T1649: Кража или подделка сертификатов аутентификации

Злоумышленники могут украсть или подделать сертификаты, используемые для аутентификации, и получить доступ к удаленным системам или ресурсам. Цифровые сертификаты часто применяются для подписи и шифрования сообщений и (или) файлов. Сертификаты также могут выступать в роли сущностей для аутентификации. Например, сертификаты устройств Azure AD и служб сертификации Active Directory (AD CS) связываются с удостоверениями и могут использоваться как учетные данные для доменных учетных записей.

Сертификаты аутентификации могут быть украдены или подделаны. Например, сертификаты AD CS могут быть украдены из зашифрованного хранилища в реестре или файлах, из неправильно расположенных файлов сертификатов (см. технику Незащищенные учетные данные) или непосредственно из хранилища сертификатов Windows через различные криптографические API. При наличии прав на регистрацию пользователи и (или) компьютеры в домене могут запрашивать и (или) вручную обновлять сертификаты, выдаваемые корпоративными центрами сертификации (CA). Процесс регистрации определяет настройки и разрешения, связанные с сертификатом. Значения расширенного использования ключа (EKU) определяют, как сертификат можно использовать для подписи, шифрования и аутентификации, а значения альтернативного имени субъекта (SAN) указывают на дополнительные имена владельца сертификата.

Злоупотребление сертификатами для аутентификации может помочь атакующим реализовать другие тактики, такие как Перемещение внутри периметра. Неправильные настройки сертификатов могут открыть возможности для повышения привилегий, позволяя злоумышленникам выдавать себя за других пользователей или получать привилегированные учетные записи и разрешения через SAN, связанные с сертификатом. Подобные манипуляции могут также позволить злоумышленникам закрепиться в системе посредством кражи или подделки сертификатов, которые могут использоваться в качестве существующих учетных записей на протяжении всего срока их действия даже после сброса пароля пользователя. Сертификаты аутентификации для учетных записей компьютеров также могут быть украдены или подделаны.

Злоумышленники, имеющие доступ к закрытым ключам корневого или подчиненного центра сертификации, могут добиться закрепления путем подделки произвольных сертификатов аутентификации для домена-жертвы (так называемые "золотые" сертификаты). Злоумышленники могут использовать сертификаты и связанные с ними службы, чтобы получить доступ к другим формам учетных данных, например, билетам на выдачу билетов (TGT) (см. технику Золотой билет Kerberos) или данным NTLM в открытом виде.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol Carbon

MaxPatrol Carbon автоматически рассчитывает потенциальные маршруты злоумышленника до целевых систем. Маршруты могут отображать сценарии кражи или подделки сертификатов, используемых для аутентификации.

Примеры действий злоумышленника

Злоупотребление правами центра сертификатов Active Directory

Способы обнаружения

ID	DS0022	Источник и компонент данных	Файл: Доступ к файлу	Описание	Отслеживайте попытки доступа к файлам, в которых хранятся данные о сертификатах и закрытых ключах, связанных с ними. Например, личные сертификаты пользователей могут храниться на диске в папке `%APPDATA%\Microsoft\SystemCertificates\My\Certificates\`.

ID	DS0024	Источник и компонент данных	Реестр Windows: Доступ к ключу реестра Windows	Описание	Отслеживайте попытки доступа к хранящимся в реестре данным о сертификатах и закрытых ключах, связанных с ними. Например, сертификаты пользователей обычно хранятся в `HKEY_CURRENT_USER\SOFTWARE\Microsoft\SystemCertificates`.

ID	DS0015	Источник и компонент данных	Журналы приложений: Содержимое журналов приложений	Описание	Включите журналы аудита центра сертификации и отслеживайте признаки несанкционированного использования связанных служб.

ID	DS0017	Источник и компонент данных	Команда: Выполнение команд	Описание	Отслеживайте выполнение команд и других утилит для подделки и (или) кражи сертификатов и их закрытых ключей.

ID	DS0026	Источник и компонент данных	Active Directory: Изменение объекта Active Directory	Описание	Отслеживайте изменения в атрибутах и настройках центра сертификации, включая модификацию шаблонов службы сертификации AD (например, события с идентификаторами 4899 и 4900 после регистрации потенциально вредоносного сертификата).

ID	DS0026	Источник и компонент данных	Active Directory: Запрос учетных данных Active Directory	Описание	Отслеживайте аномальную деятельность, связанную с запросами к службе сертификации AD (например, события с идентификатором 4886) и выдачей сертификатов (например, события с идентификатором 4887), включая регистрацию нетипичных сертификатов и признаки манипулирования их атрибутами (например, использование уязвимых значений EKU).

ID	DS0028	Источник и компонент данных	Сеанс входа в систему: Создание сеанса входа в систему	Описание	Отслеживайте события аутентификации, связанные с сертификатами, например события с идентификатором 4768, когда сертификат AD CS используется для аутентификации через Kerberos (особенно если это не легитимно выданный сертификат). Также обратите внимание на случаи, когда в событиях входа с идентификатором 4624 в качестве `Logon Process` указывается Secure Channel (`Schannel`, связанный с SSL/TLS).

