Пентест внутрішньої мережі і Active Directory: що отримує компанія?

Пентест внутрішньої мережі і Active Directory показує, як далеко зайде зловмисник, якщо вже опинився всередині: заразив один ноутбук або отримав пароль працівника. Компанія отримує перелік конкретних слабких місць в офісній мережі й домені Windows, оцінку того, до чого кожне з них може призвести, і порядок виправлень, більшість яких робиться штатними засобами Microsoft.

Active Directory (AD) це служба Windows, яка зберігає всі облікові записи компанії, групи, права і правила для комп'ютерів. Через неї працівники входять у робочі комп'ютери, пошту, файлові сервери й бухгалтерію. Тому той, хто контролює AD, фактично контролює всю офісну IT-інфраструктуру. Нижче пояснюю для власника і IT-керівника, що перевіряють, які типові ризики знаходять, як їх зазвичай виправляють і що підготувати до старту. Загальний формат роботи описано на сторінці пентест.

Коротко

• Навіщо. Зовнішній захист рано чи пізно пропускає когось усередину: через фішинг, заражений ноутбук чи вкрадений пароль. Внутрішній пентест показує, що буде далі.
• Що перевіряють. Зайві й забуті адмінські акаунти, однаковий пароль локального адміністратора, старі протоколи на кшталт NTLM, плоску мережу без сегментації, паролі сервісних акаунтів, налаштування служби сертифікатів і зв'язок AD з Microsoft Entra ID.
• Чим виправляють. Здебільшого безкоштовними засобами самої Microsoft: Windows LAPS, підпис SMB, керовані сервісні акаунти, модель рівнів доступу.
• Що надає замовник. Межі перевірки, письмовий дозвіл і правила роботи, тестовий ноутбук або VPN, звичайний акаунт працівника, контакти і свіжі резервні копії.
• Що ви отримаєте. Звіт із висновком для керівництва, знахідками, впливом на бізнес і планом виправлень, а після виправлень ретест, якщо його погоджено.

Чому внутрішня мережа важлива

Багато компаній вкладаються в захист периметра: брандмауер, захист пошти, антивірус. Але одна людина, яка відкрила шкідливий файл, або один пароль, що витік із чужого сервісу, і зловмисник уже всередині з правами звичайного працівника. MITRE ATT&CK, загальновизнана база технік атак, виділяє використання справжніх облікових записів в окрему техніку T1078 Valid Accounts. ^[7]

Далі все залежить від того, як налаштована внутрішня мережа. Якщо адмінських акаунтів десятки, паролі локальних адміністраторів однакові, а бухгалтерія і сервери в одній мережі, шлях від одного ноутбука до всіх даних компанії короткий. Якщо налаштування акуратні, той самий інцидент лишається проблемою одного комп'ютера. Внутрішній пентест якраз і відповідає на питання, який із цих двох сценаріїв про вас.

Про те, чим пентест відрізняється від повноцінної імітації атаки з прихованим проникненням, читайте в статті Red Team чи пентест. Для внутрішньої мережі зазвичай починають саме з пентесту, а Red Team має сенс пізніше, коли базові речі вже виправлено.

Ризики і виправлення: таблиця

Чи не забагато в нас адміністраторів?

Типова картина в компанії, якій кілька років: у групі адміністраторів домену опинилися колишній IT-підрядник, акаунт для старої програми і директор «про всяк випадок». Кожен такий акаунт це ще один ключ від усього домену.

Microsoft Defender for Identity, інструмент Microsoft для захисту AD, окремо оцінює кілька таких ризиків: застарілі акаунти, якими не входили 90 днів, неактивні акаунти в чутливих групах, сервісні акаунти в привілейованих групах і акаунти, що мають адмінські права одночасно в AD і в Microsoft Entra ID. ^[4] Пентест показує те саме з практичного боку: які з цих акаунтів реально ведуть до повного контролю.

Як виправляють. Переглядають склад адмінських груп і залишають лише тих, кому це справді потрібно. Неактивні акаунти вимикають, а згодом видаляють. Адміністраторам дають окремий акаунт для адмінських задач, а пошту й інтернет вони відкривають під звичайним.

Чи однаковий пароль локального адміністратора на всіх комп’ютерах?

Коли комп'ютери налаштовують з одного образу, пароль вбудованого локального адміністратора часто однаковий на всіх. Microsoft прямо пише, що це поширена ситуація і що нею користуються зловмисники для переходу між пристроями. ^[1]

Як виправляють. Windows LAPS, безкоштовна вбудована функція Windows, ставить на кожному комп'ютері свій випадковий пароль, регулярно його змінює і зберігає в AD або Microsoft Entra ID, звідки його може прочитати лише уповноважений адміністратор. Вона є в Windows 11 і в підтримуваних версіях Windows 10 та Windows Server, що отримали оновлення від 11 квітня 2023 року. ^[1] Старий окремий продукт Microsoft LAPS застарів, тож новим компаніям варто одразу брати вбудовану версію.

