелегитимна, заблокировать учетную запись инициатора активности. |
|
RV-D-1057 |
Чтение Ticket CCACHE файла |
Когда билеты настроены на сохранение в виде файла на диске, стандартным форматом и типом является файл CCACHE. Это простой двоичный формат файла для хранения учетных данных Kerberos. Эти файлы обычно хранятся в
Таким образом, доступ к билетам CCACHE является критичным событием ИБ и может означать действия атакующего по разведке учетных записей и доступу к действительным билетам Kerberos. В случае возникновения инцидента необходимо опросить владельца учетной записи о причинах активности. Если легитимность активности не подтверждена, то заблокировать учетную запись, инициировать процесс расследования. |
|
RV-D-1058 |
Атака Golden Ticket FreeIPA |
Атака Golden Ticket предполагает, что атакующий создает поддельный Ticket Granting Ticket (TGT), который используется в Kerberos для получения доступа к ресурсам, как если бы он был законно выдан контроллером домена (KDC — Key Distribution Center). Это позволяет атакующему получать доступ ко всем ресурсам в домене без необходимости знать пароли пользователей. Атака требует наличия доступа к хэшу пароля учетной записи |
|
RV-D-1061 |
Выполнение бэкапа FreeIPA |
Клонирование домена в контексте FreeIPA можно реализовать через бэкап домена при помощи команды ipa-backup с последующим развертыванием локальной копии контроллера домена. Это позволяет атакующему получить все необходимые ключи для создания билетов, в том числе золотых. Основные этапы включают получение бэкапа, восстановление бэкапа, и запуск локального контроллера домена, который будет идентичен целевому окружению. При срабатывании данного правила необходимо незамедлительно связаться с инициатором активности и с администратором контроллера домена для уточнения легитимности. В случае нелегитимности, необходимо сбросить пароль для всех пользователей в домене, так как они могли быть скомпрометированы в том числе и от УЗ Directory Manager. |
|
RV-D-1062 |
Успешный подбор пароля пользователя FreeIPA |
В домене под управлением FreeIPA в качестве основного механизма аутентификации используется протокол Kerberos. Использование данного протокола позволяет производить атаки, аналогичные атакам на Active Directory. Одним из видов такой атаки является перебор паролей для учетной записи. Для получения доступа к учетной записи или хосту атакующий может попробовать подобрать пароль с помощью перебора. В случае возникновения инцидента необходимо опросить владельца учетной записи о причинах активности. Если легитимность активности не подтверждена, то заблокировать учетную запись, инициировать процесс расследования. |
|
RV-D-1063 |
Чтение LDAP секретов FreeIPA |
Клонирование домена в контексте FreeIPA можно реализовать через экспорт LDAP-данных с последующим развертыванием локальной копии контроллера домена. Это позволяет атакующему получить все необходимые ключи для создания билетов, в том числе золотых. Основные этапы включают получение дампа LDIF, восстановление бэкапа и запуск локального контроллера домена, который будет идентичен целевому окружению. В файлах |
|
RV-D-1064 |
Атака Silver Ticket FreeIPA |
Атака Silver Ticket является известной техникой, используемой для злоупотребления привилегиями в инфраструктуре, основанной на Microsoft Active Directory. FreeIPA, являясь системой управления идентификацией и аутентификацией, аналогичной Active Directory, также может быть потенциально уязвима для таких типов атак, так как система использует Kerberos. Используя поддельный билет, атакующий может получить доступ к ресурсам и услугам, для которых в иной ситуации потребовались бы легитимные учетные данные. В рамках данного правила детектируется создание keytab-файла и последующая аутентификация с запросом билета пользователя для доступа к сервису. При срабатывании данного правила необходимо связаться с владельцем УЗ, если действия не подтверждены, то необходимо заблокировать учетную запись, от имени которой выполнялись команды для получения TGS и сменить пароль скомпрометированной УЗ. |
|
RV-D-1065 |
Подбор пароля пользователя FreeIPA |
В домене под управлением FreeIPA в качестве основного механизма аутентификации используется протокол Kerberos. Использование данного протокола позволяет производить атаки, аналогичные атакам на Active Directory. Одним из видов такой атаки является перебор паролей для учетной записи. Для получения доступа к учетной записи или хосту атакующий может попробовать подобрать пароль с помощью перебора. В случае возникновения инцидента необходимо опросить владельца учетной записи о причинах активности. Если легитимность активности не подтверждена, то заблокировать учетную запись, инициировать процесс расследования. |
|
RV-D-1066 |
Использование утилиты kadmin |
Утилиты kadmin и kadmin.local используются для управления базой данных Kerberos. Kadmin подключается к удаленному серверу (kadmin server) и требует аутентификации для выполнения операций, а kadmin.local работает только локально на сервере, где установлена база данных Kerberos. В отличие от kadmin, kadmin.local не требует сетевого подключения и аутентификации. Доступ к данным утилитам атакующим может привести к тому, что он может скомпрометировать учетные записи и ключи, что приведет к утечке данных или несанкционированному доступу к ресурсам сети. При обнаружении несанкционированного доступа к утилитам kadmin и kadmin.local необходимо запросить информацию у пользователя, чья учетная запись обращалась к данным утилитам, при неподтверждении действий — заблокировать УЗ и проверить историю изменений в базе Kerberos от этой УЗ для предотвращения дальнейшего распространения атакующего. |
|
RV-D-1067 |
