উইন্ডোজ ডোমেন অ্যাকাউন্টের পরে কী কী আপস করা হয়েছে?

Question

আমরা যখন একটি ডোমেনের অ্যাকাউন্টগুলির মধ্যে একটিতে আপত্তি হয়ে যায় তখন একটি দৃশ্যের জন্য প্রস্তুত করছি? এরপরে কী করব?

অ্যাকাউন্টটি নিষ্ক্রিয় করা আমার প্রথমে জবাব দেওয়া হবে, তবে কয়েক সপ্তাহ আগে আমাদের এখানে পেনশনার ছিল এবং তারা কয়েকমাস আগে রেখে যাওয়া অ্যাডমিন ব্যবহারকারীর হ্যাশ লগিন ব্যবহার করতে সক্ষম হয়েছিল।

আমাদের এ পর্যন্ত দুটি উত্তর হ'ল:

1. অ্যাকাউন্ট মুছুন এবং এটি পুনরায় তৈরি করুন (নতুন এসআইডি তৈরি করে তবে ব্যবহারকারীর জন্য আরও নাটক তৈরি করুন এবং আমাদের জন্য কাজ করুন)
2. কমপক্ষে 3 বার পাসওয়ার্ড পরিবর্তন করুন এবং অ্যাকাউন্টটি অক্ষম করুন

আপনার পদ্ধতিটি কী হবে বা আপনি কী সুপারিশ করবেন?

Comments

যদি এটি কোনও প্রশাসক অ্যাকাউন্ট যাতে আপস করা হয়, তবে নিজের উদ্দেশ্যে আরও অ্যাডমিন অ্যাকাউন্ট তৈরি করতে যান। যদি এটি একটি স্বল্প বেসরকারী (সাধারণ ব্যবহারকারী) অ্যাকাউন্ট হয় তবে নেটওয়ার্ক স্ক্যানগুলি সম্পাদন করুন এবং আপস করতে কোনও অ্যাডমিন অ্যাকাউন্ট পান। নিয়মিত ব্যবহারকারীর মালিক হওয়ার সাথে সাথে আরও "লক্ষ্যবস্তু" আক্রমণগুলি করার জন্য আপনার দরজায় পা।

— অপমানিত

আপনি কি বলছেন যে কয়েক মাস আগে অ্যাডমিন ব্যবহারকারীর অ্যাকাউন্টটি সেই ব্যক্তির চলে যাওয়ার সময় অক্ষম ছিল না? আমার ধারণা, আমি উদাহরণটি অ্যাকাউন্টগুলি অক্ষম করার কার্যকারিতা বা অকার্যকরতার সাথে কীভাবে কথা বলি তা দেখতে পাচ্ছি না। একবারের পরিবর্তে 3 বার পাসওয়ার্ড পরিবর্তন করার যৌক্তিকতা কী?

— টড উইলকক্স

@ টডউইলকক্স অ্যাকাউন্টটি অক্ষম করা হয়েছিল যখন ব্যক্তি বামে এবং গোষ্ঠীগুলি সরিয়ে দেয় (লোকেরা যখন চলে যায় তখন এটি একটি স্ট্যান্ডার্ড অনুশীলন) তবুও তারা দাবি করে যে তারা এটি ব্যবহার করে অ্যাক্সেস অর্জন করতে সক্ষম হয়েছে।

— JurajB

সুতরাং এটি সঠিকভাবে সরানো হয়নি - আপনি টোকেনের মেয়াদ উত্তীর্ণ হতে এবং সমস্ত সিস্টেমে সেই অ্যাকাউন্টের জন্য মুছে

