Spiegazione degli attacchi di estrazione NTDS.dit

Cos'è NTDS.dit e qual è il suo ruolo in Active Directory?

Il file NTDS.dit è il database principale di Active Directory (AD) che memorizza informazioni critiche su tutti gli oggetti AD, come utenti, credenziali, computer, gruppi e le loro appartenenze, e gli hash delle password. Questi dati consentono l'autenticazione, l'autorizzazione e i servizi di directory in un dominio Windows, motivo per cui gli attaccanti spesso prendono di mira questo file nelle campagne di furto delle credenziali.

Ecco alcuni fatti interessanti sul file NTDS.dit:

• Per impostazione predefinita, il file NTDS.dit si trova in: C:\Windows\NTDS\ntds.dit.
• Tecnicamente, NTDS.dit è costruito sul motore di archiviazione estensibile (Extensible Storage Engine, ESE), un motore di database leggero che organizza i suoi contenuti in tabelle, indici e registri delle transazioni per query rapide e un recupero affidabile.
• Il file stesso non può essere letto isolatamente. Dipende dalle chiavi di registro SYSTEM e SECURITY, poiché la Boot Key (syskey) di queste chiavi è necessaria per decrittare campi sensibili come gli hash delle password.
• La dimensione del file dipende dall'ambiente. Nelle piccole organizzazioni può essere solo di pochi megabyte, mentre nelle grandi imprese con migliaia di account e oggetti, il database può crescere fino a gigabyte.

Come funziona l'estrazione di NTDS.dit

Questa sezione descrive l'esecuzione passo dopo passo dell'attacco di estrazione NTDS.dit, discute i metodi di attacco comuni e spiega perché l'estrazione delle password NTDS.dit è un obiettivo primario per gli aggressori che cercano credenziali a livello di dominio per un accesso persistente e ad alto impatto in tutta l'azienda.

Esecuzione passo dopo passo

Un attacco di estrazione NTDS.dit si sviluppa in una serie di passaggi. L'attacco inizia con una violazione iniziale, ruba il file NTDS.dit (e la chiave SYSTEM) copiandoli da un domain controller, recupera e decripta gli hash delle password, decifra o riutilizza quelle credenziali e infine ottiene il compromesso a livello di dominio.

1. Accesso iniziale: Gli aggressori ottengono l'accesso iniziale alla rete target tramite metodi come campagne di phishing, sfruttamento di vulnerabilità software, uso di credenziali rubate e sfruttamento di configurazioni errate.
2. Acquisizione dei privilegi: L’attaccante ottiene quindi privilegi elevati (Domain Admin o SYSTEM locale su un domain controller).
3. Accesso al controller di dominio: Con diritti elevati, l'attore ottiene l'accesso al file system e alle hive del registro del controller di dominio, sia su un host attivo, uno snapshot o un'immagine di backup.
4. Acquisizione di NTDS.dit: L'avversario ottiene una copia del file NTDS.dit (o un estratto logico del suo contenuto) tramite meccanismi di snapshot/backup, utility amministrative o rubando un'immagine di disco virtuale. L'obiettivo è una copia offline che può essere analizzata al di fuori dell'ambiente DC attivo.
5. Recupero della hive SYSTEM: L'attaccante acquisisce anche la hive di registro SYSTEM (e talvolta SECURITY) perché contengono il materiale della chiave di avvio necessario per interpretare o decrittografare alcuni campi protetti in NTDS.dit.
6. Analisi / decrittazione off-host: Utilizzando i file copiati e il materiale chiave, l'avversario analizza il database ed estrae gli hash delle password e i blob delle credenziali. Strumenti come secretsdump.py (Impacket) e DSInternals sono comunemente usati a questo scopo. Il hive SYSTEM contiene la Boot Key (SYSKEY), che gli attaccanti usano per decrittare la Password Encryption Key (PEK) memorizzata in NTDS.dit. Questa PEK viene poi utilizzata per decrittare gli hash NTLM, le chiavi Kerberos e altri dati di credenziali protetti dal database.
7. Sfruttamento delle credenziali: Dopo aver estratto gli hash delle password, gli aggressori o decifrano gli hash NTLM utilizzando strumenti come Hashcat o John the Ripper per ottenere le password in chiaro, oppure sfruttano tecniche Pass-the-Hash (PtH) per autenticarsi direttamente usando gli hash senza decifrarli, permettendo così un movimento laterale più rapido all'interno della rete.
8. Obiettivi post-sfruttamento: Con le credenziali, gli aggressori si muovono lateralmente all'interno dell'ambiente AD, accedono a risorse sensibili, persistono e possono pivotare verso identità cloud e sistemi esterni.

