מחקר חושף סיכון משמעותי בכל נקודות הקצה של Windows כולל ב-Windows 10
מאת: מערכת Telecom News, 17.11.16, 14:28
 
תוקפים עם זכויות אדמיניסטרטור יכולים לאסוף הרשאות גישה מוצפנות לשירותים שונים כדי לנוע לרוחב הרשת הארגונית ולפרוץ לדומיין כולו.
 
חברת סייברארק, חברת אבטחת מידע המתמחה בהגנה על ארגונים מפני איומי סייבר מתקדמים, אלה המשתמשים לרעה בחשבונות פריבילגיים מתוך הרשת הארגונית כדי לתקוף את לב הארגון, ופעילה מהמטה ומרכז הפיתוח בישראל ולה משרדים גם בחו"ל, פרסמה מחקר חדש של מעבדות סייברארק ,(CyberArk  Labs) שחושף את מה שהיא רואה כסיכון משמעותי לרוחב כל  נקודות הקצה של Windows, כולל אלה ב-Windows 10, שבהן מופעל Credential Guard .
 
שימוש לרעה בסיכון זה יכול לאפשר לתוקפי סייבר לאסוף הרשאות גישה מוצפנות לשירותים (service credentials) מה-registry ולשכפל אותן לתוך שירות חדש וזדוני, כדי להצליח לנוע לרוחב הרשת הארגונית (lateral movement) ולפרוץ לדומיין כולו.
 
מגן הזהויות של מיקרוסופט, Microsoft Credential Guard , הושק כדי להפחית את הסיכון של תנועה לרוחב הרשת תוך שימוש בהרשאות גנובות. אולם, Credential Guard אינו מגן על המשתמש ברמת הדומיין ועל ההרשאות לשירותים ברמה שווה.
 
למרות שהרשאות הגישה לשירותים ברמת הדומיין הן מוצפנות, הן נשארות ב-registry, ונמצאות בסכנת גניבה ע"י תוקפים, שהשיגו הרשאות של אדמיניסטרטור מקומי בנקודת קצה, שנפרצה.
 
בדומה לקונספט של מתקפות Pass-the-Hash, תוקפי סייבר יכולים לגנוב הרשאת שירות מוצפנת ולהשתמש בה מחדש מבלי שיצטרכו בכלל לפענח אותה ואז לנוע לרוחב הארגון ולבסוף להשיג גישה ל-domain controller.
 
מהרשאת גישה גנובה ועד פריצה לדומיין:
                            
בהוכחת הקונספט, החוקרים הצליחו להראות, שתוקפים עם גישה לאדמיניסטרטור מקומי במחשב של משתמש אחד הצליחו לגנוב הרשאות גישה לשירותים ברמת הדומיין ולשכפל אותם באופן מוצפן כדי להשיג תנועה רוחבית ולפרוץ לדומיין כולו, אפילו כש-Credential Guard מופעל. הבדיקות הראו, שתוקף עם גישה לאדמיניסטרטור מקומי לא צריך להשתמש בתוכנה זדונית כדי לבצע סוג כזה של מתקפה, ובאמצעות ניצול הסיכון הזה, תוקף יכול להשיג בעלות מוחלטת על הדומיין כולו בתוך דקות ספורות.
 
המחקר תומך ב-התרעת ה-FBI, שיצאה לאחרונה, שממליצה על  קביעת סדר עדיפויות בהגנה על הרשאות גישה לרבות יישום חשבונות בעלי הרשאות מינימליות והגבלת חשבונות מקומיים, כדי להגביל את יכולת התוקף להשיג גישה לחשבון פריבילגי חזק ולנוע ברחבי הרשת.
המחקר של מעבדות סייברארק מתמקד במתקפות ממוקדות כנגד רשתות ארגוניות - השיטות, הכלים והטכניקות בהם משתמשים תוקפי סייבר, כמו גם שיטות וטכניקות לגילוי והפחתת מתקפות כאלו.
 
קובי בן נעים, (בתמונה), מנהל בכיר למחקר סייבר, במעבדות סייברארק: "המחקר הזה חשוב כי הוא מסייע לארגונים להבין, שלא כל ההרשאות מוגנות באופן שווה, ויותר מכך, הרשאות מוצפנות אינן בהכרח בטוחות. ע"י הבנה טובה יותר של הסיכונים הכרוכים בגניבת הרשאה, ארגונים יכולים לתעדף את אסטרטגיות צמצום הסיכונים, בפתרונות זמינים, החל בנקודות הקצה".