— ফেলাতে চান

Answer 1

যদি কেবলমাত্র একটি স্ট্যান্ডার্ড ব্যবহারকারীর অ্যাকাউন্টের সাথে আপস করা হয় তবে একবার পাসওয়ার্ড পরিবর্তন করা এবং অ্যাকাউন্টটি সক্ষম করে রাখা ঠিক হবে। পাসওয়ার্ড পরিবর্তিত হয়ে গেলে একটি হ্যাশ কাজ করবে না। অ্যাকাউন্টটি অক্ষম থাকলে এটিও কাজ করবে না। নিজেই পেন পরীক্ষক হিসাবে আমি অবাক হয়েছি যে পেন-পরীক্ষকরা কার্বেরোসের টিকিট ব্যবহার করছেন। নির্দিষ্ট পরিস্থিতিতে যদি পাসওয়ার্ড পরিবর্তন করা হয়, বা কোনও অ্যাকাউন্ট অক্ষম করা হয় এমনকি মুছে ফেলা হয় (প্রশমিত করার লিঙ্কগুলি দেখুন) তবে এগুলি কাজ চালিয়ে যেতে পারে।

যদি কোনও ডোমেন প্রশাসকের অ্যাকাউন্টের সাথে আপস করা হয় তবে তা আক্ষরিক অর্থেই শেষ হয়ে যায়। আপনাকে আপনার ডোমেনটি অফলাইনে আনতে হবে এবং প্রতিটি পাসওয়ার্ড পরিবর্তন করতে হবে। এছাড়াও krbtgt অ্যাকাউন্টের পাসওয়ার্ড দু'বার পরিবর্তন করা দরকার, অন্যথায় আক্রমণকারীরা এখনও চুরি হওয়া তথ্য সহ বৈধ কার্বেরোস টিকিট দিতে সক্ষম হবে। একবার আপনি সমস্ত কিছু সম্পন্ন করার পরে, আপনার ডোমেনটি অনলাইনে ফিরিয়ে আনতে পারেন।

একটি অ্যাকাউন্ট লকআউট নীতি কার্যকর করুন, যাতে পরিবর্তিত পাসওয়ার্ডগুলি অনুমান করা যায় না। আপনার অ্যাকাউন্টগুলির নাম পরিবর্তন করবেন না। আক্রমণকারীরা সহজেই লগইন নামগুলি জানতে পারে ।

আর একটি গুরুত্বপূর্ণ বিষয় হ'ল আপনার ব্যবহারকারীদের প্রশিক্ষণ দেওয়া। তারা সম্ভবত মূর্খতার সাথে এমন কিছু করেছিল যার অর্থ অ্যাকাউন্টটি আপোস হয়েছে। আক্রমণকারী এমনকি পাসওয়ার্ডটিও জানেন না, তারা কেবল সেই অ্যাকাউন্ট হিসাবে প্রক্রিয়া চালাচ্ছেন। উদাহরণস্বরূপ, আপনি যদি কোনও ম্যালওয়ার সংযুক্তি খোলেন যা কোনও আক্রমণকারীকে আপনার মেশিনে অ্যাক্সেস দেয়, তারা আপনার অ্যাকাউন্ট হিসাবে চলবে running তারা আপনার পাসওয়ার্ড জানেন না। আপনি প্রশাসক না হলে তারা আপনার পাসওয়ার্ড হ্যাশ পেতে পারে না। ব্যবহারকারীদের তাদের ওয়ার্কস্টেশনগুলিতে স্থানীয় প্রশাসক হিসাবে চালাবেন না। ডোমেন অ্যাডমিনদের ডোমেন প্রশাসকের অধিকারের সাথে ওয়ার্কস্টেশনগুলিতে লগ ইন করতে দেবেন না - কখনও!

আরও তথ্য / প্রশমন জন্য লিঙ্ক:

https://blogs.microsoft.com/microsoftsecure/2015/02/11/krbtgt-account-password-reset-scripts-now-available-for-customers/

http://www.infosecisland.com/blogview/23758-A-Windows-Authentication-Flaw-Allows-DeletedDisabled-Accounts-to-Access-Corporate-Data.html

https://mva.microsoft.com/en-us/training-courses/how-to-avoid-golden-ticket-attacks-12134

Comments

আপনি যদি একাডেমিয়ার মতো অপেক্ষাকৃত অনুমতিপ্রাপ্ত পরিবেশে কাজ করেন? আপনার মেয়াদকালীন এবং "প্রশিক্ষিত" হতে ইচ্ছুক নয় এমন ব্যবহারকারীদের সাথে আপনি আচরণ করছেন এবং তাদের মেয়াদ থাকায় আপনাকে এগুলি থেকে মুক্তি দিতে বা তাদের সুবিধাগুলি হ্রাস করার অনুমতি নেই।