Metodi di attacco

Gli aggressori utilizzano tecniche furtive e apparentemente legittime per ottenere NTDS.dit e dati di directory correlati. Scelgono un metodo che bilancia al meglio furtività, facilità e impatto per l'ambiente di destinazione.

Persistenza

I dati NTDS.dit estratti funzionano per gli aggressori molto tempo dopo la violazione, permettendo loro di riutilizzare le credenziali, falsificare ticket e mantenere l'accesso in tutto l'ambiente.

• Durata del valore: Il materiale estratto da NTDS.dit rimane utile molto tempo dopo una compromissione iniziale. Gli aggressori possono decifrare le password offline ed eseguire attacchi come il pass-the-hash in qualsiasi momento.
• Backup come capsule del tempo: I backup vecchi possono includere credenziali e le chiavi krbtgt per lunghi periodi. Poiché molte organizzazioni non ruotano frequentemente la chiave, anche copie obsolete possono facilitare compromissioni a lungo termine.
• Conseguenze a livello di dominio: Con gli hash per account ad alto privilegio o per l’account krbtgt, gli aggressori possono falsificare i ticket Kerberos, impersonare account e mantenere un accesso persistente a livello di dominio.
• Pivoting tra ambienti: Le credenziali rubate da AD possono funzionare al di fuori della rete aziendale (per SSO, federazioni cloud e VPN), permettendo agli aggressori di saltare ad altri sistemi e rubare dati.

Diagramma del flusso di attacco

Per aiutarti a comprendere l’attacco di estrazione NTDS.dit, ecco un diagramma di flusso che spiega la catena degli eventi, accompagnato da un esempio dal punto di vista di un’organizzazione.

In uno stabilimento di produzione, un dipendente clicca su un link dannoso e l’attaccante ottiene l’accesso iniziale a una workstation utente. L’attaccante eleva i privilegi e si sposta lateralmente fino a ottenere diritti di amministratore su un server che può raggiungere un domain controller. Utilizzando l’accesso di backup del server, copia silenziosamente uno snapshot Volume Shadow contenente NTDS.dit e il hive SYSTEM. Fuori sede, estrae gli hash delle password e recupera le credenziali di diversi account ad alto privilegio. Con queste credenziali, falsifica l’accesso ai servizi collegati al cloud e si muove lateralmente attraverso la rete aziendale, esfiltrando proprietà intellettuale sensibile.

Esempi di estrazione di NTDS.dit

Gli incidenti reali dimostrano che il dump di NTDS.dit è una via ad alto impatto per la persistenza a lungo termine, il movimento laterale e il furto di dati.

Conseguenze dell'estrazione di NTDS.dit

Il file NTDS.dit funge da chiave per il sistema di autenticazione di un’organizzazione. Con ogni hash di password e biglietto Kerberos a disposizione di un attaccante, gli effetti possono propagarsi su finanza, operazioni, reputazione ed esposizione normativa.

Obiettivi comuni dell’estrazione di NTDS.dit: chi è a rischio?

Qualsiasi organizzazione che utilizza Active Directory è un potenziale bersaglio per un attacco di estrazione NTDS.dit, e questo riguarda quasi tutti. Vediamo chi è più a rischio.

Valutazione del rischio

Per valutare il rischio di un attacco di estrazione NTDS.dit, considera tre fattori chiave: l'impatto potenziale se gli aggressori ottengono il tuo database Active Directory, quanto è difficile per loro effettuare l'estrazione e quanto è probabile un tentativo del genere nel tuo ambiente. Insieme, questi fattori evidenziano l'importanza di proteggere e monitorare i controller di dominio e gli artefatti AD per la sicurezza aziendale.

Come prevenire l’estrazione di NTDS.dit

Proteggere il database di Active Directory richiede una difesa a più livelli che limiti l'esposizione dei privilegi, applichi un'autenticazione forte e monitori continuamente comportamenti sospetti. Le seguenti misure possono ridurre significativamente il rischio di estrazione di NTDS.dit.

Limitare l'accesso privilegiato

Gli aggressori possono estrarre NTDS.dit solo se ottengono diritti amministrativi o a livello SYSTEM, quindi minimizzare l'esposizione dei privilegi è fondamentale.

• Limita l'appartenenza a Domain Admins, Enterprise Admins e ad altri gruppi con privilegi elevati solo al personale essenziale.
• Applicare un modello di amministrazione a livelli (Tier 0–2) per isolare account e server critici.

