Predavanje: Ko zaupanje postane ranljivost: napad na sodobno Active Directory okolje @ NT konferenca

Ko zaupanje postane ranljivost: napad na sodobno Active Directory okolje

When Trust Becomes a Vulnerability: Attacking a Modern Active Directory Environment In modern Active Directory environments, an attacker does not always need a stolen password to take over a domain. Often, it is enough to understand how applications, service accounts, LDAP integrations, Kerberos authentication, delegation mechanisms, and credential storage systems are interconnected. In this technically in-depth presentation, we will demonstrate a realistic attack scenario that begins with a seemingly ordinary business application integrated with Active Directory. By exploiting an inadequately protected configuration and abusing the trust relationship between the application and the directory, the attacker obtains access to an initial service account. On its own, this account does not provide complete control of the environment, but it opens the door to the world of domain identities, Kerberos tickets, computer accounts, and delegation paths. Through a live demonstration, we will show how limited initial access can gradually evolve into more advanced abuse of Active Directory mechanisms. The presentation will cover service account abuse, Kerberos authentication without knowing passwords, temporary credentials, Resource-Based Constrained Delegation (RBCD), Kerberos Constrained Delegation (KCD), and manipulation of Service Principal Name (SPN) records. Particular emphasis will be placed on the fact that these mechanisms are legitimate components of Windows environments, yet when misconfigured, they can become powerful tools in the hands of an attacker. In the final part, we will demonstrate how a compromised server can also put seemingly securely stored secrets at risk, such as administrative credentials kept in local tools or password vaults. The presentation concludes with a complete domain takeover and an analysis of the key points at which an organization could have detected, contained, or prevented the attack. The main message of the presentation is clear: modern attacks against Active Directory are no longer just attacks on passwords. They are attacks on trust, configuration, and identity paths that organizations often fail to monitor closely enough.

Danijela Šantak je strokovnjakinja za informacijsko in kibernetsko varnost, soustanoviteljica ter poslovna direktorica podjetja CYBER-SEC, kjer povezuje strateško razumevanje poslovnega okolja z vse bolj poglobljenim tehničnim znanjem s področja kibernetske varnosti. Pri svojem delu se osredotoča na penetracijsko testiranje, Red Teaming, upravljanje informacijskih tveganj, varnostne presoje ter preverjanje, ali varnostne kontrole v praksi dejansko dosegajo svoj namen. Njena strokovna pot temelji na povezovanju dveh pogledov, ki sta v sodobni informacijski varnosti vse bolj neločljiva: razumevanja načina delovanja napadalcev ter sposobnosti presojanja, kako dobro so organizacije pripravljene na resnične incidente. Je nosilka certifikatov CRTP, CRTeamer, eWPT, eJPT in PT1, s katerimi je svoje znanje nadgradila na področjih penetracijskega testiranja, varnosti spletnih aplikacij, napadov na Active Directory okolja ter praktičnih ofenzivnih varnostnih tehnik. Posebej jo zanimajo napadalne poti, varnost identitet in privilegiranih računov, lateralno premikanje znotraj informacijskih okolij, ranljivosti spletnih storitev ter povezovanje posameznih tehničnih ugotovitev v širšo sliko dejanskega poslovnega tveganja. Pri tem zagovarja pristop, da varnosti ni mogoče ocenjevati zgolj na podlagi prisotnosti tehnologij, certifikatov ali formalnih politik, temveč predvsem na podlagi preverljivih dokazov o učinkovitosti zaščitnih mehanizmov. Svoje tehnično znanje trenutno nadgrajuje tudi na področju revizije informacijskih sistemov, upravljanja kontrol in security assurance ter se pripravlja na pridobitev certifikata CISA – Certified Information Systems Auditor. Ta usmeritev njen profil dodatno povezuje s področji upravljanja IT, revizije, skladnosti, obvladovanja tveganj in ocenjevanja učinkovitosti varnostnih kontrol. Kot del ekipe CYBER-SEC sodeluje pri razvoju pristopov, ki organizacijam pomagajo razumeti njihov dejanski attack surface, preverjati odpornost informacijskih sistemov ter tehnične ugotovitve prevesti v jasne prioritete za vodstvo in varnostne ekipe. V času, ko se organizacije soočajo z vse hitrejšim izkoriščanjem ranljivosti, napadi na identitete, dobavne verige, oblačna okolja in AI-podprto socialno manipulacijo, poudarja pomen praktičnega preverjanja varnosti in merljive kibernetske odpornosti. Na kibernetsko varnost gleda kot na interdisciplinarno področje, kjer se tehnologija, procesi, ljudje in odgovornost vodstva nenehno prepletajo.