تقنيات هجمات Kerberos: Kerberoasting وGolden Ticket

Kerberoasting هو هجوم يطلب فيه المهاجم تذاكر خدمة Kerberos للحسابات المسجّلة باستخدام SPNs (حسابات الخدمة)، ثم يستخرج الجزء المشفّر من تلك التذاكر ويفك تشفيره دون اتصال. ويمكن لأي مستخدم في المجال طلب تذاكر خدمة لأي SPN، ولا يتطلب الاستخراج الأولي أي امتيازات خاصة.

يعيّن المسؤولون كلمات مرور حسابات الخدمة، ونادرًا ما يغيّرونها؛ وقد تظل هذه الكلمات مستخدمة لسنوات أو إلى أجل غير محدد. وتستخدم مؤسسات كثيرة كلمات مرور ضعيفة يسهل على البشر تذكّرها لحسابات الخدمة بدلًا من سلاسل عشوائية قوية. وهذا يجعل Kerberoasting فعالًا للغاية، إذ غالبًا ما ينجح فك تشفير تذكرة الخدمة دون اتصال خلال ساعات أو أيام.

تتضمن هجمات Pass-the-Ticket (PtT) سرقة تذاكر Kerberos من ذاكرة نظام مخترق وحقنها في جلسة أخرى. ولأن تذاكر Kerberos رموز لحاملها، أي تظل صالحة طوال مدة صلاحيتها بغض النظر عن مكان استخدامها، فإن التذاكر المسروقة تمنح الوصول إلى الخدمات دون معرفة كلمة مرور الحساب.

Mimikatz أداة مفتوحة المصدر يمكنها استخراج تذاكر Kerberos وتجزئات NTLM وبيانات اعتماد أخرى من ذاكرة عملية Windows LSASS (Local Security Authority Subsystem Service). ويفرّغ الأمر sekurlsa::tickets جميع تذاكر Kerberos المخزنة مؤقتًا، مما يتيح تنفيذ هجمات Pass-the-Ticket من محطة عمل مخترقة.

إن Golden Ticket هي تذكرة TGT مزوّرة تُنشأ باستخدام تجزئة كلمة مرور حساب krbtgt. وباستخدام تجزئة krbtgt، التي يمكن الحصول عليها عبر هجوم DCSync أو اختراق وحدة تحكم بالمجال، يستطيع المهاجم تزوير تذاكر TGT لأي مستخدم، مع أي عضويات مجموعات ومدة صلاحية يحددها، مما يتيح وصولًا مستمرًا على مستوى المجال حتى بعد إعادة تعيين كلمات المرور.

إن Silver Ticket هي تذكرة خدمة مزوّرة تُنشأ باستخدام تجزئة كلمة مرور حساب الخدمة. وبخلاف Golden Ticket، لا تتطلب Silver Ticket تجزئة krbtgt، ولا يتحقق منها KDC أثناء الاستخدام. وتكون Silver Tickets محدودة أكثر، إذ تقتصر على خدمة واحدة، لكنها أصعب في الاكتشاف لأنها لا تُنشئ أي حركة مرور إلى KDC.

يستهدف AS-REP Roasting الحسابات التي فُعّل لها الخيار «عدم طلب المصادقة المسبقة في Kerberos». ومن دون مصادقة مسبقة، يستطيع أي مهاجم طلب AS-REP لهذا الحساب وتلقّي الجزء المشفّر من تذكرة TGT، ثم محاولة فك تشفيره دون اتصال. وتكون الحسابات التي فعّل لها هذا الخيار عادةً حسابات خدمة أو إعدادات توافق قديمة.

تعمل برمجية Skeleton Key الخبيثة على تعديل عملية KDC في الذاكرة على وحدة تحكم بالمجال، فتحقن كلمة مرور عامة «هيكلية» تعمل مع جميع الحسابات، مع استمرار عمل كلمات المرور الشرعية بصورة طبيعية. ويتطلب تنفيذ هذا الهجوم وصول مسؤول المجال، لكنه ينشئ بابًا خلفيًا مستمرًا يظل فعالًا رغم معظم أساليب الكشف.

يشير معرّف حدث Windows ‏4769 (طلب تذكرة خدمة Kerberos) مع نوع تشفير RC4 ‏(0x17) إلى Kerberoasting، لأن العملاء الحديثين الشرعيين يستخدمون AES. ويشير معرّف الحدث 4768 من دون مصادقة مسبقة إلى أهداف AS-REP Roasting. كما تشير طلبات التذاكر غير المعتادة للحسابات التي لا يُلجأ إليها بانتظام إلى احتمال وجود نشاط Pass-the-Ticket.

تُعد حسابات الخدمة المُدارة من قبل المجموعة (gMSAs) خط الدفاع الأساسي ضد Kerberoasting. إذ تمتلك gMSAs كلمات مرور عشوائية مولّدة تلقائيًا بطول 240 حرفًا، ويُعاد تدويرها تلقائيًا كل 30 يومًا بواسطة Active Directory. ويستحيل فك تشفير هذه الكلمات باستخدام القوة الحاسوبية ضمن فترة التدوير، مما يجعل هجمات Kerberoasting على gMSAs غير فعالة.

تطبّق مجموعة الأمان Protected Users سياسات Kerberos صارمة على أعضائها: منع مصادقة NTLM، ومنع تشفير RC4، ومنع تفويض بيانات الاعتماد، وفرض مدة صلاحية دنيا لتذكرة TGT تبلغ 4 ساعات. وتؤدي إضافة الحسابات الحساسة، مثل حسابات المسؤولين والتنفيذيين، إلى Protected Users إلى تقليل مساحة الهجوم بدرجة كبيرة أمام سرقة بيانات الاعتماد والهجمات القائمة على التذاكر.

يفك Kerberoasting تشفير تذاكر الخدمة دون اتصال باستخدام كلمات مرور حسابات خدمة ضعيفة. ويعيد Pass-the-Ticket استخدام التذاكر المسروقة من الذاكرة. ويزوّر Golden Ticket تذاكر TGT باستخدام تجزئة krbtgt. ويزوّر Silver Ticket تذاكر الخدمة دون تحقق من KDC. ويستهدف AS-REP Roasting الحسابات التي لا تستخدم مصادقة مسبقة. وتشمل وسائل الدفاع: gMSAs، المحصّنة ضد Kerberoasting، ومجموعة Protected Users، وفرض استخدام تشفير AES فقط، ومراقبة معرّف الحدث 4769.