Как извлечь учетные данные с помощью Mimikatz

от

«Понимать Mimikatz — это не вопрос выбора для защитника, а профессиональная необходимость. Это как изучать устройство отмычки, чтобы сделать замок надежнее. В реалиях российского ИТ, где требования 152-ФЗ и ФСТЭК диктуют необходимость защиты персональных данных, знание этого инструмента помогает не столько атаковать, сколько строить оборону, которая не сломается при первом же контакте с реальной угрозой.»

На что способен Mimikatz и почему это важно

Mimikatz — это не просто утилита для хакеров, а полноценный инструмент исследования безопасности, который обнажает фундаментальные уязвимости архитектуры аутентификации Windows. Его создатель, Бенжамен Делпай, изначально разрабатывал его для демонстрации слабостей системы. Именно поэтому он стал де-факто стандартом как для злоумышленников, так и для специалистов по тестированию на проникновение (penetration testers). Понимание его работы — это прямой путь к осмысленной настройке защиты, соответствующей требованиям регуляторов.

.#####.   mimikatz 2.0 alpha (x86) release "Kiwi en C" (Apr  6 2014 22:02:03)
 .## ^ ##.
 ## /  ##  /* * *
 ##  / ##   Benjamin DELPY `gentilkiwi` ( benjamin@gentilkiwi.com )
 '## v ##'   http://blog.gentilkiwi.com/mimikatz             (oe.eo)
  '#####'                                     with  13 modules * * */

mimikatz # privilege::debug
Privilege '20' OK

mimikatz # sekurlsa::logonpasswords

Authentication Id : 0 ; 515764 (00000000:0007deb4)
Session           : Interactive from 2
User Name         : Gentil Kiwi
Domain            : vm-w7-ult-x
SID               : S-1-5-21-1982681256-1210654043-1600862990-1000
        msv :
         [00000003] Primary
         * Username : Gentil Kiwi
         * Domain   : vm-w7-ult-x
         * LM       : d0e9aee149655a6075e4540af1f22d3b
         * NTLM     : cc36cf7a8514893efccd332446158b1a
         * SHA1     : a299912f3dc7cf0023aef8e4361abfc03e9a8c30
        tspkg :
         * Username : Gentil Kiwi
         * Domain   : vm-w7-ult-x
         * Password : waza1234/

Приведенный выше вывод — наглядная демонстрация мощности инструмента. За считанные секунды из памяти извлекаются хэши паролей (LM, NTLM, SHA1) и даже открытый текст пароля для устаревшего протокола TSPKG. В контексте 152-ФЗ утечка таких данных, особенно хэшей, позволяющих проводить атаки типа Pass-the-Hash, может привести к несанкционированному доступу к персональным данным и стать основанием для серьезных штрафов.

Ключевые векторы атаки: как Mimikatz получает учетные данные

Mimikatz действует не через взлом шифрования, а через эксплуатацию доверия системы к собственной памяти. Его основная цель — процессы, хранящие критичные данные для аутентификации.

Извлечение данных из LSASS

Сердце атаки — процесс LSASS (Local Security Authority Subsystem Service). В его памяти операционная система хранит «живые» учетные данные активных сеансов, кэши паролей и ключи сеансов Kerberos. По умолчанию у администратора есть права на чтение памяти этого процесса. Mimikatz использует это, чтобы сделать дамп памяти LSASS и отсканировать его на предмет известных структур данных.

Это уязвимость архитектурного уровня. Отключить LSASS нельзя — система перестанет работать. Поэтому защита строится на ограничении доступа к этому процессу и маскировке хранящихся в памяти данных.

Кража и использование токенов доступа

Токен Windows — это цифровой пропуск процесса, в котором записаны права пользователя. Mimikatz может извлекать токены (включая токены уровня делегирования) из памяти и присваивать их другому процессу. Это позволяет злоумышленнику выполнить код в контексте другого пользователя, обойдя пароль и системы двухфакторной аутентификации. Для защиты инфраструктуры, обрабатывающей данные согласно 152-ФЗ, контроль над токенами привилегированных пользователей (администраторов, операторов баз данных) критически важен.

Работа с кэшем учетных данных Windows

Для удобства пользователей Windows кэширует хэши паролей, позволяя входить в систему без подключения к контроллеру домена (например, ноутбук вне офиса). Mimikatz легко извлекает этот кэш. Полученные хэши затем можно использовать для атаки на другие системы в сети, где у пользователя те же учетные данные. Это превращает скомпрометированный ноутбук сотрудника в ключ от внутренней сети организации.

Тактики применения: от хэша до полного контроля над доменом

Mimikatz редко используется изолированно. Его данные служат топливом для более сложных атак, направленных на горизонтальное перемещение по сети и повышение привилегий.

