本文深入探讨了一起红队渗透测试案例,揭示了企业物理安全和网络安全的薄弱环节,并提供了防范此类攻击的实用建议。
在网络安全领域,红队渗透测试是评估企业防御能力的重要手段。2023年,一起发生在某公司的红队渗透测试案例引发了广泛关注。这次测试由Echelon Risk + Cyber的两名专业红队成员Kristopher Johnson和Michael执行,他们通过清雪换取进入公司内部的机会,最终成功获取了网络管理员权限。这一案例不仅暴露了企业物理安全和网络安全的薄弱环节,也为其他企业提供了宝贵的防范经验。在寒冷的冬季,该公司的维护人员打开了维护门。Johnson和Michael趁机进入,并向一位女员工解释称自己是新员工,因没有工作证而无法进入。
他们主动提出帮助清雪,维护人员欣然接受。Michael开始清雪,而Johnson则借机进入公司内部。他声称需要上楼设置Michael的工作电脑,维护人员允许他进入。在公司内部,Johnson寻找机会将Raspberry Pi连接到网络。他首先尝试在AV机房的以太网端口连接,但因网络访问控制(NAC)的限制而失败。随后,他将设备移至会议室,发现一个未启用NAC的活动端口。
为了隐藏设备,他使用垃圾桶将其遮挡。然而,Johnson在离开公司时遇到了困难。前门需要刷卡,而维护入口则允许他离开。他与Michael在车内等待,直到Michael完成清雪任务。次日,公司安全部门发现了异常。维护人员向IT部门表示感谢Michael的帮助,但IT部门并无记录新员工的信息。
安全部门调取监控录像,并尝图获取Johnson租赁车辆的车牌信息,但未能找到Raspberry Pi。在接下来的两周内,红队成员通过Raspberry Pi连接到公司的Active Directory,发现多个账户使用了"winter2023!"这样的弱密码。他们利用这些凭据映射网络共享,并最终发现了Active Directory证书服务(ADCS)的漏洞。通过利用ESC1、ESC4和ESC8漏洞,他们成功获取了域管理员权限。直到两周后,清洁工才发现了Raspberry Pi,但为时已晚。这一案例揭示了企业在物理安全和网络安全方面的多个薄弱环节。
首先,维护人员未能对未持有工作证的陌生人保持警惕。其次,公司未能对所有网络端口启用NAC,导致未经授权的设备连接网络。此外,弱密码和未启用多因素认证(MFA)的账户为攻击者提供了可乘之机。最后,ADCS的配置漏洞进一步加剧了安全风险。为了防范此类攻击,企业应采取以下措施。首先,加强物理安全,确保所有员工和访客持有有效证件。
其次,对所有网络端口启用NAC,防止未经授权的设备连接。此外,实施强密码策略,并为所有账户启用MFA。最后,定期审计和修补ADCS等关键系统的漏洞。红队渗透测试的目的是帮助企业发现和修补安全漏洞。这一案例表明,即使是看似无害的行为,如清雪,也可能被攻击者利用。企业应保持警惕,并采取全面的安全措施,以应对日益复杂的网络威胁。
。
