## Group Policy

Windows Group Policy (Ryhmäkäytäntö) on Microsoft Windows -käyttöjärjestelmän hallintatyökalu, joka mahdollistaa organisaation tietokoneiden ja käyttäjien asetusten keskitetyn hallinnan. Ryhmäkäytäntöjen avulla voidaan määrittää erilaisia asetuksia, rajoituksia ja turvallisuusmäärityksiä, jotka vaikuttavat tietokoneisiin ja käyttäjiin, jotka ovat osa tiettyä Active Directory -toimialuetta.

Ryhmäkäytäntöjen keskeinen tarkoitus on helpottaa järjestelmänhallintaa, sillä ne mahdollistavat monimutkaisten asetusten määrittämisen yhdessä keskitetyssä paikassa. Tämä säästää aikaa ja vaivaa, kun ei tarvitse tehdä samoja muutoksia jokaiselle tietokoneelle tai käyttäjälle erikseen.

---

## Pass the Hash hyökkäyksen estäminen

Tässä simuloidussa murtotestauksessa on havaittu jo aika paljon heikkouksia ja haavoittuvuuksia. Vaihdetaan nyt hattua ja korjataan yksi näistä, nimittäin paikallisen kirjautumisen salliminen verkon yli. Tämä halutaan estää ryhmäkäytännöllä (Group Policy Object tai arkisemmin GPO).

Tarkoituksena on, että tehdään ryhmäkäytäntö joka sanoo näin: "Paikalliset käyttäjät eivät saa kirjautua verkon yli tämän toimialueen Windows-palvelimiin". Tällöin, vaikka kaikissa olisikin sama NTLM-tiiviste, ja tiiviste vuotaisi yhdeltä palvelimelta, sitä ei pystyisi käyttämään enää toiselle palvelimelle kirjautumiseen *paikallisella* käyttäjällä.

---

## Paikallisen käyttäjän määrittäminen

Windowsissa on (nykyisellään, juuri tätä tarkoitusta varten) kaksi ryhmää joilla voidaan eritellä paikalliset käyttäjät.

- S-1-5-113: NT AUTHORITY\\Local account
- S-1-5-114: NT AUTHORITY\\Local account and member of Administrators group

Käytämme tässä esimerkissä ensimmäistä "Local account". On kuitenkin hyvä tietää, että joissain verkoissa saatat törmätä tilanteeseen jossa verkkokirjautumista ei voi blokata ihan jokaiselta käyttäjältä. Esimerkiksi Microsoft on huomauttanut että failover clustering käyttää CLIUSR -nimistä paikallista käyttäjää verkon yli.

---

## Etätyöpöytäyhteys (RDP)

Aloita avaamalla etätyöpöytäyhteys (RDP, Remote Desktop Protocol) toimialueohjaimeen (DC1). Näet IP-osoitteen alla ja käyttäjän ja salasanan tiedätkin jo. Anna käyttäjä muodossa **john.doe@evilcorp.local**.

Jos et ole vielä käyttänyt etätyöpöytää, se on yksinkertaista.

#### Windows:

1. Avaa "Käynnistä"-valikko ja kirjoita "Remote Desktop Connection" tai "Etätyöpöytäyhteys" hakukenttään.
1. Valitse "Etätyöpöytäyhteys" sovellus tuloksista.
1. Kirjoita etäkoneen IP-osoite tai verkkonimi "Tietokone"-kenttään.
1. Valitse "Yhdistä".
1. Anna etäkoneen käyttäjätunnus ja salasana, kun niitä pyydetään.
1. Yhteys avautuu ja voit käyttää etäkoneen työpöytää.

#### Mac:

1. Avaa "Finder" ja siirry "Applications" (Sovellukset) -kansioon.
1. Etsi "Microsoft Remote Desktop" (Microsoftin etätyöpöytä) -sovellus ja avaa se.
1. Valitse "Connections" -> "PC Quick Connect".
1. Kirjoita etäkoneen IP-osoite tai verkkonimi "PC Name" -kenttään.
1. Anna etäkoneen käyttäjätunnus ja salasana, kun niitä pyydetään.
1. Yhteys avautuu ja voit käyttää etäkoneen työpöytää.

