MITRE ATT&CK e Active Directory: vecchie configurazioni, nuove vulnerabilità
Negli ambienti IT moderni, Active Directory è ancora oggi il cuore dell’identità digitale di un’azienda. Gestisce utenti, accessi, permessi, gruppi e autenticazioni: in pratica, tiene in piedi la quotidianità di qualsiasi organizzazione.
Proprio per questo è anche uno degli obiettivi più colpiti dagli attaccanti. Chi analizza le tecniche di attacco descritte nel framework MITRE ATT&CK lo vede chiaramente: gran parte delle azioni usate dagli attaccanti passa attraverso debolezze o configurazioni errate di Active Directory.
Molti attacchi non sfruttano vulnerabilità “nuove”, ma errori e mis-configuration vecchie, rimaste insite nell'ambiente con il passare degli anni.
Le “configurazioni ereditate” di AD
Nel corso degli anni, molti ambienti Active Directory sono cresciuti in modo organico: nuovi server, nuovi utenti, nuovi gruppi… ma senza una revisione completa delle impostazioni di sicurezza. Così, restano attive:
- autenticazioni legacy come NTLM o Kerberos con cifratura debole,
- account con privilegi e password che non scadono mai,
- deleghe o trust rimasti da vecchi progetti,
- Group Policy ormai fuori standard o non più allineate alle best practice.
Sono tutte configurazioni legacy “ereditate”, che nel tempo diventano una superficie d’attacco ideale. L’attaccante non ha bisogno di una vulnerabilità “zero-day”: gli basta sfruttare ciò che già esiste.
MITRE ATT&CK: la mappa di come gli attacchi sfruttano AD
Dalla ricognizione iniziale al movimento laterale, gli aggressori sfruttano impostazioni datate o poco controllate per muoversi nella rete quasi inosservati. Analizzando la mappa MITRE ATT&CK vs Active Directory, si nota come le vecchie impostazioni possano essere sfruttate in ogni fase:
- Initial Access: sfruttando credenziali di servizio non protette
- Privilege Escalation: tramite deleghe o credenziali memorizzate
- Lateral Movement: grazie a trust o autenticazioni non controllate.
In sintesi, il framework MITRE è uno specchio fedele dei rischi legati a un AD “cresciuto nel tempo” senza revisione di sicurezza.
Dall’accesso iniziale alle credenziali rubate: cosa ci insegna MITRE ATT&CK sugli attacchi a Active Directory
La mappa MITRE ATT&CK evidenzia una realtà che molti team IT conoscono bene: Active Directory è il bersaglio preferito degli attaccanti. Gran parte delle tecniche più utilizzate oggi per muoversi dentro una rete aziendale passano proprio attraverso le autenticazioni, le policy e i privilegi gestiti da AD.
Analizzando le tecniche (TTP) più comuni evidenziate nel framework, emerge un quadro chiaro: ogni fase dell’attacco può sfruttare una debolezza strutturale o una configurazione non aggiornata.
Initial Access – Trusted Relationship e Valid Accounts
Molti attacchi iniziano da qualcosa di estremamente comune: un account valido. Che si tratti di credenziali rubate tramite phishing, password riutilizzate o accessi ereditati da vecchi partner, la fiducia diventa vulnerabilità. La tecnica “Trusted Relationship” mostra proprio questo: gli attaccanti sfruttano collegamenti legittimi tra sistemi o domini per infiltrarsi senza generare allarmi.
Una volta ottenuto un punto d’appoggio, anche limitato, l’avversario non ha fretta. L’obiettivo è “imitare” il comportamento di un utente reale e raccogliere informazioni utili per i passi successivi.
Persistence – Create Account e Valid Accounts
Le tecniche evidenziate nel framework mostrano come, una volta dentro, gli aggressori usino strumenti di amministrazione comuni (PowerShell, WMI, Task Scheduler) per eseguire comandi senza destare sospetti.
Per mantenere l’accesso nel tempo, vengono poi creati nuovi account o riutilizzati utenti di servizio con permessi ampi. Queste modifiche, se non tracciate, possono restare attive per mesi.
Un esempio tipico: la creazione di un account “temporaneo” per test che nessuno disattiva.
La soluzione? Monitorare in tempo reale ogni autenticazione, indipendentemente dalla sua origine o dal protocollo utilizzato. Ed è proprio qui che piattaforme come Silverfort fanno la differenza.
