👤
Что такое Service Account?
Когда начинают изучать Active Directory, серверную инфраструктуру или облачные сервисы, часто встречают термин
Service Account.
📌 Service Account — это специальная учётная запись, которая используется не человеком, а программой, службой, сервером или автоматизированным процессом.
То есть от её имени могут работать:
— службы Windows;
— базы данных;
— системы резервного копирования;
— агенты мониторинга;
— веб-приложения;
— CI/CD-системы;
— скрипты автоматизации;
— облачные сервисы и API.
🧠 Главное отличие от обычного пользователя
Обычная учётная запись принадлежит человеку.
Например:
ivan.petrov
Service Account принадлежит сервису или приложению.
Например:
svc_backup
svc_sql
svc_zabbix
svc_webapp
💡 Представьте, что в компании работает система резервного копирования.
Чтобы она могла подключаться к серверам и сохранять данные, ей нужна учётная запись с определёнными правами.
Для этого создают отдельную Service Account:
DOMAIN\svc_backup
Этой учётной записи разрешают доступ только к нужным серверам и папкам.
💀 Почему Service Account интересна пентестерам?
Потому что такие учётные записи часто:
— имеют повышенные права;
— используются сразу на нескольких серверах;
— работают круглосуточно;
— имеют пароли, которые редко меняются;
— запускают важные службы;
— могут иметь доступ к базам данных, резервным копиям и внутренним системам.
Если злоумышленник получает пароль от Service Account, он может использовать её для дальнейшего перемещения по инфраструктуре.
📌 Типичная цепочка может выглядеть так:
Обычный пользователь
↓
Поиск сохранённых учётных данных
↓
Компрометация Service Account
↓
Доступ к серверу или сервису
↓
Перемещение по сети
Не всегда Service Account имеет административные права.
Но даже ограниченная техническая учётная запись может дать доступ к важным данным или внутренним системам.
🧠
Service Account в Active Directory
В доменной инфраструктуре такие учётные записи часто используются для запуска:
— SQL Server;
— IIS;
— систем мониторинга;
— резервного копирования;
— планировщика заданий;
— корпоративных приложений.
Примеры:
DOMAIN\svc_sql
DOMAIN\svc_backup
DOMAIN\svc_monitoring
⚙️
Управляемые Service Account
В Active Directory существуют специальные управляемые учётные записи:
—
MSA — Managed Service Account;
—
gMSA — Group Managed Service Account.
У gMSA пароль автоматически создаётся и меняется средствами Active Directory.
Это безопаснее, чем обычная Service Account с постоянным паролем.
🔐
Как защищать Service Account
Рекомендуется:
— выдавать только минимально необходимые права;
— запрещать интерактивный вход;
— использовать отдельную учётную запись для каждого сервиса;
— регулярно менять пароли и ключи;
— не хранить пароль в открытом виде в скриптах;
— контролировать входы и действия;
— отключать неиспользуемые учётные записи;
— по возможности использовать gMSA.
📌 Главная мысль:
Service Account — это техническая учётная запись, через которую программа или сервис получает доступ к другим системам без участия человека.
#infra #ad #windows #serviceaccount #privilege
