Perché Active Directory è il bersaglio principale
Active Directory gestisce autenticazione e autorizzazione di tutti gli utenti, computer e risorse in un dominio Windows. Chi compromette un Domain Controller ottiene le chiavi del regno: può impersonare qualsiasi utente, accedere a qualsiasi risorsa condivisa, installare software su qualsiasi workstation, leggere ogni email, modificare qualsiasi file.
Nei penetration test condotti da FrameSec su PMI italiane, il tempo medio per raggiungere Domain Admin da un accesso iniziale su una workstation è meno di 4 ore — in ambienti senza hardening AD. Le tecniche sono ben documentate, gli strumenti sono open source (BloodHound, Mimikatz, Impacket), e la maggior parte delle misconfigurazioni tipiche è identica in quasi tutti gli ambienti non hardened.
Le vulnerabilità più sfruttate nei penetration test su ambienti AD delle PMI italiane:
- Account con privilegi eccessivi — decine di account nel gruppo Domain Admins, spesso account di servizio con privilegi da amministratore
- Kerberoasting — account di servizio con SPN configurati e password deboli o non ruotate da anni, attaccabili offline senza interazione con AD
- AS-REP Roasting — account con "Do not require Kerberos preauthentication" abilitato, i cui hash possono essere richiesti senza autenticazione
- Pass-the-Hash / Pass-the-Ticket — riuso degli hash NTLM o dei ticket Kerberos estratti dalla memoria con Mimikatz
- Password di amministratore locale identiche — stesso hash su tutte le workstation, permettendo movimento laterale immediato
- Delegation insicura — Unconstrained Delegation e Constrained Delegation mal configurate permettono l'escalation a Domain Admin
Il Tier Model: isolare i livelli di privilegio
Il Tier Model (o Microsoft Identity Tier model) è l'approccio architetturale fondamentale per l'hardening di AD. Suddivide l'ambiente in tre livelli di privilegio con barriere di accesso rigide tra loro:
- Tier 0 — Domain Controller, sistemi di gestione AD (ADFS, PKI, ADCS), backup dei DC. Gli account Tier 0 possono accedere SOLO ai sistemi Tier 0
- Tier 1 — Server applicativi, server di file, server di database, Exchange. Gli account Tier 1 possono accedere ai sistemi Tier 1 e 2 ma MAI ai sistemi Tier 0
- Tier 2 — Workstation, laptop, dispositivi utente. Gli account Tier 2 accedono solo alle workstation
In pratica: l'amministratore che gestisce le workstation degli utenti non ha le credenziali per accedere ai server. L'amministratore dei server non ha le credenziali per accedere ai Domain Controller. Un attaccante che compromette una workstation (Tier 2) non può usare le credenziali dell'utente compromesso per attaccare i server (Tier 1) o i DC (Tier 0).
L'implementazione del Tier Model si basa su GPO di User Rights Assignment che negano il logon interattivo e remoto degli account ai sistemi di tier superiore, e sull'uso di Privileged Access Workstation (PAW) — workstation dedicate e isolate per l'amministrazione dei sistemi critici.
Se implementare il Tier Model completo è troppo impegnativo per il tuo ambiente, inizia con questa regola essenziale: nessun account Domain Admin deve essere usato per attività quotidiane. Gli amministratori devono avere due account — uno normale per il lavoro quotidiano, uno privilegiato usato solo per le attività di amministrazione AD. Questo singolo cambio riduce drasticamente la superficie d'attacco.
LAPS: password uniche per ogni workstation
Il problema delle password di amministratore locale identiche su tutte le workstation è uno dei più pericolosi e più semplici da risolvere. LAPS (Local Administrator Password Solution) — incluso nativamente in Windows Server 2022 e Windows 11 come "Windows LAPS" — gestisce automaticamente password uniche e casuali per l'account Administrator locale di ogni computer del dominio.
Come funziona:
- LAPS genera automaticamente una password casuale complessa per ogni workstation
- La password viene memorizzata come attributo nell'oggetto computer in AD, protetta dalle ACL
- LAPS cambia automaticamente la password dopo ogni scadenza configurata (es. ogni 30 giorni)
- Gli amministratori leggono la password corrente da AD quando ne hanno bisogno, tramite ADUC o PowerShell
Il risultato: anche se un attaccante riesce a estrarre la password di amministratore locale da una workstation, quella password non funziona su nessun'altra workstation del dominio. Il lateral movement tramite pass-the-hash dell'amministratore locale è bloccato.