Изменение конфигураций FreeIPA через API |
Обнаружение использования команд изменения критичных конфигураций в FreeIPA. API FreeIPA позволяет изменять все основные функции аутентификации, kerberos и других конфигураций. Атакующие могут изменять конфигурации для обхода механизмов безопасности и закрепления в системе. В случае возникновения инцидента требуется опросить пользователя, ответственного за учетную запись, на предмет осуществления активности. Если легитимность действий не подтверждена, рекомендуется заблокировать учетную запись и инициировать процесс расследования. |
|
RV-D-1068 |
Изменение файлов управления FreeIPA |
FreeIPA — это набор компонентов для централизованного управления учетными записями, группами, политиками безопасности. Для управления сервером FreeIPA по умолчанию устанавливается несколько утилит для настройки и управления сервером. Атакующий может пытаться заменить данные исполняемые файлы на свои вредоносные, тем самым закрепляясь в системе. В случае возникновения инцидента требуется опросить пользователя, ответственного за учетную запись, на предмет осуществления активности. Если легитимность действий не подтверждена, рекомендуется заблокировать учетную запись и инициировать процесс расследования. |
|
RV-D-1069 |
Изменение конфигураций разрешений в FreeIPA |
Обнаружение использования команд добавления административных разрешений в FreeIPA. Атакующие могут добавлять новые административные права для закрепления в системе и повышения привилегий на доменных хостах. В случае возникновения инцидента требуется опросить пользователя, ответственного за учетную запись, на предмет осуществления активности. Если легитимность действий не подтверждена, рекомендуется заблокировать учетную запись и инициировать процесс расследования. |
|
RV-D-1070 |
Изменение конфигураций привилегий в FreeIPA |
Обнаружение использования команд добавления административных прав в привилегии FreeIPA. Атакующие могут изменять привилегии для закрепления в системе и повышения привилегий на доменных хостах. В случае возникновения инцидента требуется опросить пользователя, ответственного за учетную запись, на предмет осуществления активности. Если легитимность действий не подтверждена, рекомендуется заблокировать учетную запись и инициировать процесс расследования. |
|
RV-D-1071 |
Изменение конфигураций ролей в FreeIPA |
Обнаружение использования команд добавления административных прав в привилегии и их назначение ролям FreeIPA. Атакующие могут изменять роли для закрепления в системе и повышения привилегий на доменных хостах. В случае возникновения инцидента требуется опросить пользователя, ответственного за учетную запись, на предмет осуществления активности. Если легитимность действий не подтверждена, рекомендуется заблокировать учетную запись и инициировать процесс расследования. |
|
RV-D-1072 |
Изменение конфигурации сервера kerberos |
Kerberos – это сетевой протокол аутентификации, который позволяет передавать данные через незащищенные сети для безопасной идентификации. Протокол проверки подлинности Kerberos обычно используется для аутентификации на объектах доменной инфраструктуры, в том числе и в FreeIPA. По умолчанию конфигурационные файлы kerberos в FreeIPA хранятся в директориях |
|
RV-D-1074 |
Изменение конфигурации сервера FreeIPA |
По умолчанию конфигурационные файлы FreeIPA хранятся в директориях |
|
RV-D-1075 |
Изменение конфигурации сервера ldap |
По умолчанию конфигурационные файлы openldap хранятся в директориях |
|
RV-D-1097 |
Подбор пароля от FreeIPA Web UI |
События множественных неудачных аутентификаций в FreeIPA Web UI могут указывать на перебор паролей учетных записей домена. Атакующие могут осуществлять подбор учетных данных для получения доступа к доменным ресурсам и привилегированным операциям. |
|
RV-D-1098 |
Обнаружение атаки Password Spraying на FreeIPA |
В домене под управлением FreeIPA в качестве основного механизма аутентификации используется протокол Kerberos. Использование данного протокола позволяет производить атаки, аналогичные атакам на Active Directory. Одним из видов такой атаки является Password Spraying учетных записей. Для получения доступа к учетной записи или хосту атакующий может попробовать подобрать пароль с помощью перебора. |
|
RV-D-1102 |
Подбор пароля пользователя по LDAP в FreeIPA |
В домене под управлением FreeIPA используется протокол LDAP для аутентификации и управления данными. Использование данного протокола позволяет производить атаки, аналогичные атакам на Active Directory. Одним из видов такой атаки является подбор паролей пользователей через LDAP-интерфейс. Для получения доступа к учетной записи или доменным ресурсам атакующий может попробовать подобрать пароль с помощью перебора по LDAP-протоколу, обходя ограничения Kerberos. |
|
RV-D-1103 |
Успешный подбор пароля пользователя по LDAP в FreeIPA |
В домене под управлением FreeIPA используется протокол LDAP для аутентификации и управления данными. Использование данного протокола позволяет производить атаки, аналогичные атакам на Active Directory. Одним из видов такой атаки является подбор паролей пользователей через LDAP-интерфейс. Для получения доступа к учетной записи или доменным ресурсам атакующий может попробовать подобрать пароль с помощью перебора по LDAP-протоколу, обходя ограничения Kerberos. |
|
RV-D-1118 |
Успешный подбор пароля от FreeIPA Web UI |
События множественных неудачных аутентификаций в FreeIPA Web UI с последующим успешным доступом могут указывать на перебор паролей учетных записей домена. Атакующие могут осуществлять подбор учетных данных для получения доступа к доменным ресурсам и привилегированным операциям. |
Была ли полезна эта страница?