Тактика атаки Что использует Mimikatz Цель и последствия Рекомендации по защите (в контексте ФСТЭК/152-ФЗ)
Pass-the-Hash (PTH) Хэш NTLM пользователя Аутентификация на других системах в сети без знания пароля. Основа для горизонтального перемещения. Включить защиту Credential Guard (Windows 10+/Server 2016+). Использовать аутентификацию Kerberos и отключать NTLM там, где возможно. Применять сегментацию сети.
Pass-the-Ticket (PTT) Билеты Kerberos (TGT, ST) Аналогично PTH, но для более современных сред с Kerberos. Позволяет выдавать себя за пользователя в рамках домена. Строгий мониторинг событий Kerberos (события 4768, 4769). Уменьшение времени жизни TGT. Использование защищенных тикетов (PAC).
Золотой билет (Golden Ticket) Хэш пароля учетной записи KRBTGT (ключ домена) Создание самоподписанного TGT, дающего права любого пользователя, включая администратора домена, на длительный срок. Полный компромисс домена. Регулярная смена пароля учетной записи KRBTGT (дважды, с интервалом). Мониторинг аномальных запросов Kerberos.
Серебряный билет (Silver Ticket) Хэш пароля учетной записи компьютера или службы Создание билета службы (ST) для конкретного сервиса (например, MSSQL, CIFS). Позволяет получить доступ к данным службы, минуя контроллер домена. Использование групповых управляемых учетных записей служб (gMSA). Регулярная ротация паролей серверных учетных записей.

Эти атаки были ключевым элементом в таких эпидемиях, как NotPetya, где быстрое распространение внутри корпоративных сетей было обеспечено именно использованием извлеченных учетных данных.

Стратегия защиты: что делать, чтобы Mimikatz оказался бесполезен

Защита строится не на поиске самого файла mimikatz.exe, а на принципах, которые делают его основные методы неработоспособными.

  1. Защита процесса LSASS. Это главный рубеж. Включите Credential Guard (на поддерживаемых системах), которая изолирует хэши и данные в защищенной среде, недоступной для обычных процессов. Для серверов, где Credential Guard недоступна, используйте антивирусные решения с функциями защиты от эксплуатации (Exploit Guard), блокирующие попытки чтения памяти LSASS. Настройте аудит событий доступа к процессу LSASS (события Windows 4663).
  2. Минимизация привилегий и сегментация. Следуйте принципу наименьших привилегий. Убедитесь, что у рядовых пользователей и даже многих администраторов нет прав локального входа на критичные серверы с данными. Используйте выделенные рабочие станции для административных задач (PAW). Сегментируйте сеть, чтобы скомпрометированная рабочая станция не имела прямого доступа ко всем серверам.
  3. Отказ от устаревших и уязвимых протоколов. Запретите хранение хэшей LM (устаревшие системы). Отключайте протокол NTLMv1 и максимально ограничивайте использование NTLMv2 в пользу Kerberos. Kerberos, хотя и уязвим для Golden/Silver Ticket, предоставляет больше механизмов для мониторинга и защиты.
  4. Активный мониторинг и обнаружение аномалий. Настройте сбор и анализ логов. Ищите аномалии:
    • Неудачные попытки повышения привилегий (privilege::debug).
    • Запуск подозрительных процессов с аргументами, содержащими «sekurlsa», «lsadump», «kerberos».
    • Необычную активность Kerberos: запросы TGT с нестандартными флагами, попытки использования просроченных или будущих билетов.
    • Попытки доступа к памяти LSASS из необычных процессов.

    Эти данные необходимы для выполнения требований ФСТЭК о непрерывном мониторинге информационной безопасности.

  5. Регулярная ротация критичных учетных данных. Установите строгий график смены паролей для учетных записей с высокими привилегиями, особенно для KRBTGT и администраторов домена. Это ограничивает временное окно для использования украденных хэшей.

Место Mimikatz в арсенале защитника

Запрещать изучение Mimikatz бессмысленно. Для аудиторов и специалистов по безопасности его использование в контролируемой среде — это лучший способ проверить реальную устойчивость инфраструктуры к современным угрозам. Тест на проникновение, имитирующий действия злоумышленника с использованием Mimikatz, покажет, насколько эффективны ваши политики контроля доступа, сегментации и мониторинга.

Понимание механизмов Mimikatz переводит безопасность из области настройки «галочек» в осмысленное проектирование. Оно позволяет перестать бояться конкретного инструмента и начать выстраивать среду, где кража учетных данных становится для злоумышленника сложной, шумной и, в идеале, бесполезной задачей. В условиях регулирования 152-ФЗ это не просто лучшая практика, а необходимое условие для обеспечения конфиденциальности и целостности персональных данных.

Загрузка…

Оставьте комментарий