Queste misure impediscono il movimento laterale e garantiscono che la compromissione di un livello inferiore (come una workstation) non conduca direttamente a un domain controller.

Applicare un'autenticazione forte

Le credenziali deboli o riutilizzate rimangono uno dei punti di accesso più semplici per gli avversari. Dovresti:

• Applica l'autenticazione a più fattori (MFA) per tutti gli account privilegiati e gli amministratori di servizio per bloccare il replay delle credenziali e gli attacchi brute-force.
• Disabilita o blocca i protocolli di autenticazione legacy come NTLM e l'autenticazione di base che gli aggressori possono sfruttare per bypassare i controlli di sicurezza.

Rafforzare i controller di dominio

La migliore difesa contro l'estrazione di NTDS.dit inizia rendendo i controller di dominio il più difficile possibile da compromettere. Considera quanto segue:

• Esegui i controller di dominio su server dedicati e protetti isolati nel proprio segmento di rete, senza condivisioni di file, senza servizi web, niente esposto a internet.
• Applicare regolarmente patch per OS e Active Directory per chiudere le vulnerabilità note.
• Disabilita ogni servizio e porta non necessari, a partire da Print Spooler, che è stato ripetutamente sfruttato per ottenere accesso SYSTEM. Usa regole firewall rigorose che consentano solo il traffico AD essenziale. Ogni servizio extra, porta aperta e condivisione amministrativa su un domain controller può esporre NTDS.dit ad accessi non autorizzati.

Monitora attività sospette

La rilevazione precoce può fare la differenza tra un'intrusione e una compromissione completa del dominio.

• Abilita la registrazione e la verifica da riga di comando per strumenti come ntdsutil.exe, vssadmin.exe, wmic.exe e altre utility di snapshot spesso utilizzate per accedere o copiare NTDS.dit.
• Monitora gli ID evento di Windows come 325, 327 e 4104, che possono rivelare tentativi sospetti di accesso o copia di NTDS.dit.
  • ID evento 325: Registrato da ESENT quando un database come ntds.dit viene collegato o accesso. Potrebbe indicare un accesso non autorizzato al database AD.
  • ID evento 327: evento ESENT che mostra il distacco o lo spegnimento del database. È utile per individuare attività di copia o dump di NTDS.dit.
  • ID evento 4104: evento di registrazione del blocco script PowerShell. Rivela l'esecuzione di script o comandi sospetti (come ntdsutil, vssadmin) utilizzati per l'estrazione di NTDS.dit.
• Utilizzare soluzioni EDR e SIEM per rilevare e segnalare modelli insoliti di accesso a file o hive del registro.

Proteggi i backup

Poiché i file NTDS.dit e SYSTEM hive sono spesso inclusi nei backup, proteggere tali backup è importante quanto proteggere il controller di dominio stesso.

• Cripta sempre i backup di AD, limita l'accesso alle posizioni di archiviazione dei backup e assicurati che la tua infrastruttura di backup sia protetta contro manomissioni.
• Ruota regolarmente la password dell'account krbtgt per invalidare eventuali ticket Kerberos rubati che potrebbero essere usati per la persistenza.

Adottare framework di sicurezza

Framework come zero trust e Microsoft’s Enterprise Access Model forniscono modi strutturati per rafforzare la sicurezza di AD.

• Implementa i principi di zero trust per verificare ogni richiesta di accesso, anche dall'interno della rete.
• Utilizzare Microsoft LAPS (Local Administrator Password Solution) o strumenti simili per garantire che le password degli amministratori locali siano uniche e ruotate automaticamente. Questo può limitare i movimenti laterali se un host viene compromesso.

Audit e test regolari

Anche con i controlli in atto, la convalida continua è essenziale. Devi:

• Eseguire regolarmente audit di Active Directory per identificare escalation di privilegi non autorizzate, modifiche ai membri dei gruppi e configurazioni errate.
• Pianifica test di penetrazione o esercitazioni red team focalizzate su scenari di AD e furto di credenziali per verificare le difese e scoprire eventuali lacune nella rilevazione.

Come Netwrix può aiutare

Netwrix offre diversi prodotti e funzionalità che possono aiutare a mitigare o rilevare le condizioni che portano agli attacchi di estrazione di NTDS.dit. Si concentra su rilevamento e risposta, audit trail, governance degli accessi, visibilità del rischio e allerta, colmando le lacune che gli strumenti tradizionali potrebbero non rilevare. La tabella seguente mostra come le offerte di Netwrix possono supportare la tua difesa contro il furto di NTDS.dit:

Strategie di rilevamento, mitigazione e risposta

Per difendersi dall’estrazione di NTDS.dit e dai tentativi correlati di compromissione di Active Directory, le organizzazioni necessitano di una strategia completa che copra rilevamento, mitigazione e risposta. Ecco alcune misure pratiche.

