我們中的許多人至少部分轉(zhuǎn)向了云端，因此擁有混合的本地和云資產(chǎn)，這種訪問程序的混合通常會在網(wǎng)絡(luò)中創(chuàng)建入口點。 

因此，我們需要從第一個問題延伸出更多的問題： 

? 你是否在教育管理員審查他們的流程，并確保這些流程不會成為攻擊者的入口？

? 你是否重新評估了你的網(wǎng)絡(luò)團隊使用的工具？

? 你是否在重新審查多年前為Microsoft 365設(shè)置的配置，并將其與行業(yè)基準(zhǔn)進(jìn)行比較？ 

從評估Entra ID Connect的風(fēng)險開始 

評估風(fēng)險的一個好地方是從Azure Active Directory Connect（現(xiàn)在已被Entra Connect取代）開始，因為攻擊者經(jīng)常瞄準(zhǔn)這個連接點，因為該帳戶在域中通常擁有額外的權(quán)限。 

特別是，審查SQL服務(wù)器的安裝，確保其設(shè)置了安裝所需的最低權(quán)限。在安裝過程中，默認(rèn)設(shè)置往往被采用，事后沒有進(jìn)行審核以檢查權(quán)限。 

Trimarc Security指出，如果Azure AD Connect安裝在1.1.654.0版本之前，需要審查以下幾個方面，確保連接器帳戶的權(quán)限進(jìn)行了調(diào)整： 

? 禁用服務(wù)帳戶對象上的繼承。

? 刪除服務(wù)帳戶對象上的所有訪問控制條目（ACE），除了專門針對SELF的條目。

? 應(yīng)用微軟文章中提到的鎖定AD DS帳戶訪問部分中引用的權(quán)限。 

如果你已經(jīng)完全遷移到云端，你需要確保完全從企業(yè)中移除Azure AD Connect，包括安裝過程中的任何SQL服務(wù)器實例。確保檢查你的網(wǎng)絡(luò)中是否安裝了此軟件的痕跡，這可能會帶來風(fēng)險。 

某些工具可能允許攻擊者從本地資產(chǎn)轉(zhuǎn)移到云資產(chǎn) 

接下來，考慮你在使用Entra ID（前稱Azure Active Directory）時使用的工具，這些工具也可能帶來風(fēng)險。 

正如Mandiant指出的那樣，AADInternals是一個PowerShell模塊，當(dāng)被濫用時，可以允許攻擊者從本地資產(chǎn)轉(zhuǎn)移到云資產(chǎn)。你需要確保使用該模塊的服務(wù)器或工作站設(shè)置正確，并且在管理云資產(chǎn)時始終使用特權(quán)訪問工作站。 

一個名為AADIntPTASpy的模塊可以被攻擊者利用，允許他們以任何嘗試使用通過認(rèn)證登錄的用戶身份登錄并獲得訪問權(quán)限。 

正如Mandiant指出的，“攻擊者獲得了本地域的訪問權(quán)限，并能夠橫向移動到AADConnect/PTA代理服務(wù)器。從這臺服務(wù)器上，攻擊者可能利用AADInternals PowerShell模塊并調(diào)用Install-AADIntPTASpy函數(shù)。”這種攻擊將從本地資產(chǎn)轉(zhuǎn)移到云資產(chǎn)。 

Mandiant還指出，如果攻擊者成功攻破了Azure AD全局管理員帳戶，風(fēng)險就會觸發(fā)。“攻擊者可以從自己的基礎(chǔ)設(shè)施發(fā)起攻擊。攻擊者可以在他們管理的服務(wù)器上安裝一個Pass-Through Authentication Agent，并使用被攻破的全局管理員帳戶注冊該代理。” 

識別異?；顒涌赡苄枰貏e關(guān)注 

這些攻擊不容易緩解和檢測，通常需要特別關(guān)注審查身份驗證日志以識別異?；顒?。像Midnight Blizzard（微軟對一個在安全行業(yè)中也被稱為Nobelium或APT29的團體的稱呼）和Octo Tempest這樣的威脅行為者，已經(jīng)濫用AADInternals在云環(huán)境中持續(xù)存在并訪問云和本地資源。 

