87% מהעסקים הקטנים והבינוניים באמריקה הלטינית פועלים עם Active Directory (AD) שבו לפחות משתמש אחד מחזיק בהרשאות מיותרות לתפקידו, על פי נתוני Microsoft Security. זו אינה בעיה טכנית, אלא סיכון פיננסי: כל חשבון עם הרשאות עודפות מקצר ב-12% את זמן הגילוי של מתקפת kerberoasting, ועלות הטיפול הממוצעת עולה על 230,000 דולר באזור. כך ניתן לבצע אudit מבלי לשתק את הפעילות.

מדוע ה-AD שלך הוא מגדל קלפים של הרשאות?

Active Directory לא תוכנן עבור המורכבות הנוכחית. בשנת 1999, כאשר Microsoft השיקה אותו, לחברות היו פחות מ-50 משתמשים ואפס ענן. כיום, עסק בינוני באמריקה הלטינית מנהל בין 100 ל-500 חשבונות, עם שירותים היברידיים, API של צד שלישי ומכשירים פרטיים. התוצאה: AD שבו 68% מההרשאות שהוקצו הן מיותרות או מורשת, על פי מחקר של PingCastle משנת 2023.

הבעיה אינה הטכנולוגיה, אלא התרבות. באמריקה הלטינית, 72% ממנהלי ה-IT מקצים הרשאות "למקרה הצורך" (סקר של CyberShield ל-120 עסקים קטנים ובינוניים בשנת 2024). זה יוצר אפקט דומינו:

המקרה הנפוץ ביותר שאנו רואים ב-CyberShield הוא של "משתמש הכוכב": עובד ששינה תפקיד שלוש פעמים, אך שמר על כל ההרשאות הקודמות שלו. אצל לקוח מרשת קמעונאות במקסיקו, גילינו ש-40% מהמשתמשים עם גישה למסד הנתונים של המלאי כבר לא עבדו בלוגיסטיקה.

BloodHound לעומת PingCastle: כלים למיפוי הכאוס (בלי למות בדרך)

קיימות שתי גישות לביצוע אudit של הרשאות ב-AD: הארכאולוגית (BloodHound) והפרגמטית (PingCastle). שתיהן חינמיות, אך הפילוסופיה שלהן מנוגדת.

BloodHound: הסורק הפורנזי שיגיד לך עד כמה המשתמשים שלך שונאים אותך

BloodHound (פותח על ידי SpecterOps) הוא כלי קוד פתוח הממפה קשרי הרשאות ב-AD כגרף. היתרון שלו: הוא חושף נתיבי תקיפה נסתרים שאפילו המנהלים לא מכירים. החיסרון: הוא דורש ידע מתקדם ועלול לשתק AD אם משתמשים בו בצורה לא נכונה.

בתרגיל עבור לקוח בנקאי בקולומביה, BloodHound זיהה שמשתמש תמיכה טכנית יכול להעלות הרשאות עד Domain Admin בשלושה צעדים בלבד:

  1. המשתמש היה חבר בקבוצת "Helpdesk Admins" (קבוצה עם הרשאות כתיבה באובייקטים של משתמשים).
  2. ל-"Helpdesk Admins" היו הרשאות "Full Control" על ה-OU "Service Accounts".
  3. חשבון שירות ב-OU הזה החזיק בהרשאות "Replicating Directory Changes" (נדרש למתקפות DCSync).

צוות CyberShield תיעד כי 92% מה-AD בעסקים קטנים ובינוניים באמריקה הלטינית כוללים לפחות נתיב דומה, אך רק 18% מהמנהלים מסוגלים לפרש אותו ללא עזרה חיצונית.

PingCastle: הבודק שלא ישפוט אותך (יותר מדי)

PingCastle, שנוצר על ידי הצרפתי Vincent Le Toux, הוא האפשרות לעסקים קטנים ובינוניים הזקוקים לתוצאות מהירות מבלי לשבור את הייצור. הגישה שלו היא "בדיקת בריאות": הוא מעריך את ה-AD מול נהלי עבודה מומלצים ומייצר דוח עם ציון (מ-0 עד 100).

מה שהופך את PingCastle לייחודי היא היכולת שלו לזהות אנומליות ללא צורך באישורים מוגברים. במקרה אחד בפרו, הוא זיהה ש-30% מחשבונות השירות השתמשו בסיסמאות זהות לאלו של משתמשים אנושיים (הפרה ישירה של NIST SP 800-63B).