Privilege Escalation – Access Token Manipulation, Domain Policy Modification
Il passaggio più critico di ogni attacco è la Priv‑Esc, ovvero l'escalation dei privilegi. Una volta dentro, l’attaccante cerca di diventare amministratore.
Le tecniche di Access Token Manipulation permettono di impersonare utenti con privilegi maggiori, sfruttando i token di accesso già memorizzati nel sistema.
Altre, come Domain Policy Modification, mirano a modificare policy GPO o criteri di sicurezza per garantirsi diritti permanenti.
Ogni minuto in cui l’attaccante mantiene i privilegi alti aumenta il danno potenziale. L’unica contromisura efficace è la visibilità costante sui privilegi e sulle autenticazioni elevate — uno dei pilastri dell’approccio Zero Trust.
Defense Evasion – Hide Artifacts, Impair Defenses, Modify Authentication Process
A questo punto, la priorità dell’attaccante è non farsi scoprire. Le tecniche di Defense Evasion servono a nascondere tracce, alterare i log o disattivare i controlli di sicurezza.
Molti tool di Red Team simulano queste azioni proprio per testare quanto sia resiliente il sistema di monitoraggio.
Serve una visione centralizzata di tutte le autenticazioni e delle modifiche ai processi di login: l’unico modo per rilevare comportamenti anomali prima che diventino incidenti.
Credential Access – Credentials from Password Stores, LSA Secrets, Kerberos Tickets
Qui si entra nel cuore del problema: il furto di credenziali. Strumenti come Mimikatz, Impacket o Rubeus permettono di estrarre password, hash o ticket Kerberos direttamente dalla memoria dei sistemi. Una volta ottenuti, gli aggressori possono muoversi liberamente, impersonando utenti o servizi senza generare nuove autenticazioni.
È la dimostrazione che proteggere solo la password non basta più. Serve un livello di controllo ulteriore che blocchi autenticazioni sospette anche se le credenziali sono corrette e SilverFort è in grado di applicare MFA anche su ambienti on-prem.
Discovery – Group Policy Discovery, Domain Trust Discovery, File and Directory Discovery
Infine, l’attaccante “mappa” l’ambiente. Durante questa fase, esplora l’infrastruttura per capire come è organizzata, quali trust esistono tra domini e quali policy regolano l’accesso.
Tutte informazioni preziose per pianificare il movimento laterale o l’esfiltrazione dei dati.
La lezione per i Blue Team
Il framework MITRE ATT&CK serve a misurare la copertura difensiva per il Blue Team. Ogni tecnica dovrebbe avere una contromisura monitorata: log attivi, alert in SIEM o policy di blocco. Mappare le difese rispetto al MITRE aiuta a individuare le aree cieche e pianificare interventi concreti: hardening, revisione dei privilegi, monitoraggio degli accessi.
Dal controllo tecnico alla protezione continua: Silverfort e la formazione
Le TTP evidenziate nel framework MITRE mostrano un punto chiave: quasi tutte si basano su un abuso di autenticazioni legittime.
Per interrompere questo schema serve una piattaforma capace di estendere la protezione identitaria anche ai sistemi e protocolli non coperti da MFA nativo.
Ogni tecnica MITRE è un tassello di un puzzle che, se non controllato, porta al dominio completo dell’infrastruttura.
Molti attacchi che effettivamente si concretizzano ogni giorno, non dipendono da falle sconosciute, ma da autenticazioni troppo permissive e mancanza di visibilità.
Silverfort consente di monitorare e proteggere ogni autenticazione, applicare MFA su protocolli come RDP o SMB e bloccare attività anomale ed autenticazioni sospette. Funziona in modalità agent-less, senza quindi modificare l'infrastruttura esistente.
È la risposta più concreta per chi vuole portare un approccio “zero trust” all’interno di ambienti AD e ibridi.
Ogni team IT deve comprendere come gli aggressori sfruttano Active Directory per potersi difendere davvero e la conoscenza resta la prima difesa: il corso Active Directory Attack & Defense di Nexsys guida i partecipanti nel comprendere e sperimentare in laboratorio le stesse tecniche descritte dal MITRE ATT&CK, imparando come identificarle e neutralizzarle.