ACLight

권한 계정(Privileged Accounts) 및 Shadow Admin을 고급 탐지하는 도구입니다.
ACLight2는 이 도구의 개선된 버전입니다.

Shadow Admins 연구

이 도구(버전 1)는 "Shadow Admins" 연구의 일부로 발표되었습니다. "Shadow Admins"에 대한 자세한 내용은 블로그 게시물을 참조하십시오: https://www.cyberark.com/threat-research-blog/shadow-admins-stealthy-accounts-fear

이 연구는 런던에서 열린 InfoSecurity 컨퍼런스에서도 발표되었습니다: 발표 링크

개요

ACLight는 고급 ACL 분석(객체의 ACL - 액세스 목록, 일명 DACL\ACE)을 통해 권한 계정을 발견하는 도구입니다.
스캔한 네트워크에서 Shadow Admin을 발견하는 기능을 포함합니다.

이 도구는 Active Directory(AD)에 객체의 ACL을 질의한 후 각각의 민감한 권한을 필터링하고 분석합니다.
결과는 네트워크에서 가장 권한이 높은 계정 목록입니다(AD의 고급 ACL 관점에서).
스캔은 일반 사용자 계정으로도 실행할 수 있으며, 권한이 없는 사용자도 가능합니다. AD에 대해 합법적인 읽기 전용 LDAP 쿼리만 수행하기 때문입니다.

그냥 실행하고 결과를 확인하세요.

도구가 발견한 모든 권한 계정을 관리해야 합니다.
특히 Shadow Admin을 관리하세요. 이들은 알려진 권한 그룹의 멤버십으로 권한을 얻는 것이 아니라 직접 민감한 ACL 할당을 가진 계정입니다.

클라우드 환경을 스캔하고 AWS 및 Azure에서 가장 권한이 높은 엔티티를 발견하려면 새로운 오픈소스 도구인 SkyArk를 확인하세요:
https://github.com/cyberark/SkyArk

ACLight2

이것은 ACLight2 - ACLight 스캔의 새 버전입니다. 훨씬 빠르고, 새로운 스캔 아키텍처를 가지며 더 나은 결과를 제공합니다.
이전 버전의 확장성 및 성능 문제를 해결합니다.

또한 ACLight2는 재귀적 스캔을 기반으로 구축되어 다층적 권한 계정 분석을 제공합니다.
첫 번째 단계로, 스캔은 권한 계정의 첫 번째 계층을 구축하는 것으로 시작합니다. 이 계정들은 도메인의 민감한 객체에 대해 직접 권한을 가진 계정입니다. 그런 다음 두 번째 단계로, 도구는 계속해서 레이어 1에서 새로 발견된 권한 계정에 대한 ACL을 스캔하고, 첫 번째 계층의 계정에 대해 권한을 가진 새로운 권한 계정의 선택적 두 번째 계층을 구축합니다. 이 두 번째 단계는 재귀적이며, 모든 권한 계정 체인이 열거될 때까지 도구는 권한 계정의 추가 선택적 계층을 계속 스캔합니다.

사용법:

옵션 1:

• "Execute-ACLight.bat"을 더블 클릭합니다.

옵션 2:

• PowerShell을 엽니다(-ExecutionPolicy Bypass 사용)
• "ACLight2" 메인 폴더로 이동합니다
• “Import-Module '.\ACLight2.psm1'” 실행
• “Start-ACLsAnalysis” 실행

대상 도메인 선택:
기본적으로 ACLight는 스캔된 네트워크 포리스트의 모든 도메인을 자동으로 스캔합니다. 특정 도메인만 스캔하려면 "Domain" 매개변수를 사용할 수 있습니다:

• Start-ACLsAnalysis -domain "DomainName.com"

ACLight2 데모:

결과 파일 읽기:

1. 먼저 스캔의 실행 요약 파일 "Privileged Accounts - Layers Analysis.txt"를 확인하세요. 이 파일은 스캔된 네트워크에서 발견된 가장 권한이 높은 계정들의 중요하고 직관적인 목록입니다.
2. "Privileged Accounts Permissions - Final Report.csv" - 최종 요약 보고서로, 이 파일에서 각 계정이 가진 정확한 민감 권한을 찾을 수 있습니다.
3. "Privileged Accounts Permissions - Irregular Accounts.csv" - 최종 보고서와 유사하지만, 그룹 멤버십을 통하지 않고 ACL 권한이 직접 할당된 권한 계정만 포함합니다.

참고 자료:

이 도구는 Will Schroeder(@harmj0y)의 오픈소스 프로젝트 PowerView의 함수를 사용합니다 - 훌륭한 프로젝트입니다.

더 많은 의견이나 질문이 있으면 Asaf Hecht(@Hechtov) 및 CyberArk Labs에 연락하실 수 있습니다.