— ক্যাথরিন ভিলিয়ার্ড

আমি সর্বদা সেরা অনুশীলন সুপারিশ। সবসময় এমন কিছু সংস্থাগুলি থাকবে যা এটি 100% বাস্তবায়ন করতে পারে না কিছু লোক নিজেরাই আইনটির aboveর্ধ্বে দেখেন এবং কিছু সংস্থাগুলি নীতি / সুরক্ষা মোটামুটি ও অভিন্ন প্রয়োগের চেয়ে বেশি সময়কালকে বিবেচনা করে ure এই লোকগুলি এবং সংস্থাগুলি তাদের ক্রিয়াকলাপের ফলাফলের জন্য দায় নিতে হবে। আসুন আশা করা যাক যে একাডেমিক সংস্থাগুলি গুরুত্বপূর্ণ গবেষণার জন্য

— তদারকি

আমি সোনার টিকিট এবং pth প্রশমন সংক্রান্ত কয়েকটি এমভিএ কোর্স করেছি কিন্তু আমার বোধগম্যতা ছিল যে এটি 2 টি পাসওয়ার্ড মনে রাখে, সুতরাং আপনাকে একবারে নয়, কমপক্ষে দুবার পরিবর্তন করা দরকার। এমনকি krbtgt এর জন্য স্ক্রিপ্ট এটি দু'বার করে।

— JurajB

উপরে যোগ করে উপরেরটি সম্পাদনা করতে পারবেন না: এমনকি krbtgt এর জন্য স্ক্রিপ্টটি এটি দু'বার করে। তাহলে কি সেরা পছন্দটি (ব্যবহারকারীর অ্যাকাউন্টের জন্য) পাসওয়ার্ডটি দু'বার পরিবর্তন করা এবং অ্যাকাউন্টটি অক্ষম করা উচিত নয়?

— JurajB

You need to bring your domain offline। এটি কোনও ছোট অফিসের জন্য কাজ করতে পারে তবে কোনও বড় সংস্থাই কেবল তাদের ডোমেন / বন অফলাইনে নিতে পারে এমন সম্ভাবনা কম।

— গ্রেগ Askew

Answer 2

তারা কয়েক মাস আগে রেখে যাওয়া প্রশাসক ব্যবহারকারীর হ্যাশড লগিনগুলি ব্যবহার করতে সক্ষম হয়েছিল।

চুরি করা শংসাপত্রের হ্যাশগুলি অক্ষম করা অ্যাকাউন্টগুলির জন্য কাজ করে না, যদি না এটি কোনও কম্পিউটারে থাকে যা নেটওয়ার্কের সাথে সংযুক্ত না থাকে। প্রক্রিয়াটিতে এখনও একটি টিকিটের জন্য অনুরোধ করা বা কোনও ডোমেন নিয়ামক দিয়ে প্রমাণীকরণ করা দরকার। যদি অ্যাকাউন্টটি অক্ষম থাকে তবে তা করতে পারবেন না।

প্রাক্তন কর্মচারীরা চলে যাওয়ার সময় আপনাকে প্রশাসনিক অ্যাকাউন্টগুলি অক্ষম করতে হবে।

Comments

কীভাবে চুরি করা শংসাপত্রের হ্যাশগুলি আক্রমণকারীকে সহায়তা করে? তাদের কাছে যদি সত্যিকারের পাসওয়ার্ড না থাকে তবে হ্যাশ থেকে পাসওয়ার্ড ফিরে পাওয়ার কোনও উপায় নেই (রেনবো টেবিল ব্যবহার করে ছোট পাসওয়ার্ড পাওয়ার ব্যতীত), সঠিক? আমি এখানে কি অনুপস্থিত তা নিশ্চিত নয়।

— চিরাগ ভাটিয়া

@ চিরাগ ভাটিয়া-চিরাগ 64 আপনি ধরে নিচ্ছেন যে প্রমাণীকরণের স্কিমগুলি রিপ্লে প্রতিরোধী। সেগুলি নাও হতে পারে, এক্ষেত্রে হ্যাশগুলি যাচাই করার জন্য আপনাকে প্রয়োজনীয়।

