E 'possibile provocare un attacco DOS su un dominio spoofando la richiesta NTP di DC?

2

Secondo questa pagina :

Be aware that the Network Time Protocol (NTP) is unauthenticated, and unencrypted, and it is possible for an intruder to spoof the time root source, causing the wrong time to be set on the DC.

Ora secondo un articolo sulla configurazione dei server temporali per i controller di dominio, è possibile che si verifichi una perdita di servizio quando l'orario su un controller di dominio cambia:

Active Directory can't work correctly (or at all) if the clock is not synchronized around domain controllers/member machines.

For example, in Kerberos V5, computers that are more than 5 minutes out of sync will not authenticate (which is configurable by GPO: Maximum tolerance for computer clock synchronization in Computer Configuration\Windows Settings\Security Settings\Account Policies\Kerberos Policy).

Another example is replication, Active Directory uses time stamps to resolve replication conflicts.

Supponiamo che un utente malintenzionato sia seduto su una rete e per qualsiasi motivo decida di falsificare il traffico NTP e causare un attacco DOS. Potenzialmente, gli utenti non potevano accedere ad alcuni database, accedere ai loro computer e potrebbe verificarsi una serie di altre cose. Ci sono dei controlli in atto per una cosa del genere, o il server presume che sysadmin stia usando IPsec / altre misure di sicurezza, come suggerito dal primo articolo? Alcune cose si romperanno all'istante, come i database, mentre le pietre tombali Kerberos o AD richiederebbero un po 'di tempo per causare problemi?

Sono abbastanza nuovo nel pasticciare con i domini, questa era solo una cosa che mi chiedevo mentre risolvevo un problema di tempo su una rete.

    
posta cutrightjm 15.12.2014 - 21:10
fonte

1 risposta

2

Sì, in teoria, potresti interferire in modo significativo con Kerberos (che è sensibile al tempo) bloccando il tempo o inviando risposte di tempo strane in risposta alle richieste. Questo è il motivo per cui l'AD si è spostato verso il tempo autenticato e l'SNTP per lo più abbandonato. Intendiamoci, l'NTP (su cui si basano il tempo autenticato e l'SNTP) usa il conteggio del numero, quindi dovresti interrompere più fonti di tempo o falsificare le risposte dalla maggior parte delle fonti di tempo.

    
risposta data 15.12.2014 - 21:27
fonte

Leggi altre domande sui tag