Rilevamento

Rilevando precocemente attività sospette che prendono di mira il file NTDS.dit, i team di sicurezza possono prevenire la compromissione completa del dominio. Le misure di rilevamento precoce includono:

• Monitora l'uso sospetto degli strumenti: Traccia esecuzioni insolite di ntdsutil.exe, esentutl.exe, vssadmin.exe e utility di backup. Gli attaccanti tendono ad abusare di questi strumenti per creare o copiare snapshot del database AD.
• Rivedi gli eventi di creazione delle copie shadow: Cerca gli ID evento 7036 (avvio/arresto del servizio) e 8222 (creazione copia shadow VSS), specialmente quando vengono avviati al di fuori delle finestre di manutenzione o da utenti non amministratori.
• Traccia i tentativi di accesso al file NTDS.dit: Configura l'auditing sui domain controller per rilevare letture dirette, copie o spostamenti del file NTDS.dit e del registro di sistema SYSTEM.
• Rilevare l'abuso di replica (DCSync): Monitorare le richieste di replica della directory da sistemi non-DC. Devono attivarsi avvisi se le API DRSUAPI o DS replication vengono invocate da host o account non autorizzati.
• Correlare comportamenti amministrativi insoliti: Indagare anomalie come improvvise escalation di privilegi, nuovi compiti di shadow copy o replicazione di dominio da endpoint inattesi.

Mitigazione

I controlli di mitigazione riducono la probabilità che gli aggressori ottengano o sfruttino i dati del domain controller. I passaggi chiave includono:

• Applica un modello di suddivisione amministrativa: Implementa la struttura Tier 0/1/2 di Microsoft per isolare gli account ad alto privilegio (come gli amministratori DC) dai sistemi a fiducia inferiore. Questo impedisce che una compromissione nei livelli inferiori raggiunga quelli superiori.
• Usa l'accesso privilegiato just-in-time (JIT): Fornisci diritti elevati temporanei agli amministratori o a account specifici solo quando necessario, tramite soluzioni come Netwrix Privilege Secure. Questo minimizza i privilegi permanenti, limita il tempo di esposizione per l'accesso di alto livello e riduce il rischio di furto o uso improprio delle credenziali.
• Ruotare regolarmente la password krbtgt due volte: Ruotare la password dell'account krbtgt due volte consecutive per invalidare eventuali ticket Kerberos contraffatti o memorizzati nella cache, come quelli creati negli attacchi Golden Ticket. Questo garantisce che i ticket emessi in precedenza diventino inutilizzabili.
• Richiedere l'autenticazione multi-fattore (MFA): Applicare la MFA per tutti gli accessi privilegiati e amministrativi, inclusi RDP, PowerShell remoting e console di gestione AD.
• Backup sicuri: Crittografa i backup di AD e limita l'accesso a essi. Questo impedisce agli aggressori di recuperare NTDS.dit tramite i dati di backup.
• Disabilita i metodi di autenticazione legacy: Disattiva i protocolli obsoleti come NTLM, LM o Basic Authentication dove possibile per ridurre i vettori di furto delle credenziali. Invece, applica Kerberos o meccanismi di autenticazione moderni (OAuth, SAML o basati su certificato).
• Applicare la segmentazione della rete: Isolare i controller di dominio in un segmento di rete dedicato e ristretto. Solo i server jump amministrativi autorizzati o i sistemi Tier 0 dovrebbero avere accesso di rete ai DC.

Risposta

Se viene rilevata un’estrazione di NTDS.dit o una compromissione del dominio, intraprendere azioni di risposta rapide e strutturate.