#### Ubuntu (Remmina):

1. Avaa "Remmina" -sovellus.
1. Napsauta "+" -kuvaketta ja valitse "Desktop" (Työpöytä).
1. Syötä etäkoneen IP-osoite tai verkkonimi "Server"-kenttään.
1. Valitse "Protocol" (Protokolla) ja valitse "RDP - Remote Desktop Protocol".
1. Anna etäkoneen käyttäjätunnus "User name" (Käyttäjätunnus) -kenttään.
1. Napsauta "Connect" (Yhdistä).
1. Anna etäkoneen salasana, kun sitä pyydetään.
1. Yhteys avautuu ja voit käyttää etäkoneen työpöytää.

---

## Server Manager

Kun saat etätyöpöytäyhteyden auki, avaa "Server Manager" hallintakonsoli Windowsin käynnistä-valikosta.

![](sanity:image-6b711e81ef2503fdf824cff406fbb8d77c500733-860x502-png)

---

## Group Policy Management

Avaa sitten "Group Policy Management" -konsoli "Tools" -valikon alta.

![](sanity:image-0147ab230768f89000fd9ab62b43c4bba4cb78cf-1134x774-png)

---

## Default Domain Policy

Klikkaa "Forest: evilcorp.local" -> "Domains" -> "evilcorp.local" -> "Default Domain Policy" hiiren oikealla ja valitse "Edit".

![](sanity:image-ba9ec86f9cd88218007db4bbc9368fba4b4dcd46-926x326-png)

---

## Deny access to this computer from the network

Etsi "Computer configuration" -> "Policies" -> "Windows Settings" -> "Security Settings" -> "Local Policies" -> "User Rights Assignment" -> "Deny access to this computer from the network" ja tuplaklikkaa se auki.

![](sanity:image-86fc1b317a68a16d76bc765c0514e377af1e32fd-1784x518-png)

Täppää "Define these policy settings", valitse "Add User or Group", kirjoita kenttään "Local account" ja paina "OK" ja sitten vielä "OK". 

![](sanity:image-3f06132af53df4e4f881ec3f871c45924ddc47cc-980x564-png)

Group policy on nyt valmis ja voimassa.

![](sanity:image-8d8a97314612f43a6e08e0a131bc0e2a0cd12d6c-1076x162-png)

---

## Hyökkäys toimii edelleen DC1:lle!

Nyt tehty kovennus on erittäin hyödyllinen. Jos yrityksen verkossa on palvelimia, joissa on paikallinen käyttäjä jolla on käytetty samaa salasanaa, yhden paikallisen käyttäjän NTLM-tiivistettä ei voi käyttää leviämään muihin palvelimiin.

**Mutta**, onko DC1:n Administrator-käyttäjä varmasti paikallinen käyttäjä? Vastaus on, että ei ole. Toimialueohjaimet ovat hieman erilaisia kuin muut palvelimet. Kun Windows-palvelin ylennetään (promote) toimialueohjaimeksi (domain controller), sen paikallinen Administrator -tili muuttuukin yhtäkkiä "Domain Admin" -tiliksi toimialueelle.

Tästä syystä tämä GPO, vaikka se olikin hyvä tehdä, ei auta juuri tässä kyseisessä tapauksessa, jossa evilcorp.local/Administrator ja IIS1/Administrator käyttäjillä on sama salasana.

Siksi meidän pitää lisäksi vaihtaa evilcorp.local/Administrator käyttäjän salasana.

---

## Administrator käyttäjän salasanan vaihtaminen

Avaa taas "Server Manager" ja tällä kertaa valitse "Active Directory Users and Computers".

![](sanity:image-5b0c2005e4b35de55a051a19700fce1c8fd5795e-932x462-png)

Valitse Users -> Administrator, klikkaa oikealla ja valitse "Reset Password".

