Nel mondo di Active Directory (AD) gli oggetti computer vengono spesso percepiti come entità “innocue”: semplici rappresentazioni di computer o server uniti al dominio, con nomi come "Hostname" e password complesse gestite automaticamente dal sistema operativo.
Eppure, sotto questa apparente banalità si nasconde una superficie d’attacco sorprendentemente ampia, spesso ignorata anche dai team di sicurezza più esperti. Comprendere la gestione e le vulnerabilità dei computer objects è fondamentale per chi lavora in cybersecurity AD, poiché questi account possono diventare punti di ingresso privilegiati per attacchi avanzati.
Il primo passo per mettere in sicurezza Active Directory con un assessment è mappare configurazioni e privilegi a rischio.
Perché gli oggetti Computer non sono innocui
Ogni macchina nel dominio dispone di credenziali, permessi e, talvolta, capacità di autenticazione e delega. Questo significa che, se un oggetto computer viene compromesso, quest'ultimo potrebbe essere sfruttato per:
- Creare nuovi account o mantenere persistenza;
- Spostarsi lateralmente nella rete;
- Impersonare server critici, come i Domain Controller.
Negli ultimi anni, numerose vulnerabilità hanno dimostrato come i machine accounts in Active Directory possano diventare veri e propri vettori di compromissione, spesso integrati in catene di attacco più complesse.
Esempi di vulnerabilità significative
CVE-2022-26923: riguarda il modo in cui Active Directory Certificate Services (AD CS) gestisce la relazione tra un account macchina e il suo nome DNS. Un attaccante con permessi per creare o modificare un oggetto computer può alterare il campo dNSHostName per farlo coincidere con quello di un Domain Controller legittimo. In questo modo, riesce a richiedere un certificato digitale a AD CS che lo identifica come quel server, ottenendo la possibilità di impersonarlo completamente. Il risultato è devastante: l’attaccante può autenticarsi e comunicare con altri sistemi come se fosse un Domain Controller reale, aggirando i meccanismi di fiducia dell’intero dominio.
CVE-2021-42278: riguarda il campo sAMAccountName dei computer di dominio. In Active Directory, i nomi degli account macchina terminano normalmente con il simbolo $, ma questa convenzione può essere manipolata. Un attaccante può creare o modificare un account macchina e rimuovere il simbolo $, assegnandogli un nome identico a quello di un Domain Controller. Così facendo, può fingersi un server di dominio e ottenere ticket Kerberos che gli consentono di autenticarsi con privilegi elevati. Questa tecnica di spoofing è particolarmente efficace nei contesti in cui mancano controlli rigorosi sugli attributi dei computer e sulle deleghe di autenticazione.
Abusi della Resource-Based Constrained Delegation (RBCD): introdotta per consentire a un servizio di agire per conto di un utente in scenari complessi. Se un attaccante controlla un computer di dominio o crea un nuovo account macchina con privilegi di delega, può usare l’RBCD per impersonare altri sistemi o utenti. In pratica, il computer compromesso diventa un “intermediario malevolo”, mantenendo accesso persistente e difficile da rilevare.
Queste tecniche condividono un denominatore comune: la sottovalutazione del ruolo dei computer objects in AD. Ciò che sembra un semplice oggetto tecnico può rivelarsi una porta privilegiata verso il cuore dell’infrastruttura di dominio.
Un approccio proattivo: caccia agli “Computer Account sospetti”
Un approccio realmente proattivo alla sicurezza di Active Directory deve prevedere la capacità di individuare e gestire tempestivamente i cosiddetti machine accounts sospetti, ossia quei computer di dominio che presentano anomalie nei propri attributi o comportamenti inusuali rispetto agli standard di configurazione.
DebugPrivilege (ispirato a un intervento al BlueHat Israel 2018) ha realizzato uno script PowerShell pensato per analizzare automaticamente gli oggetti macchina presenti nel dominio e generare un report completo in formato CSV. Lo strumento, chiamato MachinesGoneRogue.ps1, è leggero e immediato: non richiede moduli aggiuntivi, può essere eseguito su qualsiasi macchina di dominio e restituisce un output ordinato con livelli di severità e motivazioni dettagliate per ciascun account rilevato come anomalo.
Funzionalità principali dello script
- Leggero e immediato, senza moduli aggiuntivi;
- Può essere eseguito su qualsiasi macchina di dominio;
- Restituisce output ordinato con livelli di severità e motivazioni dettagliate per ogni account anomalo.
Lo script controlla:
- Account Pre-Windows 2000: residui legacy con password vulnerabili;
- Deleghe verso KRBTGT, che permettono di emettere ticket Kerberos;
- Rogue Domain Controller senza SPN di replica;
- Account pre-creati con attributi incoerenti (ServicePrincipalName, msDS-SupportedEncryptionTypes);
- Deleghe RBCD su Domain Controller;
- Disallineamenti tra sAMAccountName e dNSHostName;
- Spoofing di sAMAccountName (nomi senza $).
L’obiettivo è combinare automazione e intelligence per individuare indizi silenziosi di compromissione, trasformando il threat hunting in AD in uno strumento di difesa strategica.
