Что такое Service Account и зачем они нужны

👤 Что такое Service Account? Когда начинают изучать Active Directory, серверную инфраструктуру или облачные сервисы, часто встречают термин Service Account.

📌 Service Account — это специальная учётная запись, которая используется не человеком, а программой, службой, сервером или автоматизированным процессом.

То есть от её имени могут работать: — службы Windows; — базы данных; — системы резервного копирования; — агенты мониторинга; — веб-приложения; — CI/CD-системы; — скрипты автоматизации; — облачные сервисы и API. 🧠 Главное отличие от обычного пользователя Обычная учётная запись принадлежит человеку. Например:

ivan.petrov

Service Account принадлежит сервису или приложению. Например:

svc_backup
svc_sql
svc_zabbix
svc_webapp

💡 Представьте, что в компании работает система резервного копирования. Чтобы она могла подключаться к серверам и сохранять данные, ей нужна учётная запись с определёнными правами. Для этого создают отдельную Service Account:

DOMAIN\svc_backup

Этой учётной записи разрешают доступ только к нужным серверам и папкам. 💀 Почему Service Account интересна пентестерам? Потому что такие учётные записи часто: — имеют повышенные права; — используются сразу на нескольких серверах; — работают круглосуточно; — имеют пароли, которые редко меняются; — запускают важные службы; — могут иметь доступ к базам данных, резервным копиям и внутренним системам. Если злоумышленник получает пароль от Service Account, он может использовать её для дальнейшего перемещения по инфраструктуре. 📌 Типичная цепочка может выглядеть так:

Обычный пользователь
        ↓
Поиск сохранённых учётных данных
        ↓
Компрометация Service Account
        ↓
Доступ к серверу или сервису
        ↓
Перемещение по сети

Не всегда Service Account имеет административные права. Но даже ограниченная техническая учётная запись может дать доступ к важным данным или внутренним системам. 🧠 Service Account в Active Directory В доменной инфраструктуре такие учётные записи часто используются для запуска: — SQL Server; — IIS; — систем мониторинга; — резервного копирования; — планировщика заданий; — корпоративных приложений. Примеры:

DOMAIN\svc_sql
DOMAIN\svc_backup
DOMAIN\svc_monitoring

⚙️ Управляемые Service Account В Active Directory существуют специальные управляемые учётные записи: — MSA — Managed Service Account; — gMSA — Group Managed Service Account. У gMSA пароль автоматически создаётся и меняется средствами Active Directory. Это безопаснее, чем обычная Service Account с постоянным паролем. 🔐 Как защищать Service Account Рекомендуется: — выдавать только минимально необходимые права; — запрещать интерактивный вход; — использовать отдельную учётную запись для каждого сервиса; — регулярно менять пароли и ключи; — не хранить пароль в открытом виде в скриптах; — контролировать входы и действия; — отключать неиспользуемые учётные записи; — по возможности использовать gMSA. 📌 Главная мысль:

Service Account — это техническая учётная запись, через которую программа или сервис получает доступ к другим системам без участия человека.

#infra #ad #windows #serviceaccount #privilege