Protected Users e Credential Guard
Protected Users Security Group
Il Protected Users è un gruppo di sicurezza speciale in AD (disponibile da Windows Server 2012 R2) che applica automaticamente una serie di restrizioni agli account membri per proteggere le credenziali:
- NTLM non può essere usato per l'autenticazione — solo Kerberos
- Kerberos non usa DES o RC4 per la cifratura — solo AES 128/256
- Le credenziali non vengono memorizzate nella cache sul client (no cached credentials)
- I ticket Kerberos non sono rinnovabili oltre 4 ore
Aggiungere tutti gli account privilegiati (Domain Admins, Enterprise Admins, amministratori di server critici) al gruppo Protected Users è una misura con impatto minimo sull'operatività e molto alto sulla sicurezza.
Credential Guard
Credential Guard (disponibile da Windows 10 Enterprise / Windows Server 2016) usa la virtualizzazione hardware per isolare il processo LSASS in un ambiente protetto, impedendo a Mimikatz e strumenti simili di estrarre hash NTLM e ticket Kerberos dalla memoria. È la difesa più efficace contro il Pass-the-Hash e il Pass-the-Ticket.
Abilitazione tramite GPO: Computer Configuration → Administrative Templates → System → Device Guard → Turn On Virtualization Based Security → Enabled, con Credential Guard: Enabled with UEFI lock.
Monitoring e detection degli attacchi AD
L'hardening riduce la superficie di attacco ma non elimina il rischio. Il SIEM con log management centralizzato è fondamentale per rilevare attività sospette in AD prima che l'attaccante raggiunga i Domain Controller.
Gli Event ID AD più importanti da monitorare:
- 4768 / 4769 — Ticket Kerberos richiesti: alert su pattern anomali (molte richieste TGS per service account = potenziale Kerberoasting)
- 4625 — Logon falliti: alert su soglie elevate da singolo IP o account
- 4720 / 4728 / 4732 — Creazione account / aggiunta a gruppi privilegiati: alert immediato
- 4648 — Logon con credenziali esplicite: spesso usato durante lateral movement
- 4756 — Membro aggiunto a gruppo universale privilegiato: alert immediato per Domain Admins
- 4742 / 4743 — Modifica account computer: rilevamento di DCSync e computer account abuse
Strumenti come BloodHound Community Edition permettono di analizzare il proprio AD con gli stessi strumenti usati dagli attaccanti, identificando i percorsi di escalation prima che lo faccia qualcun altro. Un Active Directory Penetration Test eseguito da FrameSec va ancora oltre: un team di sicurezza offensiva tenta realmente di compromettere l'AD e documenta ogni vettore di escalation trovato.
Il monitoraggio 24/7 MDR di FrameSec include detection specifiche per gli attacchi AD: Kerberoasting, DCSync, Golden Ticket, Pass-the-Hash — con alerting immediato e risposta coordinata.
Esegui oggi: Get-ADUser -Filter {DoesNotRequirePreAuth -eq $true} -Properties DoesNotRequirePreAuth per trovare account vulnerabili a AS-REP Roasting. Se ne trovi, disabilita l'opzione e cambia le password. Questo singolo controllo, eseguito in 5 minuti, chiude uno dei vettori di attacco più sfruttati.
Domande frequenti
Perché Active Directory è il bersaglio principale degli attaccanti?
Perché controlla autenticazione e autorizzazione di tutti gli utenti e computer del dominio. Compromettere AD dà accesso a tutto. Il tempo medio per raggiungere Domain Admin da una workstation compromessa in un ambiente non hardened è meno di 4 ore.
Cos'è il Tier Model per Active Directory?
Un modello architetturale che suddivide l'ambiente AD in tre livelli isolati (Tier 0: DC, Tier 1: server, Tier 2: workstation) con account amministrativi separati per ogni livello. Un attaccante che compromette una workstation non può usare le stesse credenziali per attaccare i server o i Domain Controller.
Cos'è LAPS e come protegge le PMI?
LAPS gestisce password univoche e casuali per l'account Administrator locale di ogni workstation. Impedisce il lateral movement tramite la stessa password di amministratore locale su tutte le macchine. È gratuito, incluso in Windows Server 2022 e Windows 11, e richiede meno di un giorno per essere implementato.