Компания «Индид», российский разработчик решений в области защиты айдентити, выпустила Indeed Identity Threat Detection and Response (Indeed ITDR) 2.3 — продукт для выявления угроз айдентити и реагирования на них. Теперь продукт контролирует протокол NTLM в Active Directory, выявляет пять новых угроз и ограничивает срок хранения событий.
С выходом версии 2.3 Indeed ITDR обрабатывает все три основных протокола доменной аутентификации Active Directory: Kerberos, LDAP и NTLM. Раньше запросы по протоколу NTLM оставались вне контроля продукта.
Контроль NTLM-аутентификации без отказа от унаследованных приложений
NTLM — устаревший протокол проверки подлинности пользователей в Windows: в июне 2024 года Microsoft объявила устаревшими все его версии. Однако от протокола по-прежнему зависят многие унаследованные приложения, и без дополнительных мер защиты он остается источником риска. Злоумышленники используют NTLM-хеши в атаках Pass-The-Hash, а перехваченные запросы NTLM-аутентификации — в атаках NTLM Relay, чтобы войти под чужой учетной записью, не зная пароля.
Для решения этой задачи в Indeed ITDR 2.3 добавлена обработка протокола Netlogon, который используется при взаимодействии с контроллерами домена для проверки учетных данных через NTLM. Благодаря этому продукт может отслеживать запросы на аутентификацию, выборочно блокировать их или требовать дополнительный фактор подтверждения личности. Такой подход компаниям применять политики безопасности к отдельным подключениям, сохраняя работоспособность унаследованных приложений.
При этом Indeed ITDR не расшифровывает защищенные соединения Netlogon, не раскрывает ключи шифрования и не меняет схему взаимодействия с контроллерами домена. Недостающие сведения продукт получает из журнала событий Windows в реальном времени.
Контроль распространяется и на случаи, когда NTLM работает как резервный способ аутентификации, например при обращении к общей папке по IP-адресу, а не по DNS-имени. Вместе с обработкой Kerberos и LDAP в Active Directory это сокращает слепые зоны мониторинга и позволяет готовить отключение NTLM постепенно, без остановки рабочих процессов.
Новые сценарии обнаружения атак на Active Directory
Indeed ITDR и раньше выявлял атаки на Active Directory по протоколам Kerberos и LDAP: Golden Ticket, Kerberoasting, подбор паролей (brute force), понижение шифрования Kerberos, которое часто предшествует атакам Pass-The-Hash. Версия 2.3 добавляет пять сценариев, и ИБ-специалисты быстрее увидят попытки несанкционированного доступа, обхода защиты и повышения привилегий.
Indeed ITDR 2.3 обнаруживает:
- Kerberos Pass-The-Ticket;
- Kerberos FAST Downgrade;
- Kerberos Cross-Realm Escalation;
- CheeseOunce — эксплуатацию уязвимости CVE-2022-33679 в Windows Kerberos;
- LDAP Guest Authentication — небезопасную анонимную аутентификацию через LDAP.
Для двух из этих сценариев продукт теперь обрабатывает Kerberos FAST и анонимные запросы LDAP.
Управление сроками хранения событий доступа
События запросов доступа нужны для анализа угроз и расследования инцидентов, например утечки учетных данных. В версии 2.3 администратор сам задает, сколько хранить эти события, с учетом внутренних политик компании и нормативных требований. Так, мера РСБ.1 приказа ФСТЭК России № 21 требует определить для информационных систем персональных данных события безопасности, которые нужно регистрировать, и сроки их хранения. По истечении срока записи удаляются: журнал не разрастается бесконтрольно и не переполняет диск.
В консоли администрирования (Management Console) теперь видно, сколько места на диске занимают события доступа: так проще вовремя менять сроки хранения.
«Для нас важно, чтобы повышение безопасности не требовало от заказчиков перестройки ИТ-инфраструктуры. Во многих компаниях NTLM продолжает использоваться для работы устаревших приложений, и отказаться от него за короткий срок чаще всего невозможно. При этом использование протокола сопряжено с рисками безопасности: его уязвимости злоумышленники нередко используют для перемещения по инфраструктуре и повышения привилегий.
Поэтому в Indeed ITDR 2.3 мы обеспечили поддержку всех трех основных протоколов, используемых при доменной аутентификации Active Directory, — Kerberos, LDAP и NTLM. Теперь организации могут взять NTLM под контроль, сохранив работоспособность существующих приложений и возможность постепенно переходить на современные технологии», — отметил Лев Овчинников, руководитель продукта Indeed ITDR компании «Индид».
Официальные каналы Индид в соцсетях
Больше экспертных материалов по безопасности айдентити в удобном формате