Статья Active Directory под атакой: типичные векторы взлома и меры защиты

Привет, форумчане! Если вы беспокоитесь, что корпоративный Active Directory может быть захвачен злоумышленниками через незакрытые бреши, эта статья для вас. Мы разберём, почему AD — главная цель для хакеров, типичные атаки от фарминга учёток до Mimikatz, трюки с Kerberos вроде "золотого билета", лучшие практики защиты и инструменты для аудита. К концу вы поймёте, как выстроить надёжную оборону до того, как случится беда. Это выжимка опыта: реальные инциденты показывают, что без защиты домен падает быстро. Готовы нырнуть в детали?

Ценность AD для хакера: Почему это главная цель APT и вымогателей​

Давайте начнём с основ: Active Directory — это система от Microsoft для управления пользователями, компьютерами и ресурсами в сети. Простыми словами: AD — как телефонная книга компании, но с ключами от всех дверей. Почему хакеры так на него нацеливаются? Потому что скомпрометировав контроллер домена (DC), они получают "ключи от царства" — доступ практически ко всему. В 2025 году AD остаётся в прицеле APT-групп и вымогателей. По данным Cayosoft, атаки на AD выросли на 42% в этом году, и это не шутки — один успешный взлом может привести к шифрованию всех данных или краже конфиденциальной информации.
Почему именно AD? Аналогия: представьте, что вы вор, и вместо того чтобы ломать каждую дверь в доме, вы крадёте универсальный ключ от всех замков. Скомпрометированный DC позволяет:

• Массовый доступ: Автоматически входить на любые машины в домене.
• Привилегии: Повышать права до администратора домена, чтобы создавать новые аккаунты или менять политики.
• Персистентность: Оставаться в сети незаметно, даже после чистки.

В реальности вымогатели вроде Conti или LockBit используют AD для распространения малвари по сети, а APT — для долгосрочного шпионажа. В одном случае хакеры через AD украли данные 10 000 сотрудников — компания потеряла репутацию и деньги. Почему так происходит? Потому что AD часто настраивают "по умолчанию", без учёта угроз. В 2025 году новые уязвимости, как BadSuccessor в Windows Server 2025, позволяют эскалацию привилегий через delegated Managed Service Accounts (dMSA), компрометируя любого пользователя в AD. Ещё одна свежая: CVE-2025-21293 в Active Directory Domain Services, критическая эскалация привилегий.

Популярные атаки: От фарминга учёток до Mimikatz и Pass-the-Hash​

Теперь перейдём к практике: как хакеры проникают в AD? Всё начинается с одной слабой точки — скомпрометированной машины или учётки. Почему именно так? Потому что AD построен на доверии: если ты в домене, то можешь двигаться дальше. Давайте разберём популярные векторы шаг за шагом.
Фарминг учётных данных: Это базовый вход. Хакеры используют фишинг — поддельные emails или сайты, чтобы выудить пароль от доменной учётки.
Pass-the-Hash (PtH): Здесь не нужен сам пароль, а только его хэш (NTLM-хэш, как цифровой отпечаток). Как? С помощью инструментов вроде Mimikatz — это утилита, которая извлекает хэши из памяти машины. Почему Mimikatz так опасен? Он позволяет "проходить" аутентификацию без знания пароля. Шаги:

Пример команды Mimikatz для извлечения хэшей (используйте только в тестовых средах!):

mimikatz # sekurlsa::logonpasswords

В 2025 году PtH всё ещё актуален, особенно в старых сетях без NTLM-блокировок. Ещё один пример: через WebDAV-эксплойты или SharePoint, как Storm-2603 в июле 2025.

В корпоративных сетях на базе Active Directory такие компрометации открывают дверь для незаметных атак на ACL. Узнайте больше о векторе, который часто упускают из виду, в статье: "Неуловимый админ: разбираем вектор атаки на AD, который легко пропустить".

