Авдеева Т.С.
РАЗВЕРТЫВАНИЕ И ТЕСТИРОВАНИЕ RODC НА БАЗЕ ОС АЛЬТ *
Аннотация:
в статье рассмотрены основные особенности и функции RODC, представлены основные шаги установки и настройки RODC на базе ОС Альт, приведены основные методы тестирования на уязвимость, такие как перебор пользователей, брутфорс паролей и Kerberoasting, а также даны рекомендации по противодействию и защите от данных угроз. Статья будет полезна специалистам в области информационной безопасности.
Ключевые слова:
кибербезопасность, контроллер домена, Альт Домен, брутфорс
Введение. Контроллер домена только для чтения (RODC) — это особый тип контроллера домена, содержащий копию базы Альт Домен, доступную только на чтение. Это означает, что никто, даже при получении физического доступа к такому контроллеру домена, не сможет изменить данные в Альт Домен (в том числе сбросить пароль администратора домена). Он обладает функциями, аналогичными функциям стандартного контроллера домена, доступного для записи (RWDC), но с важными отличиями.Во-первых, как уже было сказано ранее, RODC хранит копию базы Альт Домен, доступную только для чтения. Клиенты не могут вносить изменения в базу такого контроллера домена.Во-вторых, RODC не реплицирует данные Альт Домен на другие контроллеры домена (RWDC) (используется односторонняя репликация).При получении контроллером RODC запроса на аутентификацию от пользователя, он перенаправляет этот запрос на ближайший RWDC контроллер.Контроллер RODC может кешировать учетные данные некоторых пользователей (это ускоряет аутентификацию и позволяет пользователям авторизоваться на контроллере домена, даже при отсутствии связи с RWDC).Для разворачивания RODС должны быть выполнены некоторые требования:1. RODC не создает домен, а добавляется в существующий.2. На сервере должен быть назначен статический IP-адрес, уровень леса и домена должен соответствовать 2008R2.Поэтому мы заранее создали контроллер домена dc1.test.alt:Рисунок 1. Контроллер домена.Проверим, соответствует ли наш домен требованиям:Рисунок 2. Требования.Требования выполнены, значит, теперь приступим к установке и настройке RODC.Развертывание RODC.1. Устанавливаем пакет task-samba-dc.2. В файле в /etc/resolv.conf добавляем DC1 как nameserver.Рисунок 3. Развертывание RODC.3. Далее следует становить конфликтующие службы krb5kdc и slapd, а также bind. Также очистим базы и конфигурацию Samba.Рисунок 4. Развертывание RODC.4. На DC1 заведем IP-адрес для RODC.Рисунок 5. Развертывание RODC.5. На RODC в файле конфигурации /etc/krb5.conf устанавливаем следующие параметры:Рисунок 6. Развертывание RODC.6. Для проверки настройки запросим билет Kerberos для администратора домена и убедимся, что билет получен.Рисунок 7. TGT-билет.7. Введем машину в домен test.alt в качестве контроллера домена, доступного только для чтения (RODC).Рисунок 8. Ввод в домен.Тестирование RODC.1. Перебор пользователей.Условие выполнения атаки: сетевая доступность RODC.Результат выполнения атаки: перечень, содержащий некоторые действительные имена учетных записей пользователей домена.Как только злоумышленник сможет найти потенциальных пользователей системы, например на веб-сайте компании, он сможет проверить, есть ли у них валидные учетные записи или нет, используя Kerbrute.Предварительно создадим несколько юзеров на DC1.Рисунок 9. Пользователи.Затем создадим список потенциальных пользователей, для которых будем проверять валидность ученых записей и сохраним в виде файла с именем «Users.txt».Рисунок 10. Список потенциальных пользователей.С помощью инструмента usernum протестируем каждую учетную запись и проверим, существует ли такой пользователь в домене и использует ли он предварительную аутентификацию Kerberos. Для этого указываем IP-адрес контроллера домена и доменное имя.После проверки видим, что admin, user1 и user2 являются валидными учетными записями, использующими аутентификацию Kerberos [3].Рисунок 11. Список валидных учетных записей.Рекомендации по противодействию приведены в таблице 1.Таблица 1. Рекомендации по противодействию.2. Брутфорс паролей.После того, как мы выявили валидные учетные записи, можем осуществить брутфорс, подбирая потенциальные пароли для одного пользователя.Создадим файл «pass.txt», где сохраним список паролей.Рисунок 12. Список паролей.Затем указываем IP-адрес контроллера домена, доменное имя, список потенциальных паролей, а также имя пользователя и используем опцию bruteuser.Рисунок 13. Получение логина и пароля учетной записи.Таким образом, мы получили логии и пароль учетной записи пользователя.Рекомендации по противодействию:Таблица 2. Рекомендации по противодействию.3. Kerberoasting.Условие для проведения атаки: права уровня непривилегированного пользователя домена.Результат успешной атаки: доступ с правами атакованной учетной записи.Первым делом осуществляем поиск учетных записей, обладающих SPN, затем запрашиваем для них TGS, получив хэш, мы можем пробрутить в автономном режиме и завладеть паролем учетной записи в открытом виде.Рисунок 14. Запрос TGS.Полученный хэш, зашифрованный по алгоритму AES-128/AES-256:Рисунок 15. Полученный хэш.Рекомендации по противодействию:Таблица 3. Рекомендации по противодействию.Заключение.В данной работе была описана процедура развертывания и тестирования контроллеров домена только для чтения (RODC) на базе операционной системы Альт. Мы рассмотрели их основные функции и особенности, а также этапы установки и настройки. Отдельное внимание было уделено методам тестирования на уязвимость, таким как перебор пользователей, брутфорс паролей и Kerberoasting. Понимание этих процессов является критически важным для специалистов в области информационной безопасности. Применение упомянутых рекомендаций по противодействию может значительно повысить уровень безопасности, минимизируя риски, связанные с рядом потенциальных угроз и сохранить целостность и конфиденциальность данных.
Номер журнала Вестник науки №6 (87) том 3
Ссылка для цитирования:
Авдеева Т.С. РАЗВЕРТЫВАНИЕ И ТЕСТИРОВАНИЕ RODC НА БАЗЕ ОС АЛЬТ // Вестник науки №6 (87) том 3. С. 1642 - 1652. 2025 г. ISSN 2712-8849 // Электронный ресурс: https://www.вестник-науки.рф/article/24410 (дата обращения: 16.01.2026 г.)
Вестник науки © 2025. 16+