Attack path (útočná cesta) je postupnosť krokov, ktorými sa útočník môže presunúť od počiatočného prístupu k svojmu cieľu. Východiskom býva jeden kompromitovaný účet alebo počítač, napríklad po úspešnom phishingu, cieľom zas administrátorské oprávnenia, ovládnutie domény, prístup k zálohám či citlivým dátam.

Útočná cesta zvyčajne nevzniká z jednej veľkej chyby. Skladá sa z viacerých drobností, ktoré samostatne pôsobia neškodne: priveľké oprávnenia skupiny, zabudnutý servisný účet s heslom bez expirácie, administrátor prihlasujúci sa na bežné stanice alebo nevhodne nastavené delegovanie práv.

Ako útočné cesty vznikajú

Najčastejšie ich nájdete v adresárových službách, typicky v Active Directory a Entra ID. Vzťahy medzi používateľmi, skupinami, počítačmi a oprávneniami tvoria graf, v ktorom útočník hľadá najkratšiu trasu k privilegovaným účtom. Každý krok pritom môže využiť niečo iné:

  • zneužitie uložených prihlasovacích údajov na stanici, kde sa prihlásil administrátor,
  • právo meniť členstvo v skupine alebo resetovať heslo inému účtu,
  • trust vzťahy medzi doménami a lesmi, ktoré rozširujú dosah kompromitácie,
  • neopravenú zraniteľnosť na serveri, ktorá umožní ďalší laterálny pohyb.

Prečo je dôležité na ne myslieť

Bezpečnosť sa často posudzuje po jednotlivých nálezoch. Pohľad cez útočné cesty ukazuje, ktoré kombinácie nálezov sú skutočne nebezpečné. Prirovnanie: jedna odomknutá brána na pozemku ešte neznamená vlámanie do trezoru, ak cestou stoja ďalšie zamknuté dvere. Ak sú však otvorené všetky, stačí jedna chyba na začiatku.

Pre vedenie firmy je tento pohľad zrozumiteľnejší než dlhý zoznam zistení – ukazuje, ako by sa útočník k najcennejším aktívam reálne dostal a ktorý zásah cestu preruší.

Ako útočné cesty odhaliť a prerušiť

Pri posúdení bezpečnosti Active Directory a Microsoft Entra ID sa kombinujú špecializované nástroje (napríklad PingCastle a Purple Knight) s manuálnou analýzou privilegovaných účtov, delegovania práv a starých protokolov. PosAm tento postup opisuje v článku o tom, ako systematicky posilniť kybernetickú odolnosť organizácie. Typické opatrenia potom zahŕňajú:

  1. oddelenie administrátorských účtov a obmedzenie, kde sa smú prihlasovať,
  2. odstránenie nadbytočných oprávnení podľa princípu minimálnych práv,
  3. hardening serverov a segmentáciu siete v duchu Zero Trust.

Časté otázky

Je attack path to isté ako zraniteľnosť?

Nie. Zraniteľnosť je jednotlivá slabina, útočná cesta je reťazec krokov, ktorý môže obsahovať zraniteľnosti, ale aj chybné nastavenia a oprávnenia.

Stačí na odhalenie útočných ciest automatický nástroj?

Nástroje výrazne pomáhajú, no výsledky treba interpretovať v kontexte organizácie. Preto sa odporúča kombinovať ich s manuálnou analýzou.

Ako často treba útočné cesty kontrolovať?

Pravidelne a po väčších zmenách, napríklad po reorganizácii skupín, migrácii alebo pridaní novej domény, pretože nové cesty vznikajú priebežne.

Ak chcete vedieť, aké útočné cesty existujú vo vašom prostredí, odporúčaný začiatok je jednorazové posúdenie infraštruktúry a analýza AD a Entra ID. Kontaktujte PosAm a dohodnite si posúdenie.