Lỗ hổng Active Directory: Nguy hiểm từ tài khoản miền

28/10/2025
3 mins read
Lỗ hổng Active Directory: Nguy hiểm từ tài khoản miền

Các tài khoản kết nối miền (domain join accounts) trong môi trường Active Directory đang có nguy cơ cao bị **lỗ hổng Active Directory** khai thác, ngay cả khi các quản trị viên tuân thủ hướng dẫn chính thức của Microsoft. Một phân tích bảo mật toàn diện đã chỉ ra rằng các tài khoản chuyên biệt này mặc định kế thừa các đặc quyền quá mức, tạo ra một con đường trực tiếp để kẻ tấn công leo thang quyền truy cập từ mạng nội bộ lên quyền kiểm soát toàn bộ miền, dẫn đến **xâm nhập Active Directory** nghiêm trọng.

Nội dung
Phân Tích Sâu Sắc về Quyền Hạn Kế Thừa
Cơ Chế Khai Thác Tiềm Tàng

Lộ Thông Tin Đăng Nhập Trong Quá Trình Triển Khai
Chiếm Đoạt Đối Tượng Máy Tính và Khai Thác Lỗ Hổng Active Directory
Các Biện Pháp Giảm Thiểu và Bảo Mật Active Directory

Hạn Chế Quota Tài Khoản Máy về 0
Bảo Vệ Mật Khẩu LAPS bằng ACEs Từ Chối
Chặn Lạm Dụng Resource-Based Constrained Delegation (RBCD)
Phản Hồi và Hướng Dẫn từ Microsoft

Phân Tích Sâu Sắc về Quyền Hạn Kế Thừa

Trong các đánh giá bảo mật, các tài khoản kết nối miền đã chứng tỏ là một trong những điểm vào đáng tin cậy nhất để **xâm nhập Active Directory**. Các tài khoản này hoạt động như tài khoản người dùng tiêu chuẩn nhưng sở hữu các quyền nâng cao cần thiết để tạo đối tượng máy tính và tham gia máy vào miền.

Tuy nhiên, thiết kế của chúng tạo ra nhiều **rủi ro bảo mật** nghiêm trọng mà các hướng dẫn bảo mật hiện có chưa giải quyết đầy đủ. Vấn đề cơ bản bắt đầu trong quá trình triển khai hệ điều hành.

Cơ Chế Khai Thác Tiềm Tàng

Lộ Thông Tin Đăng Nhập Trong Quá Trình Triển Khai

Khi một kỹ thuật viên Hỗ trợ (Help Desk) khởi động máy tính mới thông qua PXE và bắt đầu cài đặt Windows 11, hệ thống sẽ nhận được mật khẩu dạng văn bản thuần (plaintext password) của tài khoản kết nối miền được nhúng trong quy trình triển khai.

Kẻ tấn công có vị trí bất kỳ trên mạng nội bộ chỉ cần nhấn F12 trong quá trình khởi động để giành quyền truy cập vào thông tin đăng nhập có đặc quyền cao này. Các tệp cấu hình chứa mật khẩu này xuất hiện ở nhiều vị trí, bao gồm các chuỗi PXE, tệp unattend.xml, tập lệnh MDT và các công cụ quản lý cấu hình.

Chiếm Đoạt Đối Tượng Máy Tính và Khai Thác Lỗ Hổng Active Directory

Khi một tài khoản kết nối miền tạo đối tượng máy tính trong Active Directory, nó trở thành chủ sở hữu của các đối tượng đó. Điều này cho phép kẻ tấn công tự gán quyền kiểm soát hoàn toàn và thực hiện nhiều kỹ thuật khai thác:

  • Tiết lộ mật khẩu LAPS (Local Administrator Password Solution)
  • Lạm dụng Resource-Based Constrained Delegation (RBCD)
  • Khai thác Shadow Credentials

Ngay cả khi quản trị viên loại bỏ quyền “Read all properties” ở cấp vùng chứa (container level), các đối tượng máy tính mới được tạo vẫn tự động cấp khả năng đọc cho Creator Owner thông qua các bộ mô tả bảo mật mặc định. Điều này cho phép trích xuất mật khẩu LAPS thông qua thuộc tính ms-Mcs-AdmPwd. Để hiểu rõ hơn về những cơ chế này, bạn có thể tham khảo nghiên cứu chuyên sâu về tài khoản OwnJoin trong Active Directory.

Các Biện Pháp Giảm Thiểu và Bảo Mật Active Directory

Các tổ chức phải triển khai ba biện pháp kiểm soát bảo mật thiết yếu để giảm thiểu **lỗ hổng Active Directory** này.

Hạn Chế Quota Tài Khoản Máy về 0

Thiết lập hạn chế quota tài khoản máy về 0. Điều này ngăn chặn các tài khoản có thể tạo các đối tượng máy tính mới trong Active Directory. Quản trị viên cần thực hiện điều chỉnh này thông qua chính sách miền hoặc công cụ quản lý Active Directory.

# Ví dụ (cần cấu hình qua GPO hoặc ADSI Edit)
# Thiết lập ms-DS-MachineAccountQuota = 0

Bảo Vệ Mật Khẩu LAPS bằng ACEs Từ Chối

Áp dụng các Entry kiểm soát truy cập từ chối (Deny ACEs) để bảo vệ mật khẩu LAPS. Điều này đảm bảo rằng ngay cả khi tài khoản kết nối miền có quyền sở hữu, chúng vẫn không thể đọc các thuộc tính mật khẩu nhạy cảm của LAPS.

# Ví dụ (cần cấu hình qua PowerShell hoặc ADUC/ADAC)
# Thêm Deny ACE cho thuộc tính ms-Mcs-AdmPwd trên Computer Objects
# để ngăn tài khoản Domain Join đọc mật khẩu LAPS

Chặn Lạm Dụng Resource-Based Constrained Delegation (RBCD)

Triển khai các biện pháp ngăn chặn lạm dụng ủy quyền hạn chế dựa trên tài nguyên (Resource-Based Constrained Delegation). Điều này đòi hỏi cấu hình cẩn thận các thuộc tính ủy quyền trên các đối tượng máy tính và tài khoản dịch vụ để tránh leo thang đặc quyền trái phép.

# Ví dụ (cần cấu hình thông qua ADAC hoặc PowerShell)
# Kiểm tra và quản lý msDS-AllowedToActOnBehalfOfOtherUser trên các đối tượng máy tính
# Hoặc hạn chế khả năng cấu hình RBCD cho các tài khoản Domain Join

Phản Hồi và Hướng Dẫn từ Microsoft

Phản ứng chậm trễ của Microsoft khi ban đầu từ chối ban hành các bản cập nhật bảo mật vào tháng 10 năm 2021 đã khiến các quản trị viên phải dựa vào các nguồn không xác minh trong nhiều năm. Tuy nhiên, Microsoft đã công bố hướng dẫn chính thức vào tháng 8 năm 2025, thừa nhận sự phức tạp trong việc quản lý các quyền này.

Bảo vệ hiệu quả đòi hỏi phải kết hợp nhiều biện pháp kiểm soát thông qua việc gán lại chủ sở hữu, triển khai quyền từ chối và hạn chế quota. Điều này là cốt lõi để đảm bảo **bảo mật Active Directory** toàn diện.

Các đội ngũ an ninh phải cân bằng giữa chức năng hệ thống và các chuỗi tấn công tinh vi. Họ cần nhận ra rằng **bảo mật Active Directory** cho các tài khoản kết nối miền đòi hỏi một cam kết liên tục, chứ không phải chỉ là các phương pháp tuân thủ dựa trên danh sách kiểm tra.