Esecuzione dello script MachinesGoneRogue.ps1
L’esecuzione è semplice:
.\MachinesGoneRogue.ps1 -ExportCsv
- Scansiona l’intero dominio;
- Interroga attributi chiave: userAccountControl, servicePrincipalName, dNSHostName, msDS-AllowedToDelegateTo, msDS-SupportedEncryptionTypes;
- Genera un CSV sintetico ma completo, con la colonna MatchReason che indica il motivo della segnalazione.
Esempi di MatchReason
- "Delegation to KRBTGT detected" – delega verso account critico;
- "sAMAccountName mismatch with dNSHostName" – incoerenza tra nomi account;
- "Unused Pre-Windows 2000 machine account" – account legacy non utilizzato.
Il file CSV può essere importato in Power BI o Azure Data Explorer per visualizzazioni dinamiche, dashboard, query avanzate e threat hunting continuo.
Lo script può essere pianificato periodicamente per monitoraggio continuo dell’ambiente, riducendo tempi di esposizione a minacce e aumentando la resilienza dell’infrastruttura.
Lezione di Sicurezza: i Machine Accounts come vettore di attacco critico
Il rischio sottovalutato dei Computer Account in Active Directory
I machine accounts sono identità privilegiate con:
- Autenticazione autonoma;
- Accesso a risorse sensibili;
- Permessi di delega che possono compromettere il dominio.
Perché i Machine Accounts sono pericolosi
- Autenticazione silenziosa: si autenticano automaticamente senza supervisione;
- Password robuste ma statiche: previste e intercettabili;
- Visibilità ridotta: raramente inclusi in audit;
- Permessi estesi: deleghe Kerberos, membership privilegiata, accesso a file share critici;
- Persistenza post-dismissione: attivi anche dopo rimozione fisica.
Raccomandazioni di DebugPrivilege
- Gestione del ciclo di vita: disabilitare e rimuovere computer obsoleti
- Problematici: account zombie, VM eliminate senza deprovisioning, workstation di ex-dipendenti, server migrati senza pulizia AD.
- Rischi: attività non monitorata, password valide, possibilità di riattivazione da attaccanti.
- Audit e controllo delle deleghe Kerberos
Tipologie da monitorare:
- Unconstrained Delegation: rischio TGT di Domain Admins;
- Constrained Delegation: limitata a SPN specifici, ma da verificare attentamente;
- RBCD: vulnerabile ad attacchi se modificabile da attaccanti.
- Hardening della quota ms-DS-MachineAccountQuota
- Default: 10 computer accounts per utente autenticato;
- Rischi: creazione di machine accounts da utenti compromessi, exploit RBCD, relay attacks, privilege escalation.
- Controlli periodici automatizzati
- Monitoraggio continuo tramite SIEM/EDR;
- Creazione/modifica/eliminazione di computer accounts;
- Autenticazioni anomale, deleghe Kerberos, tentativi falliti ripetuti.
Proteggere Active Directory richiede competenze specialistiche
Configurazioni apparentemente innocue possono diventare autostrade per gli attaccanti.
Deleghe Kerberos non documentate, account obsoleti, quote permissive: tutti rischi concreti per la sicurezza del dominio.
I vantaggi di un approccio professionale con Nexsys
Il Corso AD Attack & Defense di Nexsys è pensato per trasformare il tuo team in esperti completi di sicurezza Active Directory.
Modulo Attack (Red Team): imparerai a eseguire enumerazione AD, attacchi Kerberos avanzati, privilege escalation, movimenti laterali, compromissione di Certificate Services e attacchi mirati agli oggetti computer.
Modulo Defense (Blue Team): acquisirai competenze di hardening AD, implementazione del Tier Model, monitoraggio con Microsoft Defender for Identity, gestione sicura di deleghe e gruppi privilegiati, oltre a pratiche di incident response.
Modulo Pratico: parteciperai a laboratori realistici, simulazioni di attacco e difesa, utilizzando strumenti professionali come BloodHound, Rubeus, Mimikatz e PowerView.
Oltre alla formazione, Nexsys offre servizi professionali di Hardening Active Directory per proteggere concretamente l’infrastruttura:
Assessment & Gap Analysis: audit completo della sicurezza, analisi con BloodHound, identificazione di vulnerabilità e report dettagliato con priorità di intervento.
Pentest AD-Focused: simulazioni di attacco interne ed esterne per verificare le difese, con report tecnico e proof-of-concept.
Implementazione e Hardening: supporto su Tier Model, Privileged Access Management, Protected Users, revisione di ACL e Group Policy.
Machine Accounts Remediation: pulizia automatizzata degli account obsoleti, monitoraggio continuo e riduzione della superficie d’attacco.
Detection & Monitoring: configurazione di Microsoft Defender for Identity, integrazione con SIEM, implementazione di honeypot e deception accounts.
La sicurezza di Active Directory non può più aspettare
Ogni giorno in cui un’Active Directory resta non protetta aumenta il rischio di ransomware, furti di dati e compromissioni persistenti. Con Nexsys, la tua Active Directory smette di essere un punto vulnerabile e diventa un vero pilastro della sicurezza aziendale, trasformando rischi nascosti in protezioni concrete.