Az - AzureAD (AAD)
Вивчайте та практикуйте взлом AWS: Школа HackTricks для експертів червоної команди AWS (ARTE)
Вивчайте та практикуйте взлом GCP:
Школа HackTricks для експертів червоної команди GCP (GRTE)
Основна інформація
Azure Active Directory (Azure AD) служить хмарним сервісом Microsoft для управління ідентичністю та доступом. Він є ключовим для того, щоб співробітники могли увійти та отримати доступ до ресурсів як всередині, так і поза організацією, охоплюючи Microsoft 365, портал Azure та безліч інших програм SaaS. Дизайн Azure AD спрямований на надання основних ідентифікаційних сервісів, включаючи аутентифікацію, авторизацію та управління користувачами.
Ключові функції Azure AD включають багатофакторну аутентифікацію та умовний доступ, разом з безшовною інтеграцією з іншими службами безпеки Microsoft. Ці функції значно підвищують безпеку ідентичностей користувачів та дозволяють організаціям ефективно впроваджувати та здійснювати свої політики доступу. Як фундаментальний компонент екосистеми хмарних послуг Microsoft, Azure AD є ключовим для хмарного управління ідентичностями користувачів.
Сутності
Перелік
Для цього переліку ви можете використовувати інструмент командного рядка az, модуль PowerShell AzureAD (або AzureAD Preview) та модуль Az PowerShell.
У Linux вам потрібно буде встановити PowerShell Core:
Різниця модулів
AzureAD - це модуль PowerShell від Microsoft для управління Azure AD. Він не показує всі властивості об'єктів Azure AD і не може бути використаний для доступу до інформації про ресурси Azure.
Az PowerShell - це модуль для управління ресурсами Azure з командного рядка PowerShell.
Підключення
Коли ви увійдете через CLI в Azure за допомогою будь-якої програми, ви використовуєте Azure Application з тенантом, який належить Microsoft. Ці додатки, такі як ті, які ви можете створити у своєму обліковому записі, мають ідентифікатор клієнта. Ви не зможете побачити всі з них у списках дозволених додатків, які ви бачите в консолі, але вони дозволені за замовчуванням.
Наприклад, скрипт powershell, який аутентифікується, використовує додаток з ідентифікатором клієнта 1950a258-227b-4e31-a9cf-717495945fc2
. Навіть якщо додаток не з'являється в консолі, системний адміністратор може заблокувати цей додаток, щоб користувачі не могли отримати доступ за допомогою інструментів, які підключаються через цей додаток.
Однак є інші ідентифікатори клієнтів додатків, які дозволять вам підключитися до Azure:
Користувачі
У Azure AD є кілька важливих налаштувань безпеки, які слід перевірити під час аудиту безпеки. Нижче наведено кілька рекомендацій:
Мультифакторна аутентифікація (MFA): Переконайтеся, що MFA увімкнено для всіх користувачів, особливо для адміністраторів.
Управління ролями: Перегляньте та налаштуйте ролі користувачів в Azure AD, щоб уникнути надмірних привілеїв.
Управління доступом: Перевірте налаштування доступу до додатків та сервісів у Azure AD, щоб уникнути непотрібних дозволів.
Моніторинг входів: Налаштуйте моніторинг та журналювання подій для виявлення підозрілих активностей.
Оновлення безпеки: Переконайтеся, що всі системи та додатки в Azure AD мають встановлені оновлення безпеки.
Налаштування паролів: Вимагайте складних паролів та періодичну зміну паролів для підвищення безпеки облікових записів.
Шифрування даних: Використовуйте шифрування для захисту конфіденційної інформації в Azure AD.
Ці рекомендації допоможуть підвищити рівень безпеки в Azure AD та запобігти можливим загрозам безпеки.
Підключення до Azure AD за допомогою Az PowerShell
Встановіть модуль Az PowerShell, якщо він ще не встановлений:
Підключіться до Azure AD за допомогою свого облікового запису:
Після виконання цієї команди вас буде перенаправлено на сторінку входу Azure AD у вашому веб-браузері. Увійдіть за допомогою свого облікового запису та надайте необхідні дозволи.
