Pentesty infrastruktury Active Directory: Specyfika, techniki i ścieżki ataku

Active Directory (AD) to fundament infrastruktury IT w większości organizacji. Zarządza tożsamościami, autoryzacją i dostępem do zasobów. Dla atakujących to główny cel – kompromitacja AD oznacza pełną kontrolę nad środowiskiem.

Testy penetracyjne AD różnią się od standardowych pentestów infrastruktury. Ten artykuł wyjaśnia ich specyfikę i kluczowe obszary do weryfikacji.

Dlaczego AD jest głównym celem

Centralizacja uprawnień

W typowym środowisku AD:

• Domain Admins mają pełną kontrolę nad wszystkimi systemami
• Jeden kompromitowany admin = dostęp do całej organizacji
• Kerberos umożliwia lateral movement między systemami
• GPO pozwalają na masową dystrybucję malware

Dziedzictwo konfiguracji

Wiele środowisk AD ma dekady historii:

• Stare konta z nadmiernymi uprawnieniami
• Nieaktualne GPO z lukami bezpieczeństwa
• Legacy systems wymagające słabych protokołów
• Konfiguracje “tymczasowe” z 2010 roku

Złożoność

AD to skomplikowany ekosystem:

• Setki ustawień wpływających na bezpieczeństwo
• Interakcje między komponentami tworzą nieoczywiste ścieżki
• Trudno utrzymać visibility całej konfiguracji
• Zmiany w jednym miejscu wpływają na inne

📚 Przeczytaj kompletny przewodnik: Testy Penetracyjne: Testy penetracyjne - rodzaje, metodologie, przebieg

Typy testów AD

1. Unauthenticated Assessment

Punkt startowy: Dostęp do sieci, ale bez credentials

Cel: Sprawdzić, czy atakujący “z ulicy” może uzyskać dostęp

Typowe techniki:

• LLMNR/NBT-NS poisoning
• Responder attacks
• Null session enumeration
• SMB signing verification
• Zerologon i podobne CVE

2. Authenticated Assessment (Standard User)

Punkt startowy: Credentials zwykłego użytkownika domenowego

Cel: Zbadać ścieżki eskalacji uprawnień

Typowe techniki:

• BloodHound enumeration
• Kerberoasting
• AS-REP Roasting
• ACL abuse
• Delegation attacks

3. Authenticated Assessment (Privileged)

Punkt startowy: Credentials z pewnym poziomem uprawnień

Cel: Zbadać separację uprawnień i ścieżki do DA

Typowe techniki:

• DCSync
• AdminSDHolder abuse
• GPO modification
• Certificate attacks (ADCS)
• Trust abuse

4. Assumed Breach

Punkt startowy: Symulacja kompromitacji stacji roboczej

Cel: Testować response i detection capabilities

Typowe techniki:

• Credential dumping
• Lateral movement
• Persistence mechanisms
• C2 communication

Kluczowe obszary do testowania

1. Kerberos Configuration

Co testować:

• Kerberoastable accounts (SPN na kontach użytkowników)
• AS-REP Roastable accounts (brak preauth)
• Unconstrained delegation
• Constrained delegation misconfigurations
• Resource-based constrained delegation

Typowe findings:

• Service accounts z słabymi hasłami i SPN
• Konta techniczne bez preauth
• Serwery z unconstrained delegation

2. Password Policies

Co testować:

• Fine-grained password policies
• Długość i złożoność
• Account lockout settings
• Password history
• Reversible encryption

Typowe findings:

• Domyślna policy zbyt słaba
• Brak FGPP dla kont uprzywilejowanych
• Password spray vulnerability

3. Privileged Access

Co testować:

• Membership w grupach uprzywilejowanych
• Zagnieżdżone grupy (nested groups)
• AdminCount i AdminSDHolder
• Tiering model (jeśli wdrożony)
• PAW/SAW implementation

Typowe findings:

• Za dużo Domain Admins
• Service accounts w Domain Admins
• Brak tiering – admin loguje się na workstation

4. ACL/ACE Misconfigurations

Co testować:

• Dangerous permissions (WriteDACL, GenericAll, etc.)
• Ownership of privileged objects
• ACL na użytkownikach i grupach
• Schema modifications rights

Typowe findings:

• Help desk z prawami reset password na DA
• Nested group dająca nieoczywiste uprawnienia
• GenericAll na OU z privileged accounts

5. Group Policy Security

Co testować:

• GPO modification rights
• GPO link permissions
• Credentials w GPO preferences
• LAPS configuration
• Security baselines

Typowe findings:

• Credentials w XML files (cpassword)
• Brak LAPS lub niekompletny deployment
• GPO mogące być zmodyfikowane przez non-admins

6. Certificate Services (ADCS)

Co testować:

• Certificate templates vulnerabilities
• Enrollment rights
• ESC1-ESC8 attack vectors
• CA backup permissions
• NTLM relay to CA

Typowe findings:

• Templates z EKU pozwalającym na client auth + enrollment
• ESC1/ESC4 vulnerabilities
• Web enrollment bez Extended Protection

7. Trusts

Co testować:

• Inter-forest trusts
• SID history
• Selective authentication
• Trust transitivity

Typowe findings:

• Two-way trust z external forest
• Brak SID filtering
• Selective auth nie wdrożone

Narzędzia do testów AD

Enumeration

• BloodHound – grafowa wizualizacja ścieżek ataku
• SharpHound – collector dla BloodHound
• ADExplorer – przeglądarka AD
• ldapdomaindump – export informacji AD

Exploitation

• Rubeus – Kerberos attacks
• Mimikatz – credential dumping
• Certify – ADCS enumeration i ataki
• PowerView – enumeration i exploitation

Lateral Movement

• CrackMapExec – swiss army knife
• Impacket – Python tools (psexec, wmiexec, etc.)
• Evil-WinRM – WinRM shell
• SharpRDP – RDP lateral movement

Typowe ścieżki ataku

Ścieżka 1: Kerberoasting → Crack → Lateral Movement

1. Enumeracja SPN na kontach użytkowników
2. Request TGS dla kerberoastable account
3. Offline cracking hasła
4. Lateral movement do systemów gdzie konto jest adminem
5. Repeat do eskalacji

Ścieżka 2: ACL Abuse → Delegation → DCSync

1. BloodHound znajduje ścieżkę przez ACL
2. Abuse WriteDACL na koncie z delegation
3. Konfiguracja resource-based constrained delegation
4. Impersonation privileged user
5. DCSync i pełna kompromitacja

Ścieżka 3: ADCS → Certificate → Persistence

1. Enumeracja certificate templates (Certify)
2. Identyfikacja vulnerable template (ESC1)
3. Request certificate dla privileged user
4. Authentication z certificate
5. Persistence – certificates ważne latami

Ścieżka 4: GPO → Code Execution → DA

1. Identyfikacja GPO modifiable przez compromised account
2. Modyfikacja GPO – scheduled task/startup script
3. Wait na application GPO
4. Code execution na systemach w OU
5. Credential harvest → DA

Deliverables z testu AD

Raport techniczny

• Szczegółowy opis każdej ścieżki ataku
• Screenshots i proof-of-concept
• Mapping na MITRE ATT&CK
• Priorytyzacja napraw

BloodHound Database

• Export bazy dla własnej analizy
• Możliwość śledzenia postępów napraw
• Baseline do porównania z przyszłymi testami

Remediation Roadmap

• Short-term: quick wins (password changes, ACL fixes)
• Medium-term: architecture changes (tiering, LAPS)
• Long-term: strategic improvements (PAM, MFA everywhere)

Attack Path Diagrams

• Wizualizacja ścieżek do DA
• Zrozumiałe dla management
• Identyfikacja “choke points” do zabezpieczenia

Najczęstsze błędy konfiguracyjne

1. Service accounts w Domain Admins – klasyka
2. Brak tiering – DA loguje się na workstation
3. Legacy protocols – NTLMv1, SMB1, LLMNR enabled
4. Over-provisioned accounts – “na wszelki wypadek”
5. Stale accounts – nieużywane, ale aktywne konta
6. GPO credentials – cpassword nadal obecny
7. Weak service account passwords – Kerberoastable
8. Unconstrained delegation – na serwerach non-DC
9. Vulnerable ADCS templates – domyślne konfiguracje
10. No LAPS – lokalne hasła admina takie same wszędzie

Podsumowanie

Testy penetracyjne Active Directory to specjalistyczna dyscyplina wymagająca:

• Głębokiej znajomości AD internals
• Specjalistycznych narzędzi (BloodHound, Rubeus, etc.)
• Zrozumienia złożonych ścieżek ataku
• Umiejętności przekładania findings na rekomendacje

Kompromitacja AD = kompromitacja organizacji. Regularne testy są niezbędne dla środowisk, gdzie AD pozostaje centrum zarządzania tożsamością.

---

Chcesz zbadać bezpieczeństwo swojego Active Directory? Skontaktuj się z nami – przeprowadzimy kompleksowe testy i pomożemy zabezpieczyć kluczową infrastrukturę.

Ścieżka ataku to nie to samo co przegląd konfiguracji

Test penetracyjny AD odpowiada na pytanie, czy z konta zwykłego użytkownika da się dojść do Domain Admin i którędy. Nie odpowiada na pytanie, ile innych ścieżek istnieje obok tej, którą tester wykorzystał — a w domenie budowanej przez kilkanaście lat jest ich zwykle więcej. Zamknięcie jednej bez przeglądu pozostałych daje złudzenie naprawy.

Dlatego test i systematyczny przegląd uprawnień, delegacji, kont serwisowych i polityk warto zamawiać razem: drugi z nich to audyt bezpieczeństwa Active Directory.

Powiązane pojęcia

Poznaj kluczowe terminy związane z tym artykułem w naszym słowniku cyberbezpieczeństwa:

• Cyberbezpieczeństwo — Cyberbezpieczeństwo to zbiór technik, procesów i praktyk ochrony systemów IT,…
• GDPR — GDPR (General Data Protection Regulation) to rozporządzenie UE dotyczące…
• AI Act — AI Act to rozporządzenie UE regulujące systemy AI według kategorii ryzyka z…
• Testy penetracyjne — Testy penetracyjne (pentesty) to kontrolowany proces symulacji ataku na system…
• Zarządzanie powierzchnią ataku — ASM to proces identyfikacji, monitorowania i minimalizacji punktów wejścia dla…

---

Dowiedz się więcej

Zapoznaj się z powiązanymi artykułami w naszej bazie wiedzy:

• Testy penetracyjne w chmurze: wyzwania i najlepsze praktyki
• Automatyzacja testów penetracyjnych - Narzędzia i techniki automatyzacji
• Czym jest CEH? Definicja, przygotowanie do egzaminu, egzamin i ścieżki kariery
• Pentesty
• Przebieg testu penetracyjnego - Fazy, techniki, działania, kluczowe elementy

---

Sprawdź nasze usługi

Potrzebujesz wsparcia w zakresie cyberbezpieczeństwa? Sprawdź:

• Audyty bezpieczeństwa - kompleksowa ocena stanu zabezpieczeń
• Testy penetracyjne - identyfikacja podatności w infrastrukturze
• SOC as a Service - całodobowy monitoring bezpieczeństwa