避免凭证转储攻击的5个技巧

凭证转储是攻击者永久获取网站访问的一项重要技术。他们通过网络钓鱼潜入工作网站后，利用管理员管理和监视网络的常用方法来获取公开凭据。

在Windows设备网络上使用这五个技巧，减少企业组织遭受凭证转储攻击的漏洞风险。

一、减少凭证重用

首先，查看自己的网络管理。因工作之外的任务登录了多少次网络?网络账户密码重复登录了多少次?

NIST建议企业定期检查自己的密码是否在公开的密码数据库里。如果在网络上使用过的密码出现在密码泄露列表中，都会使用户的网络更容易受到攻击。

Troy Hunt发布了一个数据库，包含了超过5亿个被盗用的密码。用户可以使用各种资源将这些暴露的密码与自己网络中使用的密码进行比较。例如，用户可以使用密码过滤器以查看网络上正在使用的密码。然后依据组策略给这些密码做专门的核查。

二、管理本地管理员的密码

管理本地管理员密码的重要性不言而喻。本地管理员密码在整个网络中不应该一样。考虑到部署本地管理员密码解决方案(LAPS)，可以安装Lithnet LAPS Web应用程序，该应用程序提供了一个简单的易于移动的Web界面，用于访问本地管理员密码。

攻击者知道，一旦他们获得了网络内部的访问权限并获取了本地管理员密码的哈希值，他们便可以在整个网络中畅通无阻。拥有随机分配的密码意味着攻击者无法横行。

三、审查和审核NTLM的使用

如果用户使用的是新技术LAN管理器(NTLM)，则攻击者可以使用NTLM哈希来访问其网络。依靠LM或NTLM身份验证，结合任何通信协议(SMB，FTP，RPC，HTTP等)使用，会使用户有攻击的风险。企业内部设备防御较弱，攻击者容易入侵。从Windows 7 / Windows Server 2008 R2开始，默认情况下将禁用NTLMv1和LM身份验证协议，但是现在用户应该重新检查并确保执行了NTLMv2，可以使用PowerShell查看网络中NTLM的使用。

在组策略中，值设置如下：

1. 选择“开始”。
2. 选择“运行”。
3. 输入GPedit.msc。
4. 选择“本地计算机策略”。
5. 选择“计算机配置”。
6. 选择“ Windows设置”。
7. 选择“安全设置”。
8. 选择“本地策略”。
9. 选择“安全选项”
10. 滚动到策略“网络安全：LAN Manager身份验证级别”。
11. 右键单击“属性”。
12. 选择“仅发送NTLMv2响应/拒绝LM和NTLM”。
13. 单击“确定”并确认设置更改。

注册表设置值如下：

1. 打开regedit.exe并导航到HKLM \ System \ CurrentControlSet \ control \ LSA。单击LSA。如果在右侧窗格中看不到LMCompatibilityLevel，则可能需要添加新的注册表项。
2. 选择“编辑”。
3. 选择“新建”。
4. 选择“ REG_DWORD”。
5. 将“新值#1”替换为“ LMCompatibilityLevel”。
6. 双击右侧窗格中的LMCompatibilityLevel。
7. 输入“ 5”代表更改的级别。您可能需要升级打印机上的固件以支持网络中的NTLMv2。

四、管理“复制目录更改”的访问控制列表

攻击者比用户更了解如何使用他们域中的账户。他们经常会滥用Microsoft Exchange权限组。因此，用户需要注意域中关键功能对安全组和访问控制列表(ACL)的更改。

当攻击者修改域对象的ACL时，将创建一个ID为5136的事件。然后，用户可以使用PowerShell脚本查询Windows事件日志，以在日志中查找安全事件ID 5136：

Get-WinEvent -FilterHashtable @{logname='security'; id=5136} 

然后，使用ConvertFrom-SDDL4，它将SDDL字符串转换为可读性更高的ACL对象。Server 2016及更高版本提供了一个额外的审核事件，该事件记录了原始和修改后的描述符。

五、监视与Isass.exe交互的意外进程

最后，监视lsass.exe进程中的意外峰值。域控制器将lsass.exe进程用作域事务的常规过程的一部分。拒绝服务和恶意流量可能隐藏在这些进程中。确定域控制器中的正常状态是监视攻击时间的关键。在域控制器上运行Active Directory数据收集器，基本要求在于网络正常运行的可视化。

用户要使攻击者始终无法入侵，首先要对自己的网络及其资源使用有良好的基本了解。多花一些时间来理解，这样攻击者就不会占上风。