Detecção
Vulnerabilidades conhecidas, configurações inseguras e Active Directory.
Dentro da rede, um atacante raramente precisa de um zero-day. Ele costuma aproveitar uma CVE que não foi corrigida, um SMB sem assinatura ou uma conta de serviço com senha fraca. O BeforeTHEM procura esses três tipos de problema no mesmo scan.
Biblioteca de detecções
Milhares de detecções, com curadoria de segurança ofensiva.
O motor do BeforeTHEM executa mais de 8.800 detecções, selecionadas e mantidas pelo nosso time. Os checks que exigem experiência em ataque, como os de Active Directory, configuração e serviços da rede interna, são escritos pelo time de segurança ofensiva da CSURFACE.
Além do CVE
Nem toda falha recebe um CVE.
O CVE é um identificador público dado a uma vulnerabilidade de um produto específico, em uma versão específica. Ele é atribuído quando o fabricante ou um pesquisador reporta o defeito, e a correção fica a cargo de quem desenvolveu o software.
Uma parte grande do risco da rede interna tem outra origem: a forma como os sistemas são configurados e operados. Um protocolo antigo que continua ativo, uma senha de fábrica que nunca foi trocada ou uma permissão excessiva em um arquivo do sistema são decisões de configuração. Por isso não recebem número de CVE nem aparecem em boletins de atualização.
Para quem já está dentro da rede, essas falhas costumam ser o caminho mais curto. Elas dispensam exploit, valem para qualquer versão e raramente disparam alerta. O BeforeTHEM verifica configuração e exposição com a mesma atenção dada às vulnerabilidades catalogadas.
Protocolos e serviços expostos
SMBv1 ainda habilitado, SMB sem assinatura, que permite retransmitir autenticações, sessão nula que lista usuários e compartilhamentos, Java RMI e portas de depuração acessíveis pela rede.
Senhas de fábrica
Câmeras, gravadores, impressoras e equipamentos de rede que mantêm o usuário e a senha definidos pelo fabricante.
Configuração do sistema
RDP sem autenticação em nível de rede, NTLMv1 aceito, LLMNR ativo, que facilita a captura de credenciais, UAC desligado, LSASS sem proteção e firewall desativado.
Permissões e acesso
Login de root permitido no SSH, binários com SUID fora dos pacotes do sistema e arquivos de cron, sudoers e systemd graváveis por qualquer usuário.
Painéis e arquivos expostos
Interfaces administrativas abertas na rede interna e arquivos de configuração ou de backup acessíveis sem autenticação.
Sistemas fora de suporte
Sistemas operacionais e aplicações que deixaram de receber atualizações. Novas falhas continuam a surgir, e o fabricante não publica mais correções.
Active Directory
O caminho até o administrador do domínio passa pelo AD.
O BeforeTHEM analisa o Active Directory em modo somente leitura e aponta as contas e configurações que um atacante poderia usar para escalar privilégios.
- Kerberoast e ASREPRoast. Contas com SPN e contas sem pré-autenticação Kerberos.
- Delegação irrestrita. Máquinas e contas que armazenam a credencial de quem se autentica nelas.
- Senha. Contas que não exigem senha, senhas que nunca expiram e senhas registradas na descrição do usuário.
- Política do domínio. Tamanho mínimo, complexidade e bloqueio por tentativas.
MITRE ATT&CK
Cada configuração insegura, associada à técnica que ela permite.
"Assinatura SMB não exigida" diz pouco para quem não é da área. "Facilita a interceptação e a retransmissão de credenciais (T1557)" deixa claro o que pode acontecer. Sempre que existe uma técnica correspondente no ATT&CK, o achado de configuração a apresenta.
Veja o que o BeforeTHEM encontra em uma rede interna.
Na demonstração, você navega pelos achados de uma rede simulada com Active Directory, servidores Windows e Linux e equipamentos de OT.