Resource-Based Constrained Delegation (RBCD) adalah fitur pada Active Directory yang memungkinkan sebuah resource menentukan akun atau service mana yang boleh bertindak atas nama pengguna lain.
Fitur ini berguna untuk kebutuhan delegasi antar-service. Namun, konfigurasi yang terlalu longgar dapat membuka peluang penyalahgunaan hak akses. Microsoft menjelaskan bahwa atribut msDS-AllowedToActOnBehalfOfOtherIdentity digunakan untuk menentukan apakah suatu pihak memiliki izin bertindak atas nama identitas lain pada service yang berjalan menggunakan akun tersebut (dikutip dari: Microsoft Learn – msDS-AllowedToActOnBehalfOfOtherIdentity).
Apa Itu RBCD?
RBCD merupakan mekanisme delegasi pada lingkungan Kerberos Active Directory. Berbeda dengan beberapa model delegasi tradisional, konfigurasi RBCD ditempatkan pada resource yang menerima akses.
Pengaturan tersebut menggunakan atribut:
msDS-AllowedToActOnBehalfOfOtherIdentity
Atribut ini menyimpan informasi keamanan yang menentukan principal mana yang diperbolehkan bertindak atas nama identitas lain. Dengan demikian, RBCD memberikan kontrol delegasi dari sisi resource.
Masalah biasanya muncul ketika attacker berhasil memperoleh hak untuk mengubah konfigurasi delegation pada object tertentu.
Jika sebuah akun yang dikendalikan attacker memiliki hak tulis yang cukup terhadap object target, konfigurasi RBCD dapat disalahgunakan untuk membangun jalur impersonation.
Risikonya menjadi lebih besar dalam Active Directory karena service account dan computer account sering memiliki akses ke resource penting.
Peran Kerberos dalam RBCD
RBCD memanfaatkan kemampuan Kerberos delegation untuk memungkinkan sebuah service meminta tiket atas nama identitas lain.
Secara sederhana, konsepnya melibatkan:
Identitas pengguna.
Akun service atau computer.
Service Principal Name (SPN).
Kerberos Service Ticket.
Konfigurasi delegation pada resource.
Karena proses tersebut berkaitan dengan autentikasi Kerberos, penyalahgunaan RBCD dapat menjadi bagian dari serangan lateral movement atau privilege escalation.
Bagaimana Penyalahgunaan RBCD Terjadi?
1. Attacker Memperoleh Akses Awal
Serangan biasanya dimulai ketika attacker memiliki akun domain atau berhasil menguasai sebuah account yang mempunyai hak tertentu pada object Active Directory.
Tidak semua akun domain otomatis dapat melakukan serangan RBCD. Hak akses terhadap object target menjadi faktor penting.
2. Konfigurasi Delegation Disalahgunakan
Attacker kemudian mencoba memanfaatkan hak tulis terhadap atribut msDS-AllowedToActOnBehalfOfOtherIdentity.
Perubahan tersebut dapat membuat akun yang dikendalikan attacker memperoleh kemampuan delegation terhadap resource tertentu.
3. Kerberos Digunakan untuk Impersonation
Setelah konfigurasi delegation tersedia, mekanisme Kerberos dapat digunakan untuk memperoleh akses service atas nama identitas lain.
Pada tahap ini, dampaknya sangat bergantung pada service dan privilege akun yang menjadi target.
Catatan: detail eksploitasi sebaiknya dilakukan hanya pada lab atau lingkungan pengujian yang memiliki izin.
Apa Dampaknya bagi Active Directory?
Penyalahgunaan RBCD dapat memberikan attacker jalur untuk mendapatkan akses ke service menggunakan identitas yang lebih berprivilege.
Dampak yang mungkin terjadi antara lain:
Privilege escalation
Lateral movement
Unauthorized service access
Account impersonation
Kompromi terhadap server tertentu
Microsoft juga memperingatkan bahwa konfigurasi RBCD yang tidak diperlukan dapat meningkatkan risiko impersonation. Dalam konteks Microsoft Entra Seamless SSO, Microsoft merekomendasikan penghapusan konfigurasi RBCD jika tidak dibutuhkan dan menyarankan pemeriksaan atribut msDS-AllowedToActOnBehalfOfOtherIdentity(dikutip dari: Microsoft Learn – Remove Resource-Based Constrained Delegation).