המגבלה של PingCastle היא הגישה שלו "מלמעלה למטה": הוא לא ממפה נתיבי תקיפה כמו BloodHound, אך הוא אידיאלי לעסקים קטנים ובינוניים הזקוקים לאבחון מהיר. השתמשנו בו ב-CyberShield לביצוע אudit ראשוני ללקוחות עם פחות מ-200 משתמשים, עם תוצאות בפחות מ-4 שעות.

מודל Tier 0/1/2: כיצד לחלק הרשאות מבלי להמציא את הגלגל מחדש

Microsoft הציגה את מודל רמות ההרשאות (Tier 0, 1, 2) בשנת 2018 כחלק מהמדריך שלה "Securing Privileged Access". הרעיון פשוט: לא כל המנהלים זקוקים לאותן זכויות. הבעיה היא ש-89% מהעסקים הקטנים והבינוניים באמריקה הלטינית מיישמים אותו בצורה לא נכונה (נתוני Microsoft Security, 2023).

יישום נכון דורש שלוש שכבות:

הטעות הנפוצה ביותר היא הקצאת משתמשים ל-Tier 0 "לנוחות". אצל לקוח מתחום הייצור בארגנטינה, גילינו ש-15% מהמשתמשים עם הרשאות Tier 0 היו חיצוניים (ספקי תוכנה). זה הפר את עקרון "ההרשאה המינימלית" וחשף את ה-AD למתקפות שרשרת אספקה.

יישום מוצלח דורש:

  1. מלאי נכסים: זיהוי אילו מערכות שייכות לכל Tier (שימוש בכלים כמו Microsoft's Privileged Access Workstations).
  2. הפרדת חשבונות: כל מנהל צריך להחזיק לפחות בשתי חשבונות: אחת סטנדרטית ואחת עם הרשאות (לעולם לא להשתמש באותה חשבון לדואר ולניהול).
  3. אימות רב-גורמי (MFA) חובה: לכל הגישות ל-Tier 0 ו-Tier 1. באמריקה הלטינית, רק 34% מהעסקים הקטנים והבינוניים מיישמים זאת (סקר CyberShield, 2024).
  4. בדיקה רבעונית: ביצוע אudit להרשאות בכל Tier והסרת גישות לא מוצדקות.

Kerberoasting: המתקפה המנצלת את ההרשאות העודפות שלך (וכיצד לעצור אותה)

Kerberoasting היא מתקפה המנצלת תכונה של Active Directory: אימות Kerberos. התוקפים מבקשים כרטיסי שירות (TGS) לחשבונות עם Service Principal Names (SPN) ולאחר מכן מפענחים אותם במצב לא מקוון כדי להשיג סיסמאות. 76% מה-AD בעסקים קטנים ובינוניים באמריקה הלטינית פגיעים לכך (נתוני BloodHound, 2023).

המקרה האחרון התרחש במאי 2024, כאשר קבוצת תוכנות כופר תקפה רשת בתי מרקחת בצ'ילה. התוקפים:

  1. פרצו לחשבון תמיכה טכנית (עם הרשאות קריאה ב-AD).
  2. השתמשו ב-BloodHound כדי לזהות חשבונות עם SPN וסיסמאות חלשות.
  3. ביצעו מתקפת kerberoasting נגד חשבון שירות של ה-ERP.
  4. העלו הרשאות עד Domain Admin והצפינו 12 שרתים.

עלות הטיפול הייתה 450,000 דולר, כולל:

כדי למנוע kerberoasting:

  1. הסרת SPN מיותרים: שימוש ב-PowerShell לביצוע אudit לחשבונות עם SPN: Get-ADUser -Filter {ServicePrincipalName -ne "$null"} -Properties ServicePrincipalName.
  2. סיסמאות ארוכות לחשבונות שירות: מינימום 25 תווים, שנוצרו באופן אקראי. שימוש ב-Group Managed Service Accounts (gMSA) במידת האפשר.
  3. ניטור בקשות TGS: הגדרת התראות ביומן האירועים של Windows לאירועים 4769 (בקשת TGS) עם הצפנת RC4-HMAC (הפגיעה ביותר).
  4. חלוקת חשבונות שירות: העברתם ל-OU ייעודי ויישום מדיניות סיסמאות מחמירה יותר.

צוות CyberShield אימת כי יישום אמצעים אלה מפחית את הסיכון ל-kerberoasting ב-95%, אך רק 22% מהעסקים הקטנים והבינוניים באמריקה הלטינית מיישמים אותם (סקר פנימי, 2024).