Чи працюють у мережі застарілі протоколи?

NTLM це старий спосіб входу в Windows. Microsoft оголосила застарілими всі його версії й радить переходити на Negotiate, який спершу пробує Kerberos і лише за потреби повертається до NTLM. NTLMv1 прибрано, починаючи з Windows 11 24H2 і Windows Server 2025. ^[3] Проблема в тому, що старі принтери, сканери, програми і забуті сервери досі часто покладаються саме на NTLM.

Друге питання стосується підпису SMB, протоколу файлових ресурсів Windows. Підпис захищає повідомлення від підміни в дорозі. Microsoft пояснює, що він захищає від атак із перенаправленням і підміною, і в Windows 11 24H2 (редакції Pro, Enterprise і Education) його вимагають за замовчуванням. ^[2] Але сервери, налаштовані роками раніше, і старі сховища часто працюють без нього.

Як виправляють. Спершу з'ясовують, хто ще користується NTLM, потім вмикають обов'язковий підпис SMB і поступово обмежують NTLM, перевіряючи, щоб не зупинилася робота відділів. Microsoft також радить звертатися до мережевих ресурсів за іменем, а не за IP-адресою, щоб працював Kerberos. ^[2]

Чи бачить звичайний ноутбук сервери і бекапи?

Плоска мережа означає, що всі пристрої в одному сегменті: ноутбук бухгалтера, Wi-Fi для гостей, файловий сервер, система відеоспостереження, контролери домену і сервер резервних копій. Тоді будь-який заражений пристрій має прямий мережевий доступ до найважливішого.

Як виправляють. Мережу ділять на зони за призначенням: робочі місця, сервери, адміністрування, бекапи, гості, техніка на кшталт камер і принтерів. Між зонами залишають лише потрібні з'єднання. Сегментацію роблять поетапно, і пентест допомагає визначити, які зони відокремити першими.

Чи надійні паролі сервісних акаунтів?

Сервісні акаунти потрібні програмам: бекапу, базі даних, CRM. Їхні паролі задають один раз під час встановлення і роками не змінюють, а самі акаунти часто мають зайві права. Microsoft зазначає, що компрометація такого акаунта в привілейованій групі може дати широкий адмінський доступ, а підозрілу активність під ним важко помітити, бо за ним не стоїть конкретна людина. ^[4]

Як виправляють. Прибирають сервісні акаунти з адмінських груп, коли це можливо, і дають їм лише потрібні права. Де можна, переходять на керовані сервісні акаунти (gMSA), у яких пароль змінюється автоматично. Для решти ставлять довгі випадкові паролі та обмежують, на яких комп'ютерах ці акаунти можуть працювати. ^[4]

Чи правильно налаштовано службу сертифікатів?

Active Directory Certificate Services (AD CS) видає внутрішні сертифікати для Wi-Fi, VPN, входу за смарт-карткою і шифрування. Її часто встановлюють один раз і більше не переглядають. Microsoft Defender for Identity має окремий набір оцінок для AD CS і попереджає, що помилки в шаблонах сертифікатів або в правах на центр сертифікації можуть дозволити звичайному користувачеві отримати сертифікат, валідний для привілейованого акаунта, аж до компрометації всього домену. ^[5]

Як виправляють. Переглядають шаблони сертифікатів і права на них, прибирають зайві дозволи для широких груп на кшталт «усі автентифіковані користувачі», знімають з публікації шаблони, які не використовують, і вмикають підтвердження менеджером там, де воно доречне. ^[5]

Чи безпечний зв’язок AD з Microsoft Entra ID?

Якщо компанія користується Microsoft 365, її AD зазвичай синхронізується з Microsoft Entra ID через Microsoft Entra Connect. Сервер синхронізації містить критичні дані про облікові записи, і Microsoft прямо вимагає вважати його компонентом Tier 0, тобто рівня контролерів домену. Microsoft також попереджає: хто отримає контроль над цим сервером, може змінювати користувачів у Microsoft Entra ID. ^[6]

Як виправляють. Обмежують адмінський доступ до сервера синхронізації вузьким колом, вмикають MFA для всіх привілейованих акаунтів в AD і Entra ID, забороняють NTLM на цьому сервері й ставлять унікальний пароль локального адміністратора через Windows LAPS. ^[6] Окремо перевіряють, чи немає акаунтів, які мають адмінські права одночасно в AD і в хмарі. ^[4] Налаштування самого Microsoft 365 можна перевірити за статтею як перевірити безпеку Microsoft 365.

