מבוא ל-Mimikatz - הכלי שאילץ את Windows להיות בטוח יותר¶
יש כלים שמשנים תעשייה שלמה, ו-Mimikatz הוא בהחלט אחד מהם. כשהוא יצא לאור לראשונה, הוא חשף בעיה יסודית כל כך בדרך שבה Windows מטפל בסיסמאות, שמיקרוסופט עצמה נאלצה לשנות מנגנוני הגנה ליבתיים במערכת ההפעלה בעקבותיו. חשוב להיות ברור מהרגע הראשון - הפוסט הזה נכתב כדי להסביר את העיקרון והחשיבות ההיסטורית של הכלי, לא כמדריך הפעלה. שימוש בכלי כזה מותר אך ורק בסביבת מעבדה שלכם או בבדיקת חדירות מורשית בכתב.
מה הבעיה ש-Mimikatz חשף¶
כשמשתמש מתחבר למחשב Windows, המערכת צריכה לזכור את פרטי ההתחברות שלו כדי לאפשר לו לגשת למשאבים נוספים ברשת בלי להזין סיסמה בכל פעם מחדש. כדי לעשות את זה, Windows שומר גרסה של האישורים האלה בזיכרון, בתהליך מערכת בשם LSASS. הבעיה שהתגלתה היא שבמשך שנים, Windows שמר שם לא רק hash של הסיסמה, אלא לעיתים גם גרסה שניתן היה להפוך בחזרה לסיסמה קריאה לגמרי, כל עוד הייתה גישה למכונה ברמת הרשאות מספיק גבוהה.
Mimikatz הוכיח בפועל שהבעיה הזאת היא לא תאורטית. הוא הראה שמי שמצליח להגיע להרשאות גבוהות על מכונה אחת יכול לחלץ ממנה סיסמאות, hashes, ואפילו כרטיסי Kerberos שנמצאים בזיכרון - ולהשתמש בהם כדי לנוע לרוחב הרשת, ממחשב למחשב, בלי שהתנועה הזאת נראית כמו תקיפה. זו בדיוק הטכניקה שידועה כ"lateral movement", והיא אחד המרכיבים המרכזיים בכמעט כל תקיפה משמעותית של רשת ארגונית.
למה הכלי הזה שינה את עולם אבטחת ה-Windows¶
לפני Mimikatz, הרעיון של "לגנוב סיסמה שרק נמצאת בזיכרון" נראה למרבית אנשי ה-IT כמעט תיאורטי - סיסמה על הדיסק אפשר לגנוב, אבל משהו שרק "עובר" דרך הזיכרון נראה בטוח מספיק. הכלי הזה הראה בפועל, שוב ושוב, שההנחה הזאת פשוט שגויה. זה הפך לזרז ישיר לכמה מהשינויים המשמעותיים ביותר באבטחת Windows בעשור האחרון - כולל Credential Guard, יכולת שמבודדת את האישורים הרגישים האלה בתוך סביבת וירטואליזציה מוגנת שלא נגישה גם למי שהשיג הרשאות אדמין רגילות במחשב.
מה כל איש אבטחה צריך להבין, גם בלי להריץ את הכלי בעצמו¶
ההבנה של איך Mimikatz עובד היא בעצם הבנה של איך זיכרון תהליכים ב-Windows מנוהל, ואיך אישורים זורמים במערכת ההפעלה. זו לא סתם ידיעה טכנית שולית - זו אחת מנקודות המפתח להבנת תקיפות רשתות Windows בכלל. בודק חדירות שלא מבין את העיקרון הזה, לא באמת מבין למה תקיפות lateral movement כל כך יעילות, ולמה ארגון שלם יכול ליפול מנקודת כניסה אחת בודדת.
איך מתגוננים מפני הטכניקה¶
הגנה בשכבות היא המפתח כאן, ואף שכבה אחת לבד לא מספיקה:
- Credential Guard. מבודד את האישורים הרגישים ביותר בסביבת וירטואליזציה מוגנת, כך שגם תוקף עם הרשאות אדמין מקומיות לא יכול לגשת אליהם בדרך הרגילה.
- LSA Protection. מגביל אילו תהליכים יכולים בכלל לגשת לזיכרון של LSASS, כדי למנוע חילוץ ישיר של המידע הרגיש ממנו.
- ניטור גישה ל-LSASS. צוותי אבטחה מתקדמים מנטרים כל ניסיון חריג לפתוח או לקרוא את תהליך LSASS, כי זה כמעט תמיד סימן ברור לניסיון תקיפה פעיל.
- עיקרון ההרשאה המינימלית. ככל שפחות משתמשים מחזיקים הרשאות אדמין על יותר מדי מכונות, כך יש פחות "כרטיסים" זמינים לתוקף לחלץ ברגע שהוא כבר בפנים.
- החלפת סיסמאות מקומיות אקראית. ודאו שחשבונות אדמין מקומיים לא חולקים אותה סיסמה בין מכונות, כדי שגניבת אישורים ממחשב אחד לא תפתח דלת לכל הרשת.
למה ההבנה הזאת חשובה גם למתחילים¶
גם אם אתם רק בתחילת הדרך בעולם אבטחת המידע, ההיסטוריה של Mimikatz היא שיעור מצוין בעצמה - היא מראה איך כלי מחקר בודד יכול לחשוף חולשה יסודית שאיש לא הכיר לעומק, ולגרום לתעשייה שלמה לשנות איך היא בונה מערכות. מי שרוצה להעמיק בהבנת תקיפות רשתות Windows ו-Active Directory בצורה מסודרת ומורשית, מוזמן להצטרף לקורס בדיקות חדירה, שם אנחנו בונים את ההבנה הזאת שלב אחר שלב, תמיד בסביבת מעבדה מבוקרת.
לסיכום¶
Mimikatz הוא דוגמה מושלמת למה שכלי מחקר טוב אמור לעשות - לחשוף בעיה אמיתית, בצורה כל כך משכנעת, שאי אפשר יותר להתעלם ממנה. גם אם לעולם לא תריצו אותו, ההבנה של מה הוא עושה ולמה, היא הדרך הבטוחה ביותר להבין למה LSASS הפך לאחד הנכסים המוגנים ביותר בכל רשת Windows מודרנית.