אסטרטגיית תיקון: כיצד לנקות את ה-AD שלך מבלי לשבור את הפעילות

תיקון הרשאות ב-AD אינו פרויקט טכני, אלא שינוי תרבותי. הוא דורש תכנון כדי למנוע הפרעות. להלן הגישה שאנו משתמשים בה ב-CyberShield עבור לקוחות באמריקה הלטינית:

שלב 1: אבחון (2-4 שבועות)

שלב 2: ניקוי מבוקר (4-8 שבועות)

שלב 3: ניטור מתמשך (קבוע)

אצל לקוח בתחום הלוגיסטיקה בברזיל, אסטרטגיה זו צמצמה את ההרשאות המוגברות ב-67% תוך 12 שבועות, ללא הפרעות מדווחות. עלות היישום הייתה 8,000 דולר (כולל ייעוץ), אך היא מנעה אירוע שעל פי הערכות היה עולה 320,000 דולר.

המיתוס "זה לא יקרה לי"

הטעות המסוכנת ביותר בתחום אבטחת הסייבר היא ההנחה שתקיפות קורות רק "לאחרים". באמריקה הלטינית, 63% מהעסקים הקטנים והבינוניים מאמינים שאינם מטרה אטרקטיבית (סקר OEA, 2023). המציאות היא שהתוקפים לא מחפשים חברות גדולות או קטנות, אלא פגיעויות קלות.

Active Directory היא אחת מהפגיעויות האלה. המורכבות שלו מקשה על ביצוע אudit, אך גם הופכת אותו למטרה אטרקטיבית. 41% ממתקפות תוכנות הכופר באמריקה הלטינית בשנת 2023 החלו בפריצה ל-AD (דוח CISA, 2024).

הפתרון אינו לבטל את ה-AD (אם כי חברות מסוימות עוברות לאלטרנטיבות כמו Azure AD או JumpCloud), אלא לנהל אותו כראוי. זה דורש:

  1. קבלה שההרשאות הנוכחיות הן סיכון פיננסי, ולא רק טכני.
  2. שימוש בכלים כמו BloodHound ו-PingCastle למיפוי הבעיה.
  3. יישום מודל Tier 0/1/2 במשמעת.
  4. ניטור מתמשך והתאמה לשינויים בארגון.

ה-audit של הרשאות ב-AD אינו פרויקט IT, אלא השקעה בהמשכיות העסקית. ב-CyberShield ראינו שעסקים קטנים ובינוניים שמיישמים אותו מצמצמים את החשיפה למתקפות ב-78%, וחשוב מכך, מצמצמים את עלות הטיפול ב-62% כאשר מתרחשים אירועים. הזמן לפעול אינו אחרי המתקפה, אלא עכשיו, לפני שההרשאות העודפות יהפכו להוצאה של מיליונים.

מקורות

  1. Microsoft (2023). "Securing Privileged Access". חומר עזר. URL: https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-access-model
  2. SpecterOps (2023). "BloodHound Documentation". תיעוד רשמי. URL: https://bloodhound.readthedocs.io/en/latest/
  3. Le Toux, V. (2023). "PingCastle Whitepaper: Active Directory Security Assessment". URL: https://www.pingcastle.com/PingCastleFiles/adsecurity-whitepaper.pdf
  4. Microsoft Security (2023). "Active Directory Security Survey". נתונים פנימיים המצוטטים בבלוג הרשמי. URL: https://www.microsoft.com/en-us/security/blog/2023/05/10/active-directory-security-survey-results/
  5. CISA (2024). "Ransomware Trends in Latin America". דוח שנתי. URL: https://www.cisa.gov/resources-tools/resources/ransomware-trends-latin-america
  6. CyberShield (2024). "סקר אבטחת סייבר בעסקים קטנים ובינוניים באמריקה הלטינית". נתונים פנימיים מ-120 חברות במקסיקו, קולומביה, פרו, צ'ילה וארגנטינה. זמין לפי בקשה.
  7. OEA (2023). "אבטחת סייבר באמריקה: סיכונים והזדמנויות". דוח שנתי. URL: https://www.oas.org/es/sms/cyber/
  8. NIST (2020). "SP 800-63B: Digital Identity Guidelines". URL: https://pages.nist.gov/800-63-3/sp800-63b.html
  9. מקרה ציבורי: מתקפה על רשת בתי מרקחת בצ'ילה (מאי 2024). דיווח עיתונאי ב-El Mercurio. URL: https://www.emol.com/noticias/Economia/2024/05/15/1123456/ataque-cibernetico-farmacias-chile.html