Cara Mendeteksi RBCD
Periksa Konfigurasi Delegation
Administrator perlu memeriksa object komputer dan service account yang memiliki konfigurasi RBCD.
Perhatian khusus perlu diberikan pada object yang memiliki nilai tidak biasa pada:
msDS-AllowedToActOnBehalfOfOtherIdentity
Konfigurasi tersebut harus dibandingkan dengan kebutuhan operasional sebenarnya.
Pantau Aktivitas Kerberos
Anomali pada Kerberos dapat menjadi indikator penting. Misalnya, aktivitas ticket yang tidak sesuai dengan pola normal sebuah service perlu diperiksa lebih lanjut.
Selain itu, korelasikan event Kerberos dengan aktivitas akun dan perubahan object Active Directory.
Periksa Perubahan Object
Perubahan permission atau atribut sensitif pada computer account juga perlu dipantau.
Dengan centralized logging dan SIEM, perubahan tersebut dapat dikorelasikan dengan identitas administrator serta waktu aktivitas.
Batasi siapa yang dapat mengubah object komputer dan atribut delegation.
Hak seperti GenericWrite, WriteDACL, atau hak administratif lain perlu diberikan secara hati-hati. Semakin banyak akun yang dapat mengubah object sensitif, semakin besar pula permukaan serangannya.
Audit Konfigurasi RBCD
Tidak semua RBCD configuration merupakan malicious activity. Beberapa lingkungan memang membutuhkannya.
Karena itu, administrator sebaiknya membuat daftar resource yang memang membutuhkan delegation. Konfigurasi di luar daftar tersebut perlu ditinjau.
Pantau Active Directory
Gunakan monitoring untuk mendeteksi perubahan pada object penting.
Aktivitas seperti perubahan permission, perubahan atribut delegation, dan pola Kerberos yang tidak biasa dapat menjadi indikator awal.
RBCD vs Constrained Delegation
Keduanya sama-sama berkaitan dengan Kerberos delegation, tetapi model konfigurasinya berbeda.
Pada Constrained Delegation, konfigurasi delegation umumnya ditentukan pada akun yang dipercaya untuk melakukan delegation.
Sementara itu, RBCD menempatkan kontrol pada resource yang menerima delegation. Resource menentukan siapa yang boleh bertindak atas namanya.
Perbedaan tersebut membuat RBCD fleksibel untuk kebutuhan modern. Namun, kontrol permission pada object Active Directory menjadi sangat penting.
Mengapa RBCD Penting Dipahami?
RBCD menunjukkan bahwa keamanan Active Directory tidak hanya bergantung pada password dan authentication.
Permission terhadap object Active Directory juga dapat menjadi bagian penting dari attack surface. Sebuah akun dengan hak tulis yang terlihat sederhana dapat memiliki dampak besar jika diberikan pada object yang sensitif.
Karena itu, audit permission dan delegation perlu menjadi bagian dari keamanan Active Directory secara rutin.
Resource-Based Constrained Delegation (RBCD) adalah mekanisme Kerberos yang memungkinkan resource menentukan akun atau service yang dapat bertindak atas nama identitas lain.
Fitur ini berguna untuk kebutuhan service-to-service authentication. Namun, konfigurasi yang salah atau permission yang terlalu luas dapat menciptakan jalur penyalahgunaan untuk impersonation, privilege escalation, dan lateral movement.
Karena itu, organisasi perlu menerapkan least privilege, audit RBCD, monitoring perubahan Active Directory, serta pemantauan aktivitas Kerberos. Dengan langkah tersebut, risiko penyalahgunaan delegation dapat dikurangi tanpa menghilangkan fungsi RBCD yang memang dibutuhkan.
Seorang Akademisi, Peneliti dan Praktisi TI, mengajar di beberapa perguruan tinggi, Authorized Training Center dan Lembaga Pengembangan SDM TI. Aktif berbagi di komunitas melalui event webinar & sharing session. aktifitas sehari-hari di isi dengan mengajar, menulis di blog, jurnal, media massa, buku dan juga membuat video tutorial. bidang ilmu yang didalami adalah cybersecurity, system administrator, programming, networking, linux, cloud computing, blockchain, data science, artificial intelligence. visit me at sulkiflysaid.com