Що надає замовник

Внутрішній пентест працює всередині вашої мережі, тому підготовка тут важливіша, ніж для зовнішньої перевірки. Мінімум, який варто узгодити до старту:

• Межі перевірки. Які офіси, підмережі, домени і сервери входять, а що поза межами: наприклад, виробниче обладнання чи системи партнерів.
• Письмовий дозвіл і правила роботи. Хто дозволяє, у які дні й години дозволено тестування, які дії заборонені, як зупинити роботу, якщо щось піде не так.
• Точка підключення. Тестовий ноутбук, підключений до мережі офісу, або VPN-доступ, що імітує підключення звичайного працівника.
• Звичайний акаунт працівника без адмінських прав. Це найчастіший сценарій: зловмисник має пароль однієї людини.
• Контакти. Відповідальний з IT-боку і людина, яку можна набрати одразу, якщо знайдено щось критичне або сервіс поводиться дивно.
• Резервні копії. Свіжі й перевірені бекапи контролерів домену і ключових серверів. Пентест робиться обережно, але бекап це звичайна страховка для будь-яких робіт у продуктивному середовищі.

Покроковий список підготовки є в статті як підготуватися до пентесту.

Що ви отримаєте в результаті

• Висновок для керівництва без технічного жаргону: що знайдено, до чого це може призвести, що виправити першим.
• Знахідки з доказами й оцінкою ризику, де для кожної описано вплив на бізнес і конкретні кроки виправлення для вашого IT.
• Шлях ризику, тобто як окремі слабкі місця поєднуються між собою: часто жодне з них саме по собі не критичне, а разом вони ведуть до повного контролю над доменом.
• Перелік перевіреного і неперевіреного, щоб було видно межі результату.
• Ретест після виправлень, якщо його погоджено в договорі, з письмовим підтвердженням, що закрито.

Строк залежить від обсягу, зазвичай від тижня, і його фіксують до старту. На обсяг впливають кількість офісів і підмереж, доменів, серверів і те, чи входять у перевірку Wi-Fi та хмарна частина.

Ретест: як переконатися, що виправлено

Після звіту IT-команда виправляє знахідки, починаючи з найкритичніших. Ретест означає повторну перевірку саме цих пунктів: чи справді на кожному комп'ютері тепер свій пароль локального адміністратора, чи прибрано зайвих адмінів, чи не лишилися старі протоколи на забутому сервері. Результат ретесту оформлюють письмово, і його зручно показувати аудиторам, банкам чи замовникам, які питають про стан безпеки.

Чекліст перед пентестом внутрішньої мережі

• Записано межі: офіси, підмережі, домени, сервери і що поза межами.
• Підписано письмовий дозвіл, погоджено правила роботи і час тестування.
• Підготовлено тестовий ноутбук або VPN-доступ.
• Створено звичайний акаунт працівника без адмінських прав.
• Є контакти відповідального з IT і людини для термінових питань.
• Перевірено свіжі бекапи контролерів домену і ключових серверів.
• Узгоджено, у якому вигляді і якою мовою потрібен звіт.
• Ретест і його строки прописано в договорі.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Що таке пентест внутрішньої мережі простими словами?

Це перевірка того, що може зробити зловмисник, який уже потрапив у вашу офісну мережу з правами звичайного працівника. Фахівець за погодженими правилами шукає слабкі місця в мережі й Active Directory і показує, які з них ведуть до важливих даних і повного контролю над доменом.

Чим пентест Active Directory відрізняється від зовнішнього пентесту?

Зовнішній пентест перевіряє те, що видно з інтернету: сайти, VPN, поштові сервери. Внутрішній дивиться, що відбувається після того, як хтось уже всередині. Ці перевірки доповнюють одна одну, бо периметр рано чи пізно когось пропускає. Обидва формати описано на сторінці пентест.

Чи може пентест зупинити роботу офісу?

Ризик невеликий, коли є погоджені правила роботи, час тестування і контакт для зупинки. Перевірки, що можуть вплинути на доступність сервісів, заздалегідь узгоджують або виключають. Свіжі резервні копії все одно потрібні, як і для будь-яких робіт у робочому середовищі.

Навіщо давати тестувальнику акаунт працівника?

Бо це найреалістичніший сценарій: пароль одного працівника витікає через фішинг чи чужий сервіс. Так перевірка не витрачає час на те, як потрапити всередину, і зосереджується на головному питанні: що можна зробити далі.

Як часто роблять пентест внутрішньої мережі?

Зазвичай раз на рік і після великих змін: переїзду в новий офіс, злиття доменів, переходу на Microsoft 365 чи заміни IT-підрядника. Між пентестами допомагає регулярний перегляд адмінських груп і рекомендацій Microsoft Defender for Identity, якщо він у вас є.

Посилання

1. Microsoft Learn: Windows LAPS overview learn.microsoft.com
2. Microsoft Learn: Control SMB signing behavior learn.microsoft.com
3. Microsoft Learn: Deprecated features in the Windows client (NTLM) learn.microsoft.com
4. Microsoft Learn: Accounts security posture assessment, Microsoft Defender for Identity learn.microsoft.com
5. Microsoft Learn: Certificates security posture assessment, Microsoft Defender for Identity learn.microsoft.com
6. Microsoft Learn: Microsoft Entra Connect prerequisites learn.microsoft.com
7. MITRE ATT&CK: T1078 Valid Accounts attack.mitre.org