הגנה על AD עם קבוצת
Protected Users

תמלול ההרצאה: הגנה על AD עם קבוצת Protected Users

הטקסט המלא של הדקות הראשונות בהרצאה «הגנה על AD עם קבוצת Protected Users» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם בהרצאה הזו נלמד להגן על הרשת שלנו ולמנוע את ההתקפות הקודמות שראינו שבהם יוצרים dgt לצורך delegation וההגנה שלי מצוינת במקרה ולא צריך בכלל את כל הדליגיישן הזה כי אין לי שרת שדרכו עוברים עימות כדי להגיע לשרת אחר אם אין לי תסריט כזה אני יכול בכלל למנוע מdc להנפיק dgt לצורך delegation בואו תראו איך עושים את זה נמחק את הטיקט הזה נעשה delete עליו וננסה לבקש אותו עוד פעם

2. 00:35

   אבל נשים v אחד v שאומר account is sensitive account is sensitive and cannot be delegated אסור להנפיק את הtgt השני הזה יותר מזה יכולנו במקום הדבר הזה להכניס את היוזר לקבוצה מיוחדת שנקראת protected users היא נמצאת כאן בתוך התיקייה בתוך הקונטיינר של users ובפנים יש

3. 00:56

   קבוצה חדשה שהופיעה ב2012 נראה לי שנקראת protected users ומי שבקבוצה הזאת בפרוטקטד יוזרס הזה מקבל אוטומט את ה-v הזה שאסור דיליגיישן ויותר מזה גם אסור לו בכלל להזדהות ב-NTLM דומיין קונטרולר לא יאשר עימותי NTLM ביוזרים שנמצאים ברשימה הזאת זה אומר שהם לא יוכלו להתחבר שני סלאשים כתובת IP נניח הם יהיו חייבים

4. 01:21

   להשתמש בשני סלאשים שם של המחשב כדי שהכל יעבוד רק קרברוס כי NTLM לא עובד זאת אומרת מי שכאן לא יוכל לעבוד ממחשב ביתי, לא יוכל לעבוד לפי כתובות IP, הוא יהיה חייב לעבוד בקרברוס, והקרברוס מחייב שכולם יהיו, כל המחשבים שמשתתפים, כולל תחנת עבודה, כולם כולם יהיו חלק מדומיין

5. 01:43

   וכולם יעבדו עם השמות של המחשבים ולא עם כתובות IP. בפועל הפרוטקטד יוזרס הזה מאוד קשה ולא ראיתי באמת אנשים משתמשים בזה והאמת גם לא ראיתי שאנשים שמים את ה-v הזה של סנסיטיב, בגלל זה ההתקפה הזאת עובדת מצוין, ברגע שאני פורץ למישהו בתחנה אני יכול לבוא ולהוציא את ה-TGT ובשמו לטייל בכל הרשת בלי שיעלו עליי.

6. 02:06

   טוב בואו נעשה לוג אוף לוג און כדי שהטיקט של היוזר יתחדש עם התכונות החדשות שלו. עושים סיין אאוט ונכנסים מחדש כמובן שגם אפשר היה לעשות ריסטארט.

7. 02:17

   באים עוד פעם ל-קקאו שלנו x64 קקאו וכותבים פקודה אחת ויחידה שלמדנו TGT delegation. כמובן שיש עוד כלים שיודעים לקבל tgt זה לא משהו סודי זה לא משהו מיוחד ושימו לב מה אני מקבל עכשיו client is not allowed to delegate to the target ה client הזה הלקוח הזה לא מורשה לצורך delegation לצורך הצלת סמכות אין אישור לזה ואם אני אבטל את הv הזה בדיוויד ואני עושה שוב log off log on אני

8. 02:50

   אכנס ל kco x64 אפעיל אותו אריץ את הפקודה הזאת tgt delegation ואני רואה Kirby is OK. קיבלנו את זה. זאת אומרת שה-V הזה באמת באמת משפיע. ובואו נעשה ניסוי אחרון.

9. 03:03

   נשים אותו בקבוצה המיוחדת הזאת של Protected Users. נעשה דיוויד, הוא בקבוצת Protected Users. אפשר גם ללכת לדיוויד עצמו ולראות שהוא Member of Domain Users ו-Protected Users.

10. 03:17

    ניכנס לתחנת העבודה שלו. נלך ל-Kikeo x64, נפעיל את זה. ועוד פעם client is not allowed to delegate to the target ודרך אגב עכשיו הוא גם לא יעבוד לנו עם כתובת IP נניח נרשום פה file server הוא עובד אבל אם נרשום שני סלאשים 192 168 122 133 זה נראה לי כתובת של file