AADInternals是一個用于執(zhí)行各種任務(wù)的有價值工具。例如，你可以使用該模塊來： 

? 枚舉Entra ID用戶。

? 使用設(shè)備加入模塊將設(shè)備注冊到Entra ID。

? 創(chuàng)建新的Entra ID用戶。

? 為特定用戶禁用多因素身份驗證（MFA）。

? 使用VM代理在Azure虛擬機上運行命令。

? 收集云服務(wù)的信息，包括SharePoint和Office 365。

? 使用OneDrive訪問云存儲。

? 修改注冊表。

? 轉(zhuǎn)儲本地安全機構(gòu)（LSA）秘密。

? 偽造Kerberos票證。

? 使用OneDrive for Business API，包括下載文件等功能。 

實際上，使用這個工具包生成自動Entra ID加入令牌比使用微軟提供的任何工具更容易。因此，阻止這個模塊通常不是你想要做的事情，因為它為管理員提供了太多有用的工具。 

限制本地和云之間的訪問和聯(lián)合 

應(yīng)盡可能限制本地和云資產(chǎn)之間的訪問和聯(lián)合。是的，我們已經(jīng)依賴于在云資產(chǎn)和本地之間共享數(shù)據(jù)和認(rèn)證的能力，但這也往往帶來了弱點。 

最近的一篇ProPublica文章聲稱，一名舉報者在基于這些攻擊發(fā)生前幾年就向微軟指出了這些風(fēng)險。雖然SolarWinds供應(yīng)鏈攻擊是入口點，但正是濫用Active Directory聯(lián)合服務(wù)使攻擊者獲得了更多訪問權(quán)限。因此，理解涉及的風(fēng)險，并增加更多的監(jiān)控資源以審查認(rèn)證過程。 

最后，如果你已經(jīng)是Microsoft 365的客戶，并且尚未審查你的安全默認(rèn)設(shè)置和配置，現(xiàn)在是時候進(jìn)行審查了。從微軟到互聯(lián)網(wǎng)安全中心，多年來各個實體都更新和修訂了基準(zhǔn)。一些基準(zhǔn)有更多的手動步驟，一些則更為自動化。 

此外，你可能還想審查發(fā)布的其他基準(zhǔn)以檢查Intune設(shè)置。其中一個名為OpenIntuneBaseline的GitHub存儲庫結(jié)合了幾個其他基準(zhǔn)的經(jīng)驗教訓(xùn)： 

? NCSC設(shè)備安全指南

? CIS Windows基準(zhǔn)

? ACSC Essential Eight

? Intune的Windows、Edge和Defender for Endpoint安全基準(zhǔn)

? 微軟最佳實踐 

正如網(wǎng)站上所述，“然后使用來自各種MVP博客和社區(qū)資源的信息以及在多個客戶環(huán)境中的豐富個人經(jīng)驗，逐層添加了額外的配置?！?nbsp;

該基準(zhǔn)包括以下關(guān)鍵設(shè)置的配置： 

? 核心設(shè)備安全加固

? 通過BitLocker進(jìn)行設(shè)備加密

? Google Chrome（注意：策略相當(dāng)“反Chrome”以鼓勵使用Edge）

? Microsoft Edge（拆分為多個策略以便于管理）

? Microsoft Office（包括OneDrive已知文件夾移動）

? Microsoft Defender for Endpoint（防病毒、防火墻、ASR規(guī)則）

? Windows LAPS

? Windows Update for Business（交付優(yōu)化、遙測和WUfB報告）

? Windows Update Rings（三環(huán)模型：試點、用戶驗收測試和生產(chǎn)）

? Windows Hello for Business

使用這些設(shè)置的資源以確保你的網(wǎng)絡(luò)得到加固，能夠抵御已知的攻擊序列。遵循這些基準(zhǔn)將有助于你限制影響。重新評估你在本地和云資源之間的連接，以確定它是否對你的企業(yè)構(gòu)成可接受的風(fēng)險。 

Susan Bradley的更多內(nèi)容： 

? 可能不值得修補的3個Windows漏洞

? 通過3個邊緣安全步驟降低安全風(fēng)險

? CISO需要了解的關(guān)于Microsoft Copilot+的信息

? 如何為未來做準(zhǔn)備：立即采取行動應(yīng)對計劃中的淘汰和更改

? 向外看：如何防范非Windows網(wǎng)絡(luò)漏洞