Ders 4.16: LAPS: her makinede farklı bir yerel yönetici parolası

Her Windows bilgisayarında yerel bir Administrator hesabı vardır. Hepsi yıllar önce bir imajda ya da bir Grup İlkesinde ayarlanmış tek bir parolayı paylaşıyorsa, bir makineyi ele geçiren saldırgan hepsinde oturum açabilir. Windows LAPS her bilgisayara kendi rastgele parolasını verir, onu döndürür ve yalnızca seçilmiş grupların okuyabildiği dizinde saklar. Laboratuvarda LAPS'siz bilgisayarları buluyor, saldırganın paylaşılan bir yerel parolayı tam da o makinelerde nasıl yeniden kullandığını (ve diğerlerinde başarısız olduğunu) günlüklerde görüyor, LAPS parolalarını kimin okuyabileceğini kontrol ediyor ve ilkeyi sunuculara genişletiyorsun.

17 dk

Bu derste öğreneceklerin

Paylaşılan yerel yönetici parolalarının neden tehlikeli olduğunu açıklamak
LAPS'siz bilgisayarları bulmak
Günlüklerde yerel hesapla yanal hareketi fark etmek
LAPS parolalarını kimin okuyabildiğini gözden geçirmek
ldapmodify ile bir GPO'yu bir OU'ya bağlamak

Temel terimler

Yerel Administrator: Her Windows bilgisayarındaki, etki alanı hesaplarından ayrı yerleşik yönetici hesabı (RID 500).
Windows LAPS: Local Administrator Password Solution: bilgisayar başına AD'de (ya da Entra ID'de) saklanan, döndürülen rastgele bir parola.
Yanal hareket: Ele geçirilmiş bir makineden diğerlerine geçmek.
gPLink: Bir etki alanının ya da OU'nun, ona bağlı GPO'ları sırayla listeleyen özniteliği.
Pass-the-hash: NTLM üzerinden parola yerine parola özetiyle oturum açmak.

← Kapanış: bir güvenlik yayın kapısı · Tüm dersler · DNS ve işaretleşme →