Після успішного входу ви будете підключені до свого облікового запису Azure AD через Az PowerShell.
Ця команда виведе інформацію про ваш поточний контекст Azure AD.
Зміна пароля користувача
MFA & Умовні політики доступу
Високо рекомендується додати MFA до кожного користувача, однак деякі компанії можуть не встановлювати його або встановлювати з Умовним доступом: Користувачу буде потрібно MFA, якщо він увійде з конкретного місця, браузера або якоїсь умови. Ці політики, якщо не налаштовані правильно, можуть бути схильні до обхіду. Перевірте:
Az - Conditional Access Policies / MFA BypassГрупи
У Azure AD є кілька важливих налаштувань безпеки, які слід перевірити під час аудиту безпеки. Ось кілька рекомендацій:
Міцні паролі: Переконайтеся, що вимагаються міцні паролі для всіх користувачів.
Багатофакторна аутентифікація (MFA): Увімкніть MFA для всіх користувачів, особливо для адміністраторів.
Обмеження доступу: Налаштуйте обмеження доступу до Azure AD лише з довірених IP-адрес.
Моніторинг входів: Включіть моніторинг входів для виявлення підозрілих дій.
Аудит безпеки: Регулярно перевіряйте журнали аудиту безпеки для виявлення можливих загроз.
Оновлення безпеки: Переконайтеся, що всі оновлення безпеки встановлені та активні.
Аутентифікація
Встановіть модуль Az та модуль AzureAD:
Увійдіть в обліковий запис Azure:
Увійдіть в обліковий запис Azure AD:
Використовуйте команду
Get-AzContext
для перевірки поточного контексту.
Додавання користувача до групи
Власники групи можуть додавати нових користувачів до групи
Групи можуть бути динамічними, що в основному означає, що якщо користувач відповідає певним умовам, він буде доданий до групи. Звісно, якщо умови базуються на атрибутах, які користувач може контролювати, він може зловживати цією функцією, щоб потрапити в інші групи. Перевірте, як зловживати динамічними групами на наступній сторінці:
Сервісні принципали / Підприємницькі додатки
Зверніть увагу, що Сервісний принципал в термінології PowerShell називається Підприємницькі додатки в порталі Azure (веб-версія).
У Azure AD є кілька важливих налаштувань безпеки, які слід перевірити під час тестування проникнення:
Міцні паролі: Переконайтеся, що вимоги до паролів належним чином налаштовані і вимагають складних паролів.
Багаторівнева аутентифікація: Перевірте, чи ввімкнена багаторівнева аутентифікація для усіх користувачів.
Управління доступом: Перевірте налаштування ролей та дозволів для користувачів та груп.
Моніторинг та журналювання: Переконайтеся, що ввімкнені та налаштовані журнали подій для виявлення підозрілих дій.
Оновлення та патчі: Перевірте, чи всі системи мають встановлені оновлення та патчі для усунення відомих уразливостей.
Інтеграція з іншими сервісами: Перевірте налаштування інтеграції Azure AD з іншими сервісами та додатками на предмет можливих уразливостей.
Резервне копіювання та відновлення: Переконайтеся, що налаштовані процедури резервного копіювання та відновлення даних для забезпечення безпеки та доступності інформації.
Підключення до Azure AD
Встановіть модуль Azure AD:
Увійдіть в обліковий запис Azure:
Виберіть підписку, яку потрібно використовувати:
Отримайте дані про користувачів Azure AD:
The Azure AD application registration process is a critical step in integrating your application with Azure AD. During a penetration test, it is important to review the permissions granted to the application to ensure they are not overly permissive and do not expose sensitive data. Additionally, verifying the redirect URIs configured for the application can help prevent unauthorized access to authentication tokens. Finally, monitoring the application registration portal for any unauthorized changes is crucial for maintaining the security of your Azure AD environment.
Власник службового принципалу може змінити його пароль.
Last updated