مصادقة Windows

تتحقق مصادقة Windows من هوية المستخدم قبل منحه الوصول. ويحدث ذلك باستمرار في النطاقات بين العملاء ووحدة تحكم النطاق.

البروتوكولان الرئيسيان هما NTLM (أقدم ويعتمد على الاستجابة للتحدي) وKerberos (حديث ويعتمد على التذاكر). وكلاهما هدف متكرر للهجمات.

لا يخزن Windows كلمات المرور بنص واضح للحسابات المحلية؛ بل يخزن التجزئات في قاعدة بيانات SAM. والتنسيق الأساسي هو تجزئة NT (قيمة MD4 لكلمة المرور).

إذا أفرغ مهاجم هذه التجزئات، فيمكنه كسرها دون اتصال أو إعادة استخدامها مباشرةً.

تجري NTLM المصادقة دون إرسال كلمة المرور:

• يرسل الخادم تحديًا عشوائيًا.
• يشفر العميل التحدي باستخدام تجزئة NT ويرسل الرد.
• يتحقق الخادم (أو وحدة تحكم النطاق) من الاستجابة.

إنه بروتوكول قديم، لكنه لا يزال مفعّلًا في العديد من الشبكات لأسباب تتعلق بالتوافق.

بما أن NTLM تجري المصادقة باستخدام التجزئة بدلًا من النص الواضح، يستطيع المهاجم الذي يسرق تجزئةً ما المصادقة دون الحاجة إلى كسرها.

تُسمى هذه التقنية Pass-the-Hash (PtH)، وهي تقنية قوية للحركة الجانبية ضد NTLM.

يُعد Kerberos البروتوكول الافتراضي في Active Directory. ويستخدم Key Distribution Center (KDC) موثوقًا على وحدة تحكم النطاق، وتذاكر محددة المدة بدلًا من إرسال بيانات الاعتماد مرارًا.

تسلسل Kerberos:

• يصادق المستخدم ويحصل على Ticket Granting Ticket (TGT).
• لاستخدام خدمة، يقدم العميل TGT ويحصل على Service Ticket (TGS).
• تتحقق الخدمة من التذكرة؛ ولا تُرسل أي كلمة مرور.

يطلب Kerberoasting تذاكر خدمة للحسابات التي تشغّل خدمات (SPNs). وتكون التذكرة مشفّرة باستخدام تجزئة كلمة مرور حساب الخدمة.

يستخرج المهاجم التذكرة ويفكّكها دون اتصال لاستعادة كلمة مرور حساب الخدمة.

يمكن أيضًا سرقة تذاكر Kerberos وإعادة استخدامها (Pass-the-Ticket). والأسوأ من ذلك أنه إذا تمكّن المهاجم من اختراق تجزئة حساب krbtgt، فيمكنه تزوير Golden Ticket - وهي TGT ينشئها بنفسه وتمنح وصولًا على مستوى النطاق.

تبدأ هجمات كثيرة باستخراج بيانات الاعتماد من مضيف مخترق. تستخرج الأدوات التجزئات والتذاكر من ذاكرة lsass.exe أو من خلايا SAM/SECURITY.

يُعد Mimikatz الأداة الأشهر، بينما يُعد secretsdump بديلًا شائعًا للوصول عن بُعد.

يقلّل المدافعون هذه المخاطر من خلال:

• تعطيل NTLM حيثما أمكن.
• فرض كلمات مرور قوية وطويلة لحسابات الخدمة.
• حماية lsass باستخدام Credential Guard وPