Como prevenir e detectar ataques Pass-The-Hash?

Ataques de credenciais são  o "novo método preferido" para os invasores adentrarem em uma rede; afinal, eles conseguem se passar por usuários oficiais e se movimentar pelo ambiente até que seja tarde demais, soando quase nenhum alarme de anomalias.

Sem as proteções adequadas, usuários descuidados e contas obsoletas, esse é o novo paraíso para os cibercriminosos. Neste artigo, vamos entender o que é o ataque Pass-The-Hash e como se prevenir.

O que é hash de senha e sua importância? 

A gestão de senhas é uma parte crucial do gerenciamento de identidades e acessos. Atualmente, devido a diversos ataques, como o de força bruta, ter somente o login e senha não é mais suficiente para proteger contas.

Uma das formas de proteção é o hash de senha. Ele é um método em que senhas são criptografadas, com base hexadecimal, constituída por números (0 a 9) e letras (A a F). Essa criptografia muda uma senha comum para algo indecifrável, como "senha1234" para "1af5jj78."

Assim, caso uma senha seja interceptada ou vazada, não será a verdadeira, mas a criptografada.

O que é o ataque Pass-The-Hash e como ele acontece? 

O ataque Pass The Hash é um ataque cibernético de roubo de credencial, em que o cibercriminoso rouba o hash de senha (a senha criptografada) para conseguir fazer o acesso a contas legítimas.

Como ele obtém o acesso à senha criptografada, os invasores irão conseguir entrar nos ambientes, como serviços e dispositivos da rede, como se fossem usuários legítimos, mesmo não tendo a senha real.

Por ser uma senha criptografada, muitos usuários acreditam que estarão a salvo com suas senhas, não colocando proteções adicionais. Assim, quando o hacker consegue o hash autêntico, ele tem todos os acessos necessários.

O primeiro passo é conseguir uma forma de ter acesso ao hash de senha. Para isso, os invasores usam métodos mais tradicionais, como campanhas de phishing (para enganar os usuários a darem seus acessos ou baixarem algum malware) ou explorando alguma vulnerabilidade na rede ou dispositivos, como falta de atualizações e brechas de segurança.

Depois, com o hash já em mãos, irá procurar por contas que usem somente o login e senha, neste caso, o hash. Uma vez que elas batam, o atacante está "liberado" na conta para fazer o que quiser.

A partir disso, ele irá buscar por contas privilegiadas, fazendo a movimentação lateral, até conseguir dados e informações sensíveis; e também faz a exfiltração de dados, com o intuito de pedir um ransomware, por exemplo.

O que torna o ataque Pass The Hash preocupante  

O uso do hash torna muito mais fácil conseguir o acesso às contas, pois não dá tanto trabalho quanto outros tipos de ataques que visam credenciais. Cibercriminosos estão visando mais as empresas pela grande quantidade de dados sensíveis que elas possuem, sendo o retorno para eles muito maior.

Atualmente, a maturidade digital levou as empresas a se tornarem cada vez mais integradas. Com o alto volume de aplicações sendo usadas no ambiente de trabalho, tornou-se comum utilizar o método de Single Sign-on (SSO) para que os usuários consigam acessar tudo de forma mais fácil.

Além disso, o trabalho remoto abre outras brechas de segurança, pois, ao não se estar na empresa, os dispositivos e redes usadas não terão as proteções adequadas para impedir ou detectar uma invasão ou usuário suspeito.

Como proteger sua empresa de um ataque Pass The Hash 

Para a cibersegurança ser robusta e ter êxito, ela precisa ter uma abordagem em camadas que abranja todas as possíveis vulnerabilidades dentro de uma empresa, inclusive o controle de acessos.

Aqui estão algumas práticas para se proteger do ataque Pass The Hash:

Implemente o princípio do privilégio mínimo 

Os invasores usam movimentações laterais para irem em busca de contas que os ajudem a ter mais acessos, como superadmins. Por isso, é necessário restringir somente o acesso necessário, daquilo que é necessário e nada mais, dificultando que essa movimentação ocorra.

Gestão de acesso privilegiado 

A gestão de acesso privilegiado tem o intuito de proteger contas e identidades que possuem permissões elevadas contra ataques e ameaças cibernéticas, pois eles podem fazer ações que outros usuários não podem, como modificar configurações de servidor, alterar senhas, acessar sistemas de dados corporativos, instalar um novo programa, executar serviços críticos, adicionar perfis de usuário, realizar atividades de manutenção e alterar configurações de rede.

Ao proteger essas contas, impede-se que os hackers tenham acesso a essas configurações críticas.

Use políticas de senhas 

Como visto anteriormente, o acesso SSO não é capaz de proteger um login. Por isso, é necessário implementar políticas robustas de senhas, como o uso da autenticação multifator.

Detecção de anomalias 

Use ferramentas que possam alertar para qualquer atividade inesperada ou anômala, como análise de comportamento de usuário e entidade (UEBA) ou sistemas de detecção de intrusão, pois assim ataques podem ser mitigados de forma mais rápida.

Treinamento de funcionários 

O primeiro passo para conseguir o acesso ao hash de senhas é conseguir entrar no ambiente, e isso acontece, na maioria das vezes, por algum descuido de um funcionário, como cair em um e-mail de phishing ou alguma atualização faltando.

Faça treinamentos de conscientização constantes para que eles aprendam sinais de golpes e se atentem às boas práticas de segurança.

Impeça ataques Pass The Hash com soluções da ManageEngine 

O vazamento de credenciais é um fator de risco para as empresas cada vez maior. Diversos tipos de ataques visam essa vantagem, e o hash de senha, apesar de parecer seguro, sem salvaguardas, pode ocasionar uma invasão.

O PAM360 da ManageEngine é uma solução para a gestão de acessos privilegiados, com análise de comportamento de usuário privilegiado e gerenciamento de certificados SSL. Ele possui cofre de credenciais empresariais para manter os acessos seguros, gestão de elevação e delegação de privilégios com controle just-in-time (JIT), monitoramento das sessões privilegiadas e controles Zero Trust.  Teste gratuitamente.

Já o AD360 é uma solução IAM completa para gerenciar identidades e proteger o acesso, com recursos como gestão do ciclo de vida da identidade, MFA, análise orientada por IA para prevenir ataques cibernéticos, controle de acesso baseado em função para aplicar o princípio do privilégio mínimo, além de auditoria e conformidade do Active Directory. Faça um teste gratuito aqui.

Para completar, o Log360 é a solução SIEM que possui recurso UEBA e módulo de detecção, investigação e resposta a ameaças (TDIR) automatizado, acelerando sua investigação e respostas ao correlacionar eventos.  Faça o teste aqui.

Com o Vulnerability Manager Plus, detecte vulnerabilidades no ambiente, proporcionando visibilidade contínua, avaliação rigorosa e remediação integral de ameaças. Ele possui recursos como avaliação de vulnerabilidades, gestão de patches, mitigação de vulnerabilidade zero-day e auditoria de software de alto risco.

Fique protegido com as soluções da ManageEngine!

Nota: Encontre a revenda da ManageEngine certa. Entre em contato com a nossa equipe de canais pelo e-mail latam-sales@manageengine.com.

Importante: a ManageEngine não trabalha com distribuidores no Brasil.