ID	Источник и компонент данных	Описание
DS0022	Файл: Доступ к файлу	Отслеживайте попытки доступа к файлам, в которых хранятся данные о сертификатах и закрытых ключах, связанных с ними. Например, личные сертификаты пользователей могут храниться на диске в папке `%APPDATA%\Microsoft\SystemCertificates\My\Certificates\`.
DS0024	Реестр Windows: Доступ к ключу реестра Windows	Отслеживайте попытки доступа к хранящимся в реестре данным о сертификатах и закрытых ключах, связанных с ними. Например, сертификаты пользователей обычно хранятся в `HKEY_CURRENT_USER\SOFTWARE\Microsoft\SystemCertificates`.
DS0015	Журналы приложений: Содержимое журналов приложений	Включите журналы аудита центра сертификации и отслеживайте признаки несанкционированного использования связанных служб.
DS0017	Команда: Выполнение команд	Отслеживайте выполнение команд и других утилит для подделки и (или) кражи сертификатов и их закрытых ключей.
DS0026	Active Directory: Изменение объекта Active Directory	Отслеживайте изменения в атрибутах и настройках центра сертификации, включая модификацию шаблонов службы сертификации AD (например, события с идентификаторами 4899 и 4900 после регистрации потенциально вредоносного сертификата).
DS0026	Active Directory: Запрос учетных данных Active Directory	Отслеживайте аномальную деятельность, связанную с запросами к службе сертификации AD (например, события с идентификатором 4886) и выдачей сертификатов (например, события с идентификатором 4887), включая регистрацию нетипичных сертификатов и признаки манипулирования их атрибутами (например, использование уязвимых значений EKU).
DS0028	Сеанс входа в систему: Создание сеанса входа в систему	Отслеживайте события аутентификации, связанные с сертификатами, например события с идентификатором 4768, когда сертификат AD CS используется для аутентификации через Kerberos (особенно если это не легитимно выданный сертификат). Также обратите внимание на случаи, когда в событиях входа с идентификатором 4624 в качестве `Logon Process` указывается Secure Channel (`Schannel`, связанный с SSL/TLS).

Меры противодействия

ID	M1015	Название	Конфигурация Active Directory	Описание	Обеспечьте надлежащую защиту центров сертификации (ЦС), в том числе обеспечьте обращение с серверами ЦС (и другими ресурсами, хранящими сертификаты ЦС) как с активами нулевого уровня (tier 0). Защитите уязвимые настройки и атрибуты ЦС. Например, отключите использование сертификатов SAN AD CS в соответствующих настройках протокола аутентификации, чтобы обеспечить строгое сопоставление пользователей и предотвратить аутентификацию сертификатов в качестве других идентификаторов. Также по возможности используйте диспетчер сертификатов CA Certificate Manager для одобрения шаблонов, включающих SAN в качестве требования для выдачи.

ID	M1042	Название	Отключение или удаление компонента или программы	Описание	По возможности отключите старые/опасные протоколы аутентификации (например, NTLM), а также ненужные функции сертификата, такие как потенциально уязвимые веб-роли AD CS и других серверов регистрации.

ID	M1041	Название	Шифрование важной информации	Описание	Обеспечьте надлежащую защиту сертификатов и связанных с ними закрытых ключей. По возможности используйте дополнительные аппаратные средства защиты учетных данных, такие как доверенные платформенные модули (TPM) или аппаратные модули безопасности (HSM). Применяйте HTTPS и включите расширенную защиту для аутентификации.

ID	M1047	Название	Аудит	Описание	Проверяйте системы на наличие ненужных существующих сертификатов аутентификации, а также распространенных злоупотреблений в настройках и разрешениях CA, таких как разрешения на регистрацию сертификатов AD CS и опубликованные шаблоны сертификатов со слишком высоким уровнем разрешений (они определяют доступные параметры для создаваемых сертификатов). Например, доступные шаблоны сертификатов AD CS можно проверить с помощью оснастки Certificate Authority MMC (`certsrv.msc`). `certutil.exe` также можно использовать для изучения различной информации в базе данных AD CS CA.

ID	Название	Описание
M1015	Конфигурация Active Directory	Обеспечьте надлежащую защиту центров сертификации (ЦС), в том числе обеспечьте обращение с серверами ЦС (и другими ресурсами, хранящими сертификаты ЦС) как с активами нулевого уровня (tier 0). Защитите уязвимые настройки и атрибуты ЦС. Например, отключите использование сертификатов SAN AD CS в соответствующих настройках протокола аутентификации, чтобы обеспечить строгое сопоставление пользователей и предотвратить аутентификацию сертификатов в качестве других идентификаторов. Также по возможности используйте диспетчер сертификатов CA Certificate Manager для одобрения шаблонов, включающих SAN в качестве требования для выдачи.
M1042	Отключение или удаление компонента или программы	По возможности отключите старые/опасные протоколы аутентификации (например, NTLM), а также ненужные функции сертификата, такие как потенциально уязвимые веб-роли AD CS и других серверов регистрации.
M1041	Шифрование важной информации	Обеспечьте надлежащую защиту сертификатов и связанных с ними закрытых ключей. По возможности используйте дополнительные аппаратные средства защиты учетных данных, такие как доверенные платформенные модули (TPM) или аппаратные модули безопасности (HSM). Применяйте HTTPS и включите расширенную защиту для аутентификации.
M1047	Аудит	Проверяйте системы на наличие ненужных существующих сертификатов аутентификации, а также распространенных злоупотреблений в настройках и разрешениях CA, таких как разрешения на регистрацию сертификатов AD CS и опубликованные шаблоны сертификатов со слишком высоким уровнем разрешений (они определяют доступные параметры для создаваемых сертификатов). Например, доступные шаблоны сертификатов AD CS можно проверить с помощью оснастки Certificate Authority MMC (`certsrv.msc`). `certutil.exe` также можно использовать для изучения различной информации в базе данных AD CS CA.