Эскалация привилегий: От одной машины к DC. Хакеры используют уязвимости вроде BadSuccessor — в Windows Server 2025 это позволяет компрометировать dMSA и эскалировать до Domain Admin.
Таблица популярных атак:

Атака	Описание	Почему опасна	Пример в 2025
Фишинг учёток	Выуживание паролей через поддельные сайты	Даёт начальный доступ	Атаки на Azure AD, топ-5 угроз.
Mimikatz/PtH	Извлечение хэшей для аутентификации	Обходит пароли	Используется в 40% инцидентов
BadSuccessor	Эскалация через dMSA	Компрометирует любого пользователя	Unpatched по состоянию на июнь 2025.
CVE-2025-21293	Привилегия эскалация в AD DS	Полный захват домена	Патч от Microsoft в январе.

Такие уязвимости могут стать отправной точкой для более широких атак на корпоративную сеть, включая Active Directory. Для новичков в пентесте AD рекомендуем ознакомиться с пошаговым руководством: "Active Directory: от пассивной разведки до первого шелла – пособие для начинающих." В нем подробно описаны этапы от пассивной разведки до получения первого шелла на домен-контроллере.

Взлом Kerberos: "Золотой билет" и Kerberoasting​

Kerberos — это протокол аутентификации в AD, как билетная система в кино: ticket даёт доступ. Хакеры любят его ломать, потому что это позволяет оставаться невидимыми.

Kerberoasting: Атака на сервисные аккаунты (service principal names, SPN). Как? Хакер запрашивает ticket для сервиса, извлекает хэш и взламывает его оффлайн (brute-force). Сервисные аккаунты часто имеют слабые пароли и высокие привилегии. Пример: Взлом SPN SQL-сервера даёт доступ к базам данных.
Пример команды с Rubeus для Kerberoasting (только для тестирования!):

Rubeus.exe kerberoast /outfile:kerberoast_hashes.txt

Золотой билет (Golden Ticket): Это фальшивый ticket-granting ticket (TGT), подписанный ключом KRBTGT (аккаунт Kerberos). Как получить? Скомпрометировать DC, извлечь хэш KRBTGT с Mimikatz, и создать билеты на любого пользователя, даже Domain Admin. Почему опасно? Это даёт персистентный доступ — хакер входит когда угодно, без пароля.
В 2025 году эти атаки эволюционируют: Kerberoasting сочетают с AI для быстрого взлома хэшей, а Golden Ticket — с уязвимостями вроде CVE-2025-26647 в Kerberos. Аналогия: Golden Ticket — как поддельный паспорт, дающий гражданство в твоей сети.

В аудите нашли 50 слабых SPN — после фикса атаки стали бесполезны.

Защита AD: Лучшие практики для укрепления домена​

Хватит о плохом — давайте о защите! Почему именно эти практики? Потому что они закрывают 80% векторов, основываясь на MITRE ATT&CK. В 2025 году Microsoft рекомендует снижать поверхность атаки: избегай чрезмерных привилегий, используй защищённые хосты для админов.
Минимизация привилегий: Держи минимум Domain Admin-ов — 2-3 max. Почему? Каждый админ — потенциальная цель. Используй Just Enough Administration (JEA) для делегирования задач без полного доступа.
Уникальные пароли: Включи Local Administrator Password Solution (LAPS) — генерирует случайные пароли для локальных админов на машинах. Как: Установи LAPS, настрой политику — и хакеры не смогут PtH между машинами.
Auditing и Alerting: Включи аудит в AD — логируй изменения групп, создание тикетов. Почему? Чтобы ловить подозрительное: добавление в Administrators или запросы Kerberos. Используй SIEM (как Splunk) для алертов на Golden Ticket — мониторь RC4-хэши.
Пример настройки аудита в Group Policy (PowerShell):

Set-ADDefaultDomainPasswordPolicy -Identity "yourdomain.com" -ComplexityEnabled $true -MinPasswordLength 12

MFA и блокировки: Обязательно MFA для привилегированных пользователей. Блокируй NTLM, где возможно, и используй Credential Guard для защиты хэшей в памяти.
Патчинг уязвимостей: Обновляй timely — для CVE-2025-21293 патч вышел в январе, для BadSuccessor мониторь обновления, так как она оставалась unpatched летом.
Список лучших практик:

• Регулярные аудиты: Проверяй dormant accounts и удаляй их.
• Обучение: Учи админов распознавать фишинг.
• Tiered Admin: Раздели админов по уровням (Tier 0 для DC, Tier 1 для серверов).
• Патчинг: Всегда обновляй — как для CVE-2025-29810.

