Home › Blog › Attacchi ad Active Directory: tecniche e difese in azienda

Attacchi ad Active Directory: tecniche e difese in azienda

Gli attacchi ad Active Directory sfruttano account deboli, permessi eccessivi e configurazioni errate per ottenere il controllo del dominio Windows, cioè di utenti, server e dati dell'azienda. Di solito l'attaccante parte da un singolo computer o da una password rubata, poi scala i privilegi fino a diventare amministratore di dominio. Capire come funziona questo percorso è il primo passo per interromperlo.

Perché Active Directory è un bersaglio così appetibile

Active Directory (AD) è il servizio che, in molte aziende, decide chi può accedere a cosa. Contiene gli account di utenti e computer, le password sotto forma di hash e le regole di accesso a cartelle, applicazioni e server.

Per questo motivo chi lo controlla controlla di fatto la rete. Non serve compromettere ogni macchina: basta ottenere un account con i privilegi giusti.

Gruppi ransomware e attaccanti mirati lo sanno bene. Dopo l'accesso iniziale, il loro obiettivo è quasi sempre arrivare ai controller di dominio, perché da lì possono distribuire malware a tutti i computer e rendere difficile il ripristino.

In un'azienda di Milano, come altrove, il problema è spesso accentuato dalla storia dell'infrastruttura. Domini nati anni fa, migrazioni incomplete, account di servizio mai rivisti e utenti con permessi accumulati nel tempo creano il terreno ideale.

Come si svolge un attacco al dominio, passo dopo passo

Un attacco ad AD raramente è un singolo evento. Segue una sequenza simile a quella descritta nelle fasi di un attacco informatico secondo la kill chain, con alcune particolarità legate al mondo Windows.

1. Accesso iniziale

L'ingresso avviene in genere da un'email di phishing, da credenziali riutilizzate e già trapelate, da un servizio esposto non aggiornato o da un accesso remoto mal protetto. Basta un utente standard: AD, per come è progettato, permette a qualsiasi account di dominio di leggere molte informazioni sulla struttura.

2. Ricognizione

Con un account qualunque l'attaccante interroga il dominio per capire chi sono gli amministratori, quali gruppi esistono, dove sono i server importanti e quali account di servizio sono presenti. Esistono strumenti legittimi, usati anche dai professionisti, che rappresentano queste relazioni come un grafico e mostrano i percorsi più brevi verso i privilegi massimi.

3. Escalation dei privilegi e movimento laterale

Qui entra in gioco la privilege escalation: l'attaccante sfrutta una password debole, un permesso concesso per errore o un hash di credenziali recuperato dalla memoria di un computer. Con quelle informazioni passa da una macchina all'altra, cercando sessioni di utenti più privilegiati.

4. Persistenza e impatto

Raggiunto il controllo, l'attaccante crea modi per rientrare anche se la password iniziale viene cambiata: nuovi account, modifiche ai permessi, ticket falsificati. Solo alla fine arriva l'azione visibile, come la cifratura dei sistemi o l'esfiltrazione dei dati.

Le tecniche più comuni negli attacchi ad Active Directory

Le tecniche cambiano nome e strumenti, ma ruotano attorno a pochi principi. Ecco quelle che incontri più spesso nei report e nelle simulazioni di attacco:

• Password spraying: si provano poche password molto comuni su molti account, per evitare i blocchi. È un parente stretto del brute force, ma più discreto.
• Kerberoasting: un utente di dominio richiede i ticket degli account di servizio e prova a ricavarne la password offline. Se la password è debole, viene scoperta senza generare allarmi evidenti.
• AS-REP roasting: colpisce gli account configurati senza preautenticazione Kerberos, da cui si può ottenere materiale da attaccare offline.
• Pass-the-Hash e Pass-the-Ticket: si riutilizza l'hash o il ticket rubato per autenticarsi, senza conoscere la password in chiaro.
• NTLM relay: si inoltra un'autenticazione intercettata verso un altro servizio, sfruttando protocolli legacy e firme non obbligatorie.
• DCSync: un account con certi diritti di replica si fa passare per un controller di dominio e chiede gli hash delle password.
• Golden Ticket: con l'hash dell'account krbtgt si falsificano ticket validi per lungo tempo, garantendo una persistenza molto difficile da eliminare.
• Abuso di certificati e Group Policy: template di certificati troppo permissivi o criteri di gruppo modificabili da utenti non fidati permettono di ottenere privilegi o di distribuire codice.

Molte di queste tecniche ruotano attorno alle credenziali, e vale la pena distinguere due famiglie. Il credential stuffing, cioè il riutilizzo di credenziali già trapelate, consiste nel provare su account aziendali combinazioni di nome utente e password rubate altrove. Il password cracking, cioè il recupero di password a partire da hash o ticket, avviene invece offline, come nel Kerberoasting, e non lascia tracce evidenti nei log del dominio.

Non tutte queste tecniche richiedono una vulnerabilità software. Molte sfruttano il normale funzionamento di AD, abbinato a una configurazione poco curata. Per capire la differenza tra un difetto del software e il suo sfruttamento puoi leggere la guida su vulnerabilità informatiche e come vengono sfruttate.

