Apa itu penetration testing Active Directory?

Penetration testing Active Directory adalah pengujian keamanan internal yang mensimulasikan penyerang yang sudah punya foothold di dalam jaringan Anda — karyawan yang kena phishing, laptop yang dikompromikan, atau perangkat asing — dan berupaya naik dari posisi berprivilege rendah itu menjadi kendali penuh atas domain Windows (Domain Admin). Pengujian ini memetakan jalur eskalasi privilege dan lateral movement nyata di lingkungan AD Anda dan menunjukkan persis bagaimana penyusup berpindah dari satu akun ke kunci seluruh estate.

Mengapa Active Directory menjadi target bernilai tinggi?

Active Directory adalah sistem autentikasi dan otorisasi pusat bagi sebagian besar jaringan korporat — ia mengontrol siapa yang bisa mengakses hampir setiap server, aplikasi, dan file share. Karena peran sentral itu, mengompromikan Active Directory umumnya berarti mengompromikan seluruh organisasi sekaligus: satu jalur ke Domain Admin bisa membuka setiap sistem yang diatur domain. Itulah mengapa penyerang memprioritaskannya dan mengapa mengujinya secara khusus itu penting.

Apa itu model assumed breach?

Model assumed breach memulai pengujian dari posisi penyerang yang sudah berada di dalam — biasanya dengan akun domain user standar atau perangkat di jaringan internal — alih-alih menghabiskan engagement mencoba menerobos dari internet. Ini mencerminkan kenyataan: sebagian besar insiden serius bermula dari satu pengguna yang kena phishing atau endpoint yang dikompromikan, jadi pertanyaan berharganya bukan 'bisakah mereka masuk?' melainkan 'begitu di dalam, sejauh mana mereka bisa melangkah?'

Apa yang ditemukan pentest Active Directory?

Temuan umum meliputi password service account yang lemah atau dipakai ulang dan terekspos lewat Kerberoasting, akun tanpa Kerberos pre-authentication (AS-REP roasting), miskonfigurasi ACL dan delegasi berbahaya yang memungkinkan eskalasi privilege, kelemahan Active Directory Certificate Services, penggunaan ulang kredensial yang memungkinkan lateral movement, ketiadaan tiering antara akun admin dan pengguna, serta akun usang berprivilege berlebih. Masing-masing dilaporkan sebagai bagian dari jalur serangan konkret dari foothold awal hingga Domain Admin.

Penetration Testing Active Directory: Dari Foothold ke Domain Admin

Penetration test Active Directory mensimulasikan penyerang yang sudah berada di dalam jaringan Anda — melalui karyawan yang kena phishing, laptop yang dikompromikan, atau perangkat yang ditanam — dan menelusuri jalur nyata dari foothold berprivilege rendah itu menuju Domain Admin. Pengujian ini memetakan rute eskalasi privilege dan lateral movement di domain Windows Anda dan membuktikan persis bagaimana penyusup mengubah satu akun biasa menjadi kendali atas segalanya. Karena Active Directory mengautentikasi akses ke hampir setiap sistem di sebuah enterprise pada umumnya, ia adalah hal paling berkonsekuensi untuk diuji, dan satu jalur lemah yang melaluinya bisa menyerahkan seluruh estate.

Jika Anda berjalan di atas infrastruktur Windows on-premise, inilah asesmen yang menjawab pertanyaan yang benar-benar penting dalam sebuah pelanggaran. Ia adalah bagian inti dari infrastructure penetration test; berikut seperti apa engagement-nya dari dalam.

Mengapa Active Directory adalah hadiahnya

Active Directory (AD) adalah sistem saraf pusat sebagian besar jaringan korporat. Ia menentukan siapa yang bisa masuk ke server mana, membuka file share mana, dan menjalankan aplikasi mana — single sign-on di seluruh estate. Peran sentral itu sekaligus risikonya: kompromikan AD dan Anda mengompromikan organisasi dalam satu gerakan. Penyerang yang mencapai Domain Admin tak perlu menerobos sistem satu per satu; domain sudah memercayainya di mana-mana. Itulah mengapa kelompok ransomware maupun aktor negara menjadikan AD sasaran pertama, dan mengapa ia layak diuji tersendiri alih-alih disatukan dengan pemindaian jaringan generik.

Titik awal assumed-breach

Pentest AD yang kredibel tidak menghabiskan engagement mencoba menerobos dari internet. Ia memakai model assumed-breach: kami memulai dari tempat insiden nyata bermula — akun domain user standar atau perangkat di jaringan internal, setara dengan satu karyawan mengeklik tautan phishing. Ini disengaja. Secara empiris, begitulah hampir setiap pelanggaran besar bermula, sehingga pertanyaan bernilai tingginya bukan “bisakah penyerang masuk?” melainkan “begitu satu pengguna dikompromikan, sejauh mana ia bisa menjangkau?” Memulai dari foothold menaruh seluruh anggaran engagement untuk menjawab itu.

Rantai serangan yang kami telusuri

Dari foothold itu, pengujian mengikuti rantai yang sama seperti penyusup sungguhan. Setiap mata rantai adalah tempat untuk menghentikan mereka.

1. Enumerasi dan pemetaan jalur serangan. Langkah pertama adalah memahami medannya. Alat seperti BloodHound (dengan kolektor SharpHound) menyerap pengguna, grup, sesi domain, dan — yang krusial — ACL (relasi kontrol akses) di antara mereka, lalu menghitung jalur terpendek dari foothold kami ke Domain Admin. Lingkungan AD menumpuk relasi ini selama bertahun-tahun; BloodHound memunculkan rantai tak kasat mata yang akan terlewat oleh manusia.

2. Serangan kredensial. Dengan peta di tangan, tujuannya adalah lebih banyak kredensial:

Kerberoasting — setiap domain user bisa meminta tiket layanan Kerberos (TGS) untuk akun yang menjalankan service (yang punya SPN). Tiket itu dienkripsi dengan hash password service account, yang bisa di-crack secara offline. Service account sering punya password lemah yang tak pernah dirotasi dan berprivilege tinggi, menjadikannya salah satu rute eskalasi paling andal.
AS-REP Roasting — akun yang dikonfigurasi tanpa Kerberos pre-authentication membocorkan hash yang dapat di-crack kepada peminta tak terautentikasi mana pun. Kemenangan cepat di tempat yang ada.
Password spraying — mencoba satu password umum terhadap banyak akun (alih-alih banyak password terhadap satu) untuk menemukan kredensial lemah tanpa memicu lockout.

3. Lateral movement. Dengan kredensial di tangan, penyerang menyebar ke samping:

Pass-the-Hash / Pass-the-Ticket — mengautentikasi dengan hash NTLM atau tiket Kerberos curian tanpa pernah tahu password plaintext-nya.
NTLM relay dan pemaksaan autentikasi — teknik seperti PetitPotam dan printer bug memaksa sebuah mesin (bahkan Domain Controller) mengautentikasi ke penyerang, yang sesinya lalu di-relay ke layanan istimewa. Jalur yang sering langsung menuju kompromi domain.

4. Eskalasi privilege. Peta dari langkah 1 biasanya mengungkap rantai miskonfigurasi kecil yang berjenjang naik ke admin:

Penyalahgunaan ACL — hak berbahaya seperti GenericAll, WriteDACL, atau WriteOwner atas objek istimewa memungkinkan penyerang mereset password, menambahkan dirinya ke grup, atau mengambil kepemilikan.
Penyalahgunaan delegasi — miskonfigurasi unconstrained, constrained, dan resource-based constrained delegation (RBCD) yang memungkinkan impersonasi pengguna mana pun, termasuk Domain Admin.
Active Directory Certificate Services (ADCS) — template sertifikat yang salah konfigurasi (keluarga ESC1–ESC8) yang memungkinkan pengguna berprivilege rendah mendaftarkan sertifikat yang menyamar sebagai akun berprivilege tinggi — salah satu kelas serangan AD modern paling berdampak.
DCSync — menyalahgunakan hak replikasi untuk meminta Domain Controller memberikan hash password setiap pengguna, termasuk akun krbtgt.

5. Dominasi domain. Mencapai Domain Admin atau hash krbtgt berarti kendali total — dan kemampuan memalsukan Golden Ticket untuk akses persisten yang nyaris tak terdeteksi. Pada titik ini pengujian memperagakan kompromi penuh lalu berhenti; nilainya ada pada jalur yang terbukti, bukan pada menimbulkan kerusakan.

Miskonfigurasi yang menyerahkan domain

Akar masalah yang sama muncul berulang kali, dan semuanya bisa diperbaiki:

Service account dengan password lemah dan privilege berlebih (tambang emas Kerberoasting).
Grup berprivilege berlebih dan akun usang yang tak pernah dibersihkan.
Tiadanya tiering antara akun administratif dan harian, sehingga satu kompromi workstation menjangkau kredensial Domain Admin.
LAPS yang hilang, menyisakan password local-admin identik di setiap mesin.
ACL dan delegasi berbahaya yang tertinggal dari proyek lama.
Template ADCS yang rentan secara default.

Apa yang Anda dapatkan

Pentest AD memberikan sesuatu yang tak pernah bisa diberikan pemindaian kerentanan: jalur serangan yang sebenarnya. Laporan menunjukkan rantai spesifik dari foothold awal ke Domain Admin — akun ini, miskonfigurasi ini, tiket ini — dengan tiap langkah dapat direproduksi dan tiap temuan dinilai keparahannya (lihat cara kami menilai dengan CVSS). Yang krusial, memutus satu mata rantai mana pun menghentikan seluruh serangan, sehingga remediasi diprioritaskan pada perbaikan termurah berdampak tertinggi. Anda pergi dengan mengetahui bukan sekadar bahwa kelemahan ada, melainkan rute persis yang akan ditempuh penyerang dan di mana memutusnya.

Ini bersifat grey-box secara alami — kami butuh foothold awal itu agar realistis; lihat jenis-jenis penetration testing untuk alasannya, dan metodologi kami untuk cara tiap engagement berjalan.

Kesimpulan

Active Directory adalah kunci induk sebagian besar enterprise, sehingga ia layak diuji secara khusus dengan model assumed-breach: mulai dari satu pengguna yang dikompromikan, lalu buktikan jalur ke Domain Admin melalui enumerasi, serangan kredensial seperti Kerberoasting, lateral movement, dan eskalasi privilege. Hasilnya adalah rantai serangan nyata dan perbaikan terprioritaskan yang memutusnya.

Berjalan di Windows on-premise? Hubungi kami dan kami susun ruang lingkup asesmen Active Directory untuk domain Anda.