— জোনাস শোফার

আপনি কি উদাহরণ দিতে পারেন যেখানে উইন্ডোজ প্রমাণীকরণ প্রকল্পটি পাঠ্যের পাসওয়ার্ডের পরিবর্তে প্রকৃত হ্যাশ ব্যবহার করে? দুঃখিত যদি এটি একটি নির্বোধ প্রশ্নের মতো মনে হয় তবে এর আগে আমি এর আগে কখনও এমন বাস্তবায়ন দেখিনি (বা সম্ভবত আমি উইন্ডোজ প্রমাণীকরণ প্রক্রিয়াটি ভুল বুঝেছি)

— চিরাগ ভাটিয়া - চিরাগ

@ চিরাগ ভাটিয়া-চিরাগ en৪

— গ্রেগ

@ গ্রেগ অ্যাস্কিউ ধন্যবাদ, উইন্ডোজ প্রমাণীকরণে এটি কোনও জিনিস আমার ধারণা ছিল না। আশ্চর্যজনক যে তারা পরিবর্তে পাসওয়ার্ড প্রেরণে এসএসএলের মতো কিছু ব্যবহার করেন না। এটি আমার কাছে একটি বিশাল সুরক্ষার সমস্যা বলে মনে হচ্ছে।

— চিরাগ ভাটিয়া

Answer 3

একটি মানক ব্যবহারকারী অ্যাকাউন্ট ধরে, আপনি বিবেচনা করতে পারেন:

1. পাসওয়ার্ড পরিবর্তন করুন।
2. অ্যাকাউন্টটি অক্ষম করুন।
3. অ্যাকাউন্টটির নাম পরিবর্তন করুন (ব্যবহারকারী নাম-সন্দেহভাজন) এবং আক্রান্ত ব্যবহারকারীর জন্য একটি নতুন অ্যাকাউন্ট তৈরি করুন।
4. সন্দেহজনক অ্যাকাউন্টটিকে একটি "অক্ষম / আপত্তিযুক্ত ব্যবহারকারী" সুরক্ষা গোষ্ঠীতে যুক্ত করুন।

# 4 এর জন্য ইতিমধ্যে একটি গোষ্ঠী নীতি রাখুন যা নিম্নলিখিতগুলি করে:

• নেটওয়ার্ক থেকে এই কম্পিউটারে অ্যাক্সেস অস্বীকার করুন: "অক্ষম / আপত্তিযুক্ত ব্যবহারকারীরা"
• রিমোট ডেস্কটপ পরিষেবাদির মাধ্যমে লগ ইন অস্বীকার করুন: "অক্ষম / আপত্তিযুক্ত ব্যবহারকারীরা"
• স্থানীয়ভাবে লগ ইন অস্বীকার করুন: "অক্ষম / আপত্তিযুক্ত ব্যবহারকারীরা"

কোনও ডোমেন প্রশাসকের অ্যাকাউন্টের জন্য, আপনার সম্পূর্ণ নেটওয়ার্ক টোস্ট।

Comments

আপনি কেন একাধিকবার পাসওয়ার্ড পরিবর্তন করার পরামর্শ দিচ্ছেন?

— bao7uo

যদি কোনও ডোমেন প্রশাসক অ্যাকাউন্টের সাথে আপস করা হয় তবে তার অর্থ প্রতিটি ব্যবহারকারীর অ্যাকাউন্ট আপস করা। আপনি কি তাদের প্রত্যেক ব্যবহারকারীর অ্যাকাউন্টের নাম পরিবর্তন করতে চান?

— bao7uo

@ পিএইচপল: আক্রমণের উপর নির্ভর করে, যদি কোনও অ্যাকাউন্ট এখনও ব্যবহার করা হয়, নামকরণ একটি বৈধ কৌশল হতে পারে। এবং অবশ্যই তারা প্রতিটি অ্যাকাউন্টের নতুন নাম দেওয়ার পরামর্শ দিচ্ছে না।

— গ্রেগ Askew