Gli errori di configurazione che facilitano un attacco

Nella pratica, la compromissione del dominio dipende più da scelte organizzative che da exploit sofisticati. I problemi ricorrenti sono questi:

• amministratori di dominio che usano lo stesso account per la posta, la navigazione e la gestione dei server;
• account di servizio con password che non cambiano da anni e privilegi molto più ampi del necessario;
• password dell'amministratore locale identica su tutti i computer;
• protocolli obsoleti ancora attivi solo per compatibilità con vecchie applicazioni;
• gruppi privilegiati con membri che nessuno ricorda di aver inserito;
• controller di dominio e server non aggiornati, nonostante vulnerabilità note con punteggio CVSS elevato.

L'ultimo punto merita attenzione. Una falla nei servizi di dominio, se sfruttata, può portare a un'escalation immediata. Un processo ordinato di patch management riduce questo rischio, ma da solo non basta se i permessi restano disordinati.

Come difendere Active Directory in modo concreto

La difesa efficace combina riduzione della superficie d'attacco, controllo dei privilegi e capacità di rilevare i comportamenti anomali. Non esiste un unico strumento risolutivo, ma alcune pratiche fanno una differenza reale.

Separare e ridurre i privilegi

• Usare account amministrativi dedicati, mai impiegati per attività quotidiane.
• Adottare un modello a livelli (tiering): le credenziali dei controller di dominio non devono mai essere inserite su postazioni utente.
• Rivedere periodicamente i membri dei gruppi privilegiati e togliere ciò che non serve.
• Usare password locali uniche per ogni computer, tramite una soluzione apposita come Windows LAPS.

Rendere le credenziali più difficili da rubare e riutilizzare

• Attivare l'autenticazione a più fattori, soprattutto su accessi remoti e account amministrativi.
• Sostituire gli account di servizio tradizionali con account gestiti (gMSA) dove possibile, oppure impostare password lunghe e casuali.
• Limitare o disattivare NTLM e imporre la firma SMB e LDAP, dopo aver verificato gli impatti sulle applicazioni.
• Inserire gli account più sensibili nel gruppo Protected Users, valutando le compatibilità.

Queste misure servono soprattutto a contrastare le due minacce descritte sopra. Password uniche e autenticazione a più fattori limitano i danni del credential stuffing e del riutilizzo di password trapelate, mentre password lunghe e casuali sugli account di servizio rendono molto più difficile il password cracking offline delle credenziali.

Mantenere ordine tecnico

• Aggiornare controller di dominio e server con priorità alta.
• Controllare i template dei certificati e i permessi sui criteri di gruppo.
• Fare backup del dominio offline e provare il ripristino, perché è il piano B quando tutto il resto fallisce.

Come accorgersi di un attacco in corso

Il monitoraggio è spesso il punto debole. Molte aziende raccolgono i log, ma nessuno li guarda finché non succede qualcosa. Alcuni segnali meritano un avviso dedicato:

• molti tentativi di accesso falliti (evento 4625) su account diversi in poco tempo;
• richieste anomale di ticket di servizio (evento 4769), specie in grandi quantità da un solo utente;
• uso di privilegi speciali (evento 4672) da account o orari inusuali;
• operazioni di replica del dominio richieste da macchine che non sono controller di dominio;
• modifiche improvvise a gruppi privilegiati, criteri di gruppo o account creati senza una richiesta.

Ogni segnale va letto nel contesto: un singolo evento può essere innocuo, una sequenza no. Per questo conviene definire in anticipo che cosa è normale nel tuo dominio e chi deve intervenire quando qualcosa si discosta.

Verificare la propria esposizione prima degli altri

Il modo più affidabile per sapere quanto sia vulnerabile il tuo dominio è provare ad attaccarlo, in modo controllato. Un pentest interno parte dalla posizione di un utente qualunque o di un computer compromesso e misura fino a dove si può arrivare.

Un'attività di red teaming è più ampia: simula un avversario realistico, mettendo alla prova anche rilevamento e risposta del tuo team. Entrambe producono un risultato concreto, cioè un elenco di percorsi verso l'amministratore di dominio e le azioni per chiuderli, in ordine di priorità.

Prima di commissionare una verifica, definisci con precisione perimetro, regole di ingaggio e finestre di test, così da evitare interruzioni dei servizi. Chiedi inoltre che il report indichi come riprodurre ogni problema e come correggerlo, non solo un elenco di punteggi.

Conclusione

Gli attacchi ad Active Directory funzionano perché trovano privilegi in eccesso, credenziali deboli e poca visibilità. Intervenire su questi tre fronti riduce drasticamente il margine dell'attaccante, anche senza investimenti enormi: spesso basta riportare ordine.

Se vuoi capire come si presenta oggi il tuo dominio, puoi partire da una verifica dei permessi e dei log e valutare poi una simulazione di attacco. Il team di Fred for Security può aiutarti a impostare un percorso adatto alle dimensioni e alle esigenze della tua azienda.

Domande frequenti