Je leert Active Directory niet uit een boek. Dat klinkt misschien flauw, maar ik ben er inmiddels van overtuigd. Je kunt tientallen artikelen lezen over Kerberos, over groepslidmaatschappen en over waarom een service-account met te veel rechten een probleem is, en toch snap je het pas echt op het moment dat je het zelf kapotmaakt.
Voor mijn voorbereiding op de PNPT heb ik daarom MARVEL.local opgezet, de Active Directory oefenomgeving uit de Practical Ethical Hacking cursus van TCM. Ik draai hem op mijn eigen KVM/QEMU-hypervisor en heb hem volledig met de hand opgebouwd en getest, machine voor machine, in plaats van een kant-en-klaar script te draaien. Juist dat handwerk dwong me om elke instelling zelf te begrijpen.
De opzet is bewust klein en bewust kwetsbaar. Drie Windows-machines: een Windows Server als domaincontroller, Hydra-DC, en twee Windows 10-werkstations, Punisher en Spiderman, samen in het domein MARVEL.local. Op beide werkstations staat een lokaal administrator-account aan met hetzelfde zwakke wachtwoord, er draait een service-account met een SPN, Windows Defender is via groepsbeleid uitgeschakeld en de updates zijn eraf gehaald. Precies het soort misconfiguraties dat je in de praktijk ook tegenkomt, hier op een rij gezet om ze te kunnen uitbuiten en begrijpen.
Wat me het meest is bijgebleven, is hoeveel je leert van het opzetten en doorgronden van zo’n omgeving. Voordat je een domein kunt aanvallen, moet je het eerst begrijpen. Hoe hangen de machines samen, wie vertrouwt wie, waar lopen de lijnen. Toen ik eenmaal zag hoe hergebruikte lokale wachtwoorden en een verkeerd ingericht serviceaccount elk op hun eigen manier een aanval verder konden helpen, viel de theorie ineens van de andere kant op zijn plek.
Ik gebruikte het lab om de verschillende stappen van een aanval te oefenen, vanaf een aparte Kali-machine, van de eerste verkenning tot volledige controle over het domein. Hoe snel een paar kleine fouten samen een heel domein kunnen compromitteren, had ik onderschat. Zo klein is de afstand tussen een rommelige inrichting en een volledige overname.
Waar het me uiteindelijk om gaat, is niet het aanvallen op zich. Het gaat om wat ik daarna met die kennis doe. Wie heeft gezien hoe identiteit in Active Directory onderuitgaat, neemt andere beslissingen als hij diezelfde omgeving moet inrichten of beveiligen. Juist die combinatie, aanvallen om beter te leren verdedigen, is wat de PNPT voor mij waardevol maakte.
In de volgende posts loop ik de aanvalsketen door die ik hier oefende, en wat het lab me leerde over het verdedigen van zo’n omgeving.
In deze reeks over MARVEL.local
- MARVEL.local: mijn Active Directory oefenlab voor de PNPT
- De aanvalsketen in MARVEL.local
- Wat MARVEL.local me leerde over verdedigen
- Output, beslissing, bewijs: mijn werkwijze