Active Directory rămâne, și astăzi, cel mai bătătorit drum către controlul complet al unui domeniu. Nu pentru că ar fi nesigur prin natura sa, ci pentru că ani de delegări, permisiuni moștenite, șabloane de certificat lăsate deschise și conturi de serviciu uitate creează trasee care duc de la orice utilizator obișnuit până la Domain Admin, contul care deține controlul complet al domeniului. Un atacator care obține un punct de sprijin intern rareori exploatează o vulnerabilitate software: urcă prin identitate.

Piața a răspuns cu instrumente dedicate — PingCastle, Purple Knight și altele asemenea — care fotografiază postura AD. Sunt instrumente competente, dar trăiesc izolate: rulează o singură dată, produc un raport separat și nu știu nimic despre expunerea externă sau despre suprafața internă pe care clientul a cartografiat-o deja în altă parte. Pentru cine livrează securitate ca serviciu, rezultatul este încă un siloz de gestionat.

RECON abordează problema dintr-un alt unghi. Evaluarea Active Directory nu este un produs separat: este o capabilitate suplimentară a aceleiași platforme — și a aceleiași sonde — care rulează deja scanarea externă și internă a clientului. O singură sondă, o singură vedere corelată, un singur contract.

Răspunsul RECON este gândit tocmai pentru a depăși acea conversație. Nu se instalează niciun agent: nici pe controlerele de domeniu, nici pe endpoint-uri. Colectorul face o singură citire autentificată a directorului, cu drepturile unui simplu utilizator de domeniu, exact cum ar face un instrument de postură — citește, nu scrie niciodată.

Credențialul de administrator, atunci când e nevoie, este folosit o singură dată pentru a crea un cont de colector dedicat, doar în citire, apoi este distrus (crypto-shredded): nu ajunge niciodată pe disc, într-un log sau într-un câmp permanent. Ca alternativă, organizația poate furniza direct un cont doar în citire, fără a preda vreun credențial privilegiat. Toată analiza periculoasă — Tier-0, trasee de atac, abuz de certificate, calculul scorului — se petrece apoi pe partea de server, pe datele colectate, fără a mai atinge vreodată domeniul viu. Invariantul este explicit și nenegociabil: detectează, nu exploata niciodată.

Pentru un partener, asta se traduce într-un fapt comercial concret: obstacolul tehnic care de obicei încetinește semnătura — „nu vreau software privilegiat pe DC-urile mele" — pur și simplu nu apare.

Primul nivel este un inventar de identitate: fiecare utilizator, grup, computer, unitate organizatorică și GPO pe care directorul le expune, adunate într-o listă filtrabilă. Într-o organizație de dimensiune medie este vorba cu ușurință de peste o mie de obiecte. Ceea ce le face lizibile sunt marcajele: obiectele privilegiate și cele de Tier-0 sunt evidențiate. Tier-0 este mulțimea conturilor și a sistemelor celor mai puternice din domeniu — Domain Admins, controlerele de domeniu și tot ce le poate controla; cine pune stăpânire pe Tier-0 pune stăpânire, practic, pe întregul domeniu, motiv pentru care este primul perimetru de apărat. Lângă obiecte apar apoi indicatorii de risc — un adminCount=1 nelalocul lui (urma că un cont este, sau a fost, privilegiat), o ultimă autentificare prea veche, un grup sensibil expus mai mult decât ar trebui.

Și toate acestea se condensează într-un singur număr: o notă de postură a domeniului, de la A la F (de la 100 în jos). Echipa de securitate o poate deschide și vedea constatările ponderate în spatele numărului; conducerea o poate citi fără mediere tehnică. Este diferența dintre a-i înmâna clientului un zid de constatări și a-i înmâna o propoziție: iată cât de expus este domeniul tău și iată ce trebuie reparat mai întâi.

Un exemplu ajută la înțelegerea formei rezultatului. Nu este neobișnuit ca un singur element — un cont de computer, un cont de serviciu, un grup delegat greșit — să se dovedească a fi punctul de trecere al unei duzini de trasee diferite, fiecare cu un scor de încredere și un efort estimat. Într-un asemenea caz, consola nu se limitează la a spune „ai o problemă": indică ce singur nod trebuie păzit pentru a stinge cel mai mare număr de rute dintr-o singură mișcare. Iar fiecare constatare vine cu propria remediere: pentru un ACL periculos pe un obiect de controler de domeniu, de exemplu, instrucțiunea precisă este să elimini drepturile Write/AllExtendedRights/AddKeyCredentialLink deținute de principali care nu sunt Tier-0.

Același principiu se aplică și la Certificate Services, PKI-ul intern, printre cele mai abuzate căi către Domain Admin: RECON citește șabloanele și autoritățile de certificare și clasifică configurările greșite cunoscute ale infrastructurii cu chei publice. „ESC" vine de la Escalation: este sigla sub care comunitatea de securitate cataloghează tehnicile de abuz ale AD CS, o familie numerotată de la ESC1 la ESC16, în care fiecare intrare descrie un mod diferit în care un PKI prost configurat acordă unui utilizator obișnuit privilegii pe care nu ar trebui să le aibă. ESC1, de pildă, este cazul în care un șablon de certificat îi permite solicitantului să indice singur identitatea care se scrie în certificat și îi permite utilizarea pentru autentificare: practic, orice utilizator obișnuit își poate emite un certificat care îl face să treacă drept un cont mult mai puternic.

RECON clasifică fiecare dintre aceste intrări cu o onestitate rară — confirmat, candidat sau detect-only. Un ESC1 confirmat înseamnă că un utilizator neprivilegiat poate deja obține acel certificat; un candidat rămâne marcat ca atare până când abuzul este dovedit. Clientul nu citește niciodată un „critic" umflat pe care nimeni nu l-a demonstrat — iar această onestitate, în mod contraintuitiv, este unul dintre cele mai solide argumente de vânzare pe care le poți aduce.

Pentru partener nu este „încă un instrument de vândut": este o capabilitate în plus pe o infrastructură deja instalată, care deschide un serviciu recurent, scurtează vânzarea și face valoarea măsurabilă la fiecare scanare.

Pașii următori sunt concreți: o prezentare ghidată a evaluării pe domeniul propriu al clientului; implementarea sondei într-o singură rețea pentru a vedea într-o singură trecere scanarea internă, OT/ICS și Active Directory; și revizuirea traseelor vii către Domain Admin, cu chokepoint-ul de rupt semnalat primul.

Află mai multe: [email protected] · orizon.one/services/recon