![](sanity:image-11639fd0a402bf584129aa4171f2c0b71b224fbc-982x468-png)

Aseta käyttäjälle uusi, turvallinen salasasana ja klikkaa "OK".

![](sanity:image-7c26d5d239cf96d469eac91118aa4939e8f70850-754x494-png)

---

## Harjoitus

Tee tietoturvakovennukset kuvatulla tavalla. Aja sitten C:\\Check.ps1 tarkastaaksesi korjaukset. Jos GPO on tehty oikein, ja salasana vaihdettu kuten pitää, skriptin pitäisi tulostaa sinulle salasana. Jos skripti kysyy "Execution Policy Change" muutoksesta, vastaa "Y".

![](sanity:image-47794fc3284bb4579623575f374dcee53c288361-1212x560-png)

@exercise 514c148e39d7

@exercise 6e74efb502ef


Tämä on skenaario, älä turhaan sulje sitä saman kurssialueen (Skenaario 1) sisällä ettet menetä edistymistäsi. Lisääthän aikaa tarvittaessa. Skenaariolla voi kestää jokunen minuutti käynnistyä, odotathan kärsivällisesti.

Evilcorp - Skenaario 1

RDP, Group Policy (GPO) ja Pass the Hash mitigointi

Windows ja Active Directory hyökkäykset sekä puolustus

Windows on laajalti käytössä lukuisien yritysten ja oppilaitosten IT-ympäristössä, ja Windows-verkkoja hallitaan tyypillisesti Active Directory -toimialueen avulla.

Tällä kurssilla tutustumme Windows-käyttöjärjestelmän ja Active Directoryn turvallisuuteen sekä hyökkääjän että puolustajan näkökulmasta. Osa tehtävistä on siis hyökkäyksiä ja osa on kovennustehtäviä.

Kurssin alue (Windows, hyökkäys ja puolustus) on aika laaja. Jos sitä lähtisi opiskelemaan teoria edellä, kurssista tulisi tylsä. Jos taas teoriaa ei ole ollenkaan, ei ole hakkerointiakaan, koska sekä hyökkäys että puolustus perustuu ymmärrykseen siitä mitä tapahtuu.

Valitsimme näistä syistä kurssin toteutustavaksi skenaario-pohjaisen lähestymistavan, jossa yhdessä kurssin osiossa käsitellään aina yksi "skenaario" johon saattaa kuulua jokunen hyökkäys, jokunen työkalu ja jokunen kovennus jolla hyökkäykseltä voidaan suojautua.

Pyritään oikeasti ymmärtämään asiat

Teoria käydään läpi pieninä palasina käytännön yhteydessä, aina vasta kun se on välttämätöntä. Asiat koitetaan ymmärtää bittitasolla, jotta voidaan välttää tällaisille kursseille valitettavan tyypillistä ilmiötä jossa oppilas tietää kokeilla psexec-hyökkäystä NTLM-tiivisteen haltuun saatuaan, mutta ei lainkaan ymmärrä mitä hyökkäys tekee ja miten se toimii (spoileri: psexec perustuu Service Control Manager RPC-rajapintaan jolla käynnistetään haluttu komento Windows-palveluna kohdepalvelimella). Kurkitaan pellin alle Wiresharkilla ja esimerkiksi Metasploitin moduulien lähdekoodia kaivamalla.

Tällä tavalla laajasta ja teoriantäyteisestä aiheesta tulee toivottavasti hauska ja helposti askel askelelta lähestyttävä.

Oletko valmis murtautumaan EvilCorpin yritysverkkoon?

Kurssi ei edellytä osaamista Windows-ympäristöistä, mutta muuten perusjutut kuten Linux, tietoverkot, nmap jne. olisi hyvä olla vyön alla.Tervetuloa kurssille!

Tämä kurssi on vielä rakenteilla, skenaarioita tulee lisää.

Tämä kurssi on BETA-tilassa, kerrothan jos havaitset vinoon jääneitä bittejä.

RDP, Group Policy (GPO) ja Pass the Hash mitigointi

Hakkeroinnin oppiminen alkaa tästä