Comprendere e difendersi dallo sfruttamento di ntds.dit

By Mirko Peters · 2026-08-28

Bentornato sul blog di accompagnamento del podcast! In questo post ci immergiamo a fondo in uno dei file più critici e ad alto rischio di qualsiasi rete aziendale: il n…

Automatically translated with AI from the original post. Read the English original

Bentornato nel blog di accompagnamento al podcast! In questo articolo analizziamo a fondo uno dei file più critici e ad alto rischio di qualsiasi rete aziendale: il database ntds.dit. Se gestisci un'infrastruttura IT o lavori nella cybersecurity, probabilmente hai sentito parlare di questo file, ma capisci davvero come gli attaccanti lo prendono di mira per ottenere il controllo completo del dominio? In questo articolo esploreremo l'anatomia dello sfruttamento di ntds.dit, perché resta un obiettivo privilegiato per i malintenzionati e i passi concreti che puoi compiere per proteggere questo componente vitale di Active Directory da furto di credenziali e replica non autorizzata. Per un approfondimento ancora più ampio sulla protezione della tua infrastruttura di identità, non perdere l'episodio correlato su come rafforzare Azure AD Connect contro le violazioni dell'identità ibrida.

Introduzione ad Active Directory e ntds.dit

Active Directory (AD) è il sistema nervoso centrale degli ambienti IT aziendali moderni. Autentica gli utenti, autorizza l'accesso alle risorse fondamentali e gestisce i criteri in tutta l'organizzazione. Dietro le quinte, però, tutte queste informazioni devono risiedere da qualche parte. Quel posto è un file di database specializzato noto come ntds.dit.

Difendere la rete inizia dal sapere dove sono conservati i gioielli di famiglia. Il file ntds.dit è di fatto il cuore di Active Directory. Senza di esso, i domain controller non possono funzionare e gli utenti non possono accedere. Poiché custodisce le chiavi del regno, è anche il bersaglio ideale per un attaccante che è riuscito a penetrare il perimetro. Per proteggere adeguatamente la rete, occorre prima comprendere l'anatomia di questo file e i gravi rischi legati alla sua compromissione.

Il ruolo del file ntds.dit

Il file ntds.dit (New Technology Directory Services Database) è memorizzato su ogni domain controller di una foresta di Active Directory. Contiene un database completo di tutti i dati della directory, inclusi account utente, account computer, gruppi di sicurezza e, soprattutto, gli hash delle password di ogni utente del dominio.

Quando un utente accede a una workstation o a una condivisione di rete, il domain controller interroga il file ntds.dit per verificarne l'identità. Poiché i sistemi Windows non memorizzano le password in chiaro, il database conserva le rappresentazioni crittografiche di tali password, come gli hash NTLM e le chiavi Kerberos. Se un attaccante ottiene l'accesso non autorizzato a questo singolo file, non ha più bisogno di forzare i singoli account: possiede immediatamente il materiale di autenticazione di ogni utente, servizio e amministratore dell'intera organizzazione.

Come gli attaccanti prendono di mira e sfruttano ntds.dit

Poiché il file ntds.dit è bloccato dal sistema operativo mentre il servizio Active Directory è in esecuzione, gli attaccanti non possono semplicemente copiarlo con copia e incolla da Esplora file. Gli avversari più sofisticati ricorrono quindi a tecniche avanzate per estrarre o duplicare il file senza far scattare allarmi immediati.

Uno dei metodi più diffusi consiste nell'abusare dei protocolli di replica della directory, spesso definito attacco DCSync. In un attacco DCSync, l'avversario utilizza credenziali amministrative compromesse per impersonare un domain controller legittimo. Richiede quindi i dati di replica da un domain controller di destinazione, inducendolo a consegnare il contenuto del file ntds.dit, inclusi tutti gli hash delle password.

In alternativa, gli attaccanti con privilegi locali di Administrator o SYSTEM su un domain controller possono usare utility native di Windows come Volume Shadow Copy Service (VSS) o strumenti specifici per creare uno snapshot del database ed estrarlo in una posizione esterna. Una volta sottratto il file dalla rete, gli attaccanti usano strumenti di cracking offline delle password per invertire gli hash, ottenendo così le password in chiaro degli account con privilegi elevati.

L'impatto delle violazioni del controllo completo del dominio

La estrazione e lo sfruttamento riusciti del file ntds.dit sono un disastro per un'organizzazione. Quando un attaccante riesce a decifrare gli hash delle password ottenuti da questo database, può facilmente prendere di mira gli account Domain Administrator. Con le credenziali di domain admin in mano, la violazione passa da un'infezione localizzata a un collasso strutturale totale.

Le conseguenze del controllo completo del dominio includono:

• Presa di controllo completa della rete: Gli attaccanti possono creare golden ticket, modificare i criteri di gruppo e distribuire malware o ransomware su tutti i computer collegati al dominio contemporaneamente.
• Esfiltrazione dei dati ed estorsione: Con accesso illimitato alle condivisioni file interne e ai database, i malintenzionati possono rubare proprietà intellettuale, registrazioni dei clienti e dati finanziari.
• Accesso persistente: Gli attaccanti possono installare backdoor, come account di amministratore ombra, per mantenere l'accesso anche quando le vulnerabilità iniziali vengono corrette.

L'impatto sul business si traduce direttamente in tempi di inattività prolungati, perdite finanziarie catastrofiche, sanzioni normative e gravi danni alla reputazione, che possono richiedere anni per essere riparati.

Passaggi concreti per proteggere Active Directory e ntds.dit

Proteggere il file ntds.dit richiede un approccio di difesa in profondità che rafforzi i domain controller, limiti i privilegi amministrativi e monitori i vettori di accesso. Non puoi affidarti a un unico controllo di sicurezza per tenere lontani gli attaccanti da questa risorsa critica.

Inizia applicando il principio del privilegio minimo. Assicurati che solo il personale strettamente necessario abbia diritti amministrativi e separa rigorosamente gli account utente standard dagli account amministrativi. Non usare mai gli account domain admin per accedere alle workstation di uso quotidiano o per navigare sul web.

Poi implementa controlli di autenticazione robusti. L'autenticazione a più fattori (MFA) dovrebbe essere obbligatoria per tutti gli accessi amministrativi e per le sessioni di gestione remota. Inoltre, applica standard rigorosi di complessità delle password, richiedendo passphrase lunghe e aggiornamenti regolari, per rendere il cracking offline delle password esponenzialmente più difficile per gli attaccanti che dovessero in qualche modo ottenere i dati degli hash.

Infine, rafforza i domain controller sia fisicamente sia virtualmente. Limita l'accesso amministrativo locale ai domain controller, applica tempestivamente le ultime patch di sicurezza e assicurati che le sale server fisiche siano monitorate e protette da manomissioni non autorizzate.

Rilevare la replica non autorizzata e il furto di credenziali

La prevenzione è fondamentale, ma meccanismi di rilevamento solidi garantiscono che, se un attaccante supera il perimetro, venga individuato prima che possa esfiltrare il file ntds.dit. Poiché gli abusi di DCSync e VSS lasciano tracce forensi specifiche, i team di sicurezza devono configurare monitoraggio e logging continui.

Le principali strategie di rilevamento includono:

• Monitorare gli eventi di replica della directory: Tieni d'occhio l'ID evento 4662 di Windows Security, che registra le operazioni eseguite sugli oggetti del servizio directory. In particolare, cerca richieste o utilizzi di autorizzazioni di replica da parte di computer o account utente inattesi.
• Tenere traccia dell'uso di VSS: Controlla la creazione di copie shadow dei volumi sui domain controller, soprattutto quando viene avviata da processi non standard o da account utente non standard.
• Distribuire strumenti SIEM e di rilevamento delle minacce all'identità: Utilizza soluzioni SIEM (Security Information and Event Management) insieme a strumenti dedicati al monitoraggio di Active Directory per segnalare in tempo reale schemi comportamentali anomali.

Stabilendo una baseline dell'attività normale dei domain controller, il tuo security operations center (SOC) può individuare immediatamente i tentativi di replica non autorizzati e fermare gli attacchi sul nascere.

Buone pratiche per la sicurezza di AD nel lungo periodo e per la difesa

Proteggere Active Directory e difendere il file ntds.dit non è un progetto una tantum, ma un impegno operativo continuo. Man mano che i threat actor evolvono le proprie tecniche, la postura difensiva deve adattarsi di conseguenza.

Inserisci nella tua routine regolare valutazioni e audit di sicurezza di Active Directory. Strumenti come PingCastle e Purple Knight possono aiutarti a individuare configurazioni errate, account inattivi e l'accumulo progressivo di autorizzazioni prima che gli attaccanti possano sfruttarli. Inoltre, assicurati che il piano di risposta agli incidenti tratti specificamente le compromissioni basate sull'identità e includa playbook testati per isolare i domain controller sotto attacco.

Come abbiamo discusso nel nostro episodio di podcast collegato, Harden Azure AD Connect Against Hybrid Identity Breaches, le moderne reti aziendali spesso si estendono tra Active Directory locale e piattaforme cloud come Azure AD. Proteggere il ponte tra la directory locale e il cloud è importante quanto proteggere il file ntds.dit stesso, perché gli attaccanti sfruttano spesso le configurazioni errate degli ambienti ibridi per passare da un ambiente all'altro.

Adottando un approccio proattivo e completo alla sicurezza di Active Directory, che combini i principi del privilegio minimo, il monitoraggio continuo, l'autenticazione avanzata e gli audit regolari, puoi proteggere con efficacia il bene digitale più prezioso della tua organizzazione dalle minacce avanzate all'identità.