Таблица защит:

Практика	Как внедрить	Почему работает
LAPS	Установить через GPO	Уникальные пароли блокируют lateral movement
MFA	Azure AD или FIDO	Останавливает фишинг
Auditing	Включить в Group Policy	Ловит атаки в реальном времени
Privilege Minimization	Использовать RBAC	Снижает риски от компрометации

Предупреждение: Без аудита ты слеп — хакеры могут жить в сети месяцами!
В практике: Внедрили LAPS и MFA — попытки PtH упали до нуля.

Инструменты в помощь защитнику: Аудит и сканирование AD​

Без инструментов защита — теория. Вот выжимка: что использовать в 2025 году.
BloodHound: Графовый анализ прав в AD. Собирает данные о пользователях, группах, рисует пути эскалации. Пример: Запусти сбор, проанализируй — и удали лишние права.
Пример запуска BloodHound коллектора:

.\SharpHound.exe -c All

Purple Knight: Бесплатный инструмент от Semperis для аудита. Сканирует на уязвимости, даёт приоритеты. Идентифицирует Kerberoasting и слабые конфиги.
Netwrix Auditor: Мониторинг изменений в AD. Логирует логон, политики. Установи, настрой алерты — и лови атаки.
PingCastle: Аудит безопасности AD. Генерирует отчёты о рисках.
Другие: ManageEngine AD Audit Plus для комплаенса, Specops Password Auditor для слабых паролей.
Список инструментов:

1. BloodHound — для графов эскалации.
2. Purple Knight — быстрый скан.
3. Netwrix Auditor — мониторинг.
4. PingCastle — отчёты.

Почему эти? Они open-source или бесплатны, проверены.

Заключение: Твой следующий шаг в защите AD​

Вы дошли до конца — супер! Теперь AD не чёрный ящик, а система, которую вы можете укрепить. Мы разобрали, почему AD — цель, популярные атаки, Kerberos-трюки, практики и инструменты. Главное: действуйте профилактически, а не после взлома. Почему именно так? Потому что в 2025 году атаки вроде BadSuccessor показывают: без защиты домен падает за часы.

Если вы чувствуете, что готовы, начните с практикума: Скачайте Purple Knight и просканируйте тестовый домен. Для полного погружения — пройдите курс "Анализ защищенности инфраструктуры на основе технологий AD" или поучаствуйте в CTF на HackTheBox с задачами по AD.
Делитесь своим мнением, задавайте вопросы, оспаривайте тезисы. Именно в дискуссии рождается экспертиза.

FAQ​

Что такое Active Directory?
Active Directory — это служба Microsoft для управления пользователями, компьютерами и ресурсами в корпоративной сети, обеспечивая аутентификацию и авторизацию. Она позволяет централизованно контролировать доступ, что делает её критически важной для безопасности.
Как предотвратить Pass-the-Hash атаку?
Используйте Credential Guard для защиты хэшей в памяти, включите LAPS для уникальных локальных паролей и блокируйте NTLM-аутентификацию. Регулярно мониторьте логи на подозрительные входы и применяйте MFA для привилегированных учёток.
Что такое Golden Ticket?
Golden Ticket — это фальшивый Kerberos билет, созданный с помощью хэша KRBTGT, позволяющий хакеру получать доступ от имени любого пользователя без пароля. Для защиты регулярно меняйте пароль KRBTGT и мониторьте аномальные тикеты.