Безопасный разбор графа доменных полномочий, делегирования Kerberos и ретрансляции без блокировки учётных записей
Во внутренней сети злоумышленник запрашивает сервисный билет со слабым шифром для подбора пароля, перенаправляет неподписанный запрос проверки подлинности на контроллер домена или использует цепочку прав в каталоге для получения прав администратора. Испытатель проверяет граф доменных прав в режиме чтения без риска заблокировать сотрудников.
Безопасность внутренней корпоративной сети опирается на единую службу каталогов и протокол выдачи билетов доступа. Пути скрытого бокового перемещения и захвата домена открываются там, где для сервисных учётных записей разрешены устаревшие потоковые шифры, на контроллерах и центрах сертификации не требуется обязательная цифровая подпись канала, а в списках контроля доступа (ACL) остаются транзитивные цепочки прав на изменение административных групп.
Силовику и руководителю (без жаргона): Перехват «Extract domain password hashes (DCSync), relay NTLM authentication, or lock out domain user accounts» до сокета (0 вреда рабочей базе, готовая печать ГОСТ)
Техническому проверяющему (улика): Норма Приказ ФСТЭК России от 11.04.2025 № 117 п. 41; Приказ ФСТЭК России от 25.12.2017 № 239 п. 17 | Фильтр SEC-ZD-V2-08 | Свидетель 3b89d042f7168e35
Технократу, CTO и VC (математика): Инвариант Z3 (assert (and (= (ldap_signing_channel_binding dc) REQUIRED... | FP = 0,0% | Правило IMMUNE-ADK-3B89D042 (mcp-sentinel 1.1.2)1. Схема перехвата на проводе и выпуска контракта для INF-ADK-08
Инструментальный цикл проверки по классу INF-ADK-08 (MITRE ATT&CK T1558.003 / T1557.001, CWE-287 / MS-KILE / MS-NRPC): блокировка опасной мутации правилом SEC-ZD-V2-08 до сокета, фиксация свидетеля 3b89d042f7168e35 и выпуск контракта IMMUNE-ADK-3B89D042 для шлюза mcp-sentinel.
2. Фильтр нулевого ущерба и формальный инвариант решателя для INF-ADK-08
По правилу SEC-ZD-V2-08 программный фильтр на проводе ограничивает проверку пассивным чтением атрибутов каталога и математическим анализом графа прав доступа. Любые попытки перебора паролей, способные заблокировать учётные записи сотрудников, запросы на репликацию хэшей домена и активный перехват трафика блокируются до отправки в сеть.
На испытательном стенде анализатор сверяет битовые маски допустимых алгоритмов шифрования, флаги привязки канала и граф достижимости групп администраторов на уязвимом и защищённом контроллерах. Подтверждённый путь эскалации фиксируется свидетелем 3b89d042f7168e35 без ложных срабатываний.
Код класса: INF-ADK-08 (active_directory_kerberos)
Международные матрицы: MITRE ATT&CK T1558.003 / T1557.001 | CWE-287 / MS-KILE / MS-NRPC
Нормативная привязка: Приказ ФСТЭК России от 11.04.2025 № 117 п. 41; Приказ ФСТЭК России от 25.12.2017 № 239 п. 17
Режим проверки: Активное безопасное зондирование (AUTO_SCAN)
Проверочный зонд: LDAP Search (RootDSE / SPN audit): (&(servicePrincipalName=*)(msDS-SupportedEncryptionTypes:1.2.840.113556.1.4.803:=4))
Перехваченная мутация: Extract domain password hashes (DCSync), relay NTLM authentication, or lock out domain user accounts
Инвариант решателя Z3: (assert (and (= (ldap_signing_channel_binding dc) REQUIRED) (= (rc4_spn_ticket kdc) false) (= (unconstrained_delegation host) false)))
Правило фильтра: SEC-ZD-V2-08
Хэш свидетеля: 3b89d042f7168e35
Скомпилированный фильтр: IMMUNE-ADK-3B89D042 (mcp-sentinel 1.1.2)3. Автоматический выпуск защитного контракта IMMUNE-ADK-3B89D042 и квитанция ГОСТ Р 34.11-2012
На основании свидетеля 3b89d042f7168e35 компилятор в автоматическом режиме формирует контракт IMMUNE-ADK-3B89D042. Правило отключает слабые алгоритмы шифрования билетов, вводит принудительную подпись и привязку канала для всех запросов к каталогу и отсекает неограниченное делегирование полномочий.
4. Инженерные разъяснения по проверке и закрытию класса INF-ADK-08
Выявление уязвимых сервисных учётных записей без перебора паролей
Анализатор считывает атрибуты поддерживаемых типов шифрования и настройки делегирования напрямую из публичных записей каталога, доказывая слабость конфигурации без нагрузки на контроллер домена.
Защита контроллеров домена и служб сертификации от ретрансляции учётных реквизитов
Сформированный контракт включает обязательную криптографическую привязку сессии к защищённому каналу связи и запрещает приём неподписанных запросов аутентификации.