Active Directory — главный объект интереса при пентесте внутренней сети. Если атакующий получает контроль над AD, он часто получает контроль над всей инфраструктурой: пользователями, серверами, политиками и доступами. Поэтому разбор типовых атак на AD — один из самых частых поисковых запросов у специалистов по ИБ и системных администраторов.
Сбор информации
Аудит начинается с перечисления домена: пользователи, группы, компьютеры, OU, GPO, доверительные отношения, SPN, сессии администраторов. Для этого анализируют доступные LDAP-запросы, Kerberos и SMB. Цель — понять, где слабые места и как можно развить атаку.
Kerberoasting
Если у сервисных аккаунтов есть SPN, злоумышленник может запросить Kerberos-ticket и офлайн подбирать пароль. Особенно опасны слабые пароли у SQL, IIS, backup и legacy-сервисов. Защита: длинные случайные пароли, gMSA, контроль привилегий сервисных учёток.
AS-REP Roasting
Если у пользователя отключена Kerberos pre-authentication, можно получить AS-REP и также атаковать пароль офлайн. Это частая ошибка в старых или тестовых учётных записях.
Парольные атаки
Password spraying по VPN, OWA, SMB, WinRM и другим сервисам помогает находить слабые одинаковые пароли без массовой блокировки. Пентестер проверяет парольную политику, lockout policy и наличие MFA на критичных точках входа.
LLMNR/NBT-NS spoofing и захват NTLM
Внутри сети до сих пор встречаются сценарии, где можно перехватывать или релеить NTLM-аутентификацию. Если не включены SMB signing, EPA и другие меры защиты, это может привести к повышению привилегий.
Delegation abuse
Неправильно настроенные Kerberos Delegation — частый путь к захвату привилегированных аккаунтов. Особенно опасны unconstrained delegation и уязвимые варианты resource-based constrained delegation.
ACL abuse
Ошибки в правах на объекты AD позволяют сбросить пароль, добавить себя в привилегированную группу, изменить SPN или прописать shadow credentials. Такие misconfiguration часто незаметны без графа связей и анализа наследуемых разрешений.
GPO и локальные администраторы
Слабый контроль групповых политик, повторяющиеся пароли локальных админов, доступ к SYSVOL и устаревшие настройки Preferences — всё это упрощает lateral movement по сети.
Атаки на привилегированные сессии
Если администратор домена вошёл на обычную рабочую станцию, его токен или учётные данные могут стать цели для дальнейшего компрометационного шага. Поэтому проверяют segmentation, tiering и PAW-подход.
Что важно по итогам пентеста AD ✅
- убрать legacy-настройки и анонимное перечисление
- включить LAPS / Windows LAPS
- перевести сервисы на gMSA
- пересмотреть делегирование и ACL
- ограничить NTLM и включить SMB signing
- отделить админские учётки от пользовательских
- внедрить мониторинг BloodHound-путей, событий Kerberos и изменений привилегий
Хороший пентест Active Directory — это не просто поиск «дыр», а построение реальной цепочки атаки: от обычного доменного пользователя до критического актива. Именно такой подход показывает, насколько устойчива внутренняя сеть к компроментации. 📌
Подборку полезных каналов про IT — от кибербеза до инфраструктуры и администрирования — стоит посмотреть ниже.