Active Directory è uno dei sistemi di gestione delle identità e degli accessi più utilizzati al mondo. Tuttavia, ci sono alcune vulnerabilità comuni che possono mettere a rischio la sicurezza del sistema, tra cui:
- Password deboli: le password deboli possono essere facilmente indovinate da attaccanti o scoperte tramite tecniche di forza bruta. Si raccomanda l’uso di password complesse e di politiche di password forti.
- Gestione delle autorizzazioni: la concessione di troppi privilegi ad un utente o ad un gruppo può rendere vulnerabile il sistema. È importante limitare l’accesso solo ai membri del personale che ne hanno bisogno.
- Aggiornamenti e patch: come qualsiasi altro software, Active Directory richiede aggiornamenti regolari per correggere le vulnerabilità e migliorare la sicurezza. Assicurarsi che i sistemi siano sempre aggiornati con gli ultimi patch di sicurezza.
- Monitoraggio delle attività: monitorare le attività degli utenti può aiutare a identificare le minacce alla sicurezza e prevenire eventuali attacchi. Inoltre, l’implementazione di soluzioni di monitoraggio dei log può aiutare a rilevare eventuali tentativi di accesso non autorizzati.
- Protezione contro le minacce interne: le minacce interne sono uno dei maggiori rischi per la sicurezza di Active Directory. La protezione da minacce interne può essere raggiunta tramite l’implementazione di controlli di accesso, la separazione dei doveri e l’adozione di politiche di sicurezza rigorose.
- Gestione delle credenziali: le credenziali degli utenti, come le password e le chiavi di accesso, sono un punto di debolezza comune. È importante proteggere queste credenziali tramite l’implementazione di controlli di autenticazione forti e l’uso di tecniche di crittografia per proteggere le password.
- Monitoraggio degli account: è importante monitorare gli account degli utenti per prevenire attacchi di phishing e altri tipi di attacchi. Monitorare gli account può aiutare a rilevare eventuali anomalie o attività sospette.
1. Account con privilegi eccessivi
Problema
Gli account con privilegi amministrativi vengono spesso assegnati senza restrizioni, aumentando il rischio di escalation dei privilegi in caso di compromissione.
Soluzione
- Principio del privilegio minimo: Assegna agli utenti solo i permessi strettamente necessari.
- Creazione di ruoli separati: Usa account distinti per amministrazione e attività quotidiane.
- Implementazione di LAPS (Local Administrator Password Solution): Gestisce dinamicamente le password degli account amministrativi locali.
2. Password deboli o compromesse
Problema
Molti utenti utilizzano password deboli o riutilizzate, aumentando il rischio di attacchi di forza bruta o pass-the-hash.
Soluzione
- Implementare una policy di password sicura:
- Minimo 12-16 caratteri
- Complessità (lettere maiuscole, minuscole, numeri, simboli)
- Blocco dopo tentativi falliti ripetuti
- Attivare MFA (Multi-Factor Authentication) per account critici.
- Utilizzare Windows Defender SmartScreen e Password Protection per rilevare credenziali compromesse.
3. Attacchi Pass-the-Hash e Kerberoasting
Problema
Gli attaccanti possono rubare hash di password ed eseguire autenticazioni senza conoscerle, oppure sfruttare ticket Kerberos deboli per elevare i privilegi.
Soluzione
- Disabilitare NTLM e forzare l’uso di Kerberos.
- Utilizzare Credential Guard per proteggere gli hash di autenticazione.
- Impedire la memorizzazione delle credenziali in LSASS.
- Evitare l’uso di SPN (Service Principal Names) per account con privilegi elevati.
4. Active Directory Misconfiguration e ACL Deboli
Problema
Permessi errati sulle unità organizzative (OU), oggetti di dominio e policy di gruppo (GPO) possono consentire modifiche non autorizzate.
Soluzione
- Audit regolare delle ACL usando strumenti come BloodHound e PingCastle.
- Limitare l’accesso alle GPO critiche.
- Monitorare le modifiche ai permessi su oggetti sensibili con strumenti SIEM.
5. Assenza di monitoraggio e logging adeguati
Problema
Senza un sistema di log efficace, gli attacchi possono passare inosservati.
Soluzione
- Attivare l’Advanced Auditing di Windows per registrare eventi critici (logon falliti, modifiche ACL, accessi amministrativi).
- Usare Microsoft Defender for Identity per rilevare attività anomale.
- Configurare una soluzione SIEM (Security Information and Event Management) per correlare eventi di sicurezza.
6. Esposizione degli oggetti Active Directory
Problema
Gli utenti possono interrogare l’AD con strumenti come PowerView e BloodHound, ottenendo informazioni sui privilegi degli account.
Soluzione
- Restringere l’accesso alla lettura di Active Directory tramite ACL.
- Bloccare l’esecuzione di strumenti PowerShell sospetti con AppLocker.
- Limitare l’uso del protocollo LDAP anonimo e abilitare LDAP Signing e Channel Binding.
7. Account di servizio con privilegi eccessivi
Problema
Gli account di servizio vengono spesso configurati con diritti di amministratore di dominio e password statiche.
Soluzione
- Utilizzare Managed Service Accounts (MSA) o Group Managed Service Accounts (gMSA) per eliminare le password statiche.
- Monitorare l’uso degli account di servizio con audit avanzato.
8. Rischi legati al protocollo SMB e all’uso di vecchie versioni di Windows
Problema
SMBv1 è vulnerabile ad attacchi come EternalBlue, utilizzato da WannaCry e NotPetya.
Soluzione
- Disabilitare SMBv1 e forzare SMBv2/3.
- Evitare l’uso di sistemi Windows non aggiornati.
- Applicare patch di sicurezza regolarmente.
9. Persistenza tramite oggetti nascosti in AD
Problema
Gli attaccanti possono creare oggetti nascosti o modificare permessi su oggetti AD per mantenere l’accesso.
Soluzione
- Scansione regolare di oggetti sospetti in AD.
- Monitoraggio di modifiche a utenti, gruppi e permessi con strumenti come AD Explorer.
- Applicazione del principio Zero Trust per ridurre la superficie di attacco.
Conclusione
Active Directory è un elemento cruciale per la sicurezza IT, ma può essere un bersaglio se non gestito correttamente. Implementare politiche di sicurezza rigorose, aggiornare regolarmente i sistemi e monitorare costantemente le attività in AD sono passaggi essenziali per proteggere l’infrastruttura.