• Isolare i controller di dominio compromessi: Disconnettere immediatamente i sistemi interessati dalla rete per contenere la violazione e prevenire ulteriori movimenti laterali o esfiltrazione di dati. Disabilitare le loro connessioni di replica e bloccare la comunicazione con altri DC.
• Ruota le credenziali privilegiate: Reimposta tutti gli account amministrativi, di servizio e condivisi, iniziando dalle identità Tier 0 come Domain Admins, Enterprise Admins e account di servizio collegati ai domain controllers. Dopo il contenimento, considera di ruotare nuovamente la chiave krbtgt per invalidare completamente eventuali ticket Kerberos residui o token non autorizzati.
• Ricostruire l'infrastruttura compromessa: Se vengono confermati meccanismi di persistenza o manomissioni del DC, ricostruire i controller di dominio interessati da fonti pulite e affidabili invece di ripristinare da backup potenzialmente infetti. Dopo la ricostruzione, riapplicare le baseline di sicurezza e aggiornare tutti i sistemi prima di rimetterli online.
• Eseguire un'analisi forense: Esaminare copie shadow, dati di backup, registri eventi e dump di memoria per tracciare l'attività degli aggressori, identificare i meccanismi di persistenza e rilevare eventuali tentativi di esfiltrazione dei dati. Concentrarsi sull'analisi dell'accesso a NTDS.dit, degli eventi di replica e dell'uso di PowerShell o strumenti amministrativi per segni di furto di credenziali. Correlare i risultati con l'intelligence sulle minacce.
• Notifica i regolatori se si è verificata una violazione dei dati: Se sono state esposte credenziali sensibili o dati degli utenti, segui le procedure della tua organizzazione per la risposta agli incidenti e la notifica legale. Alcune normative, come il GDPR (72 ore) e l'HIPAA (60 giorni), richiedono la segnalazione di una violazione confermata entro tempi specifici. Notifica le autorità regolatorie competenti, i clienti interessati e i partner come richiesto.

Impatto specifico per settore

Gli attacchi informatici che prendono di mira NTDS in Windows e altri sistemi di identity possono avere conseguenze devastanti in tutti i settori. L'impatto varia a seconda del settore, ma include comunemente violazioni normative, perdite finanziarie e danni reputazionali a lungo termine.

Evoluzione degli attacchi e tendenze future

I difensori ora si trovano ad affrontare un panorama di minacce NTDS.dit molto più complesso. Attacchi che una volta richiedevano accesso locale e strumenti specializzati possono ora avvenire attraverso ambienti cloud e ibridi. Gli attaccanti moderni integrano l’estrazione di NTDS.dit nei playbook del ransomware e utilizzano utilità Windows legittime per nascondere la loro attività, rendendo questi attacchi più rapidi, furtivi e difficili da rilevare.

Statistiche chiave e infografiche

I seguenti numeri mostrano chiaramente quanto Active Directory rimanga centrale negli attacchi moderni e perché l’estrazione di NTDS.dit continui a essere una tecnica ad alto impatto.

• Verizon’s DBIR (2024) mostra che l’uso di credenziali rubate è stata l’azione iniziale in circa il 24% delle violazioni complessive. Nel modello DBIR 2024 “Basic Web Application Attacks”, le credenziali rubate rappresentavano circa il 77% delle azioni di hacking. Questo evidenzia quanto siano preziosi per gli aggressori gli archivi delle credenziali AD.
• Microsoft la telemetria mostra che più del 99,9% degli account osservati dai loro sistemi come compromessi non aveva MFA abilitato. Questo è un indicatore evidente di quanto efficacemente MFA blocchi gli attacchi automatizzati e basati su credenziali.
• I dati sugli incidenti di Coveware mostrano che gli incidenti di ransomware che coinvolgono Active Directory hanno causato in media circa 21 giorni di interruzione delle attività (Analisi Coveware Q4 2020), evidenziando quanto profondamente la compromissione dell'identità interrompa le operazioni e il recupero.

Grafico a barre dei metodi di estrazione

Il seguente grafico a barre mostra gli strumenti più comuni utilizzati negli attacchi di estrazione NTDS.dit, basato su incidenti documentati dal 2022 al 2024.

Nota che questi dati si basano solo su incidenti documentati pubblicamente. La frequenza reale di questi metodi in natura è probabilmente molto più alta.

Considerazioni finali

Il database NTDS Active Directory (NTDS.dit) memorizza tutte le informazioni della directory, inclusi account utente, password e configurazioni di dominio, il che lo rende un componente critico per la sicurezza di Windows Server.

L’estrazione di NTDS.dit è un metodo rapido e ad alto impatto con cui gli aggressori trasformano identità rubate in un completo takeover del dominio. Negli ambienti ibridi odierni, questo rischio cresce solo. Per proteggere la tua infrastruttura di identity, applica MFA, blocca e monitora Microsoft Entra Connect e le operazioni di sincronizzazione, rileva attività Living off the Land (LOTL) e accessi insoliti a SYSTEM/NTDS, e integra la forensics di AD nei tuoi piani di risposta agli incidenti. Questo ridurrà drasticamente le probabilità che il furto di una singola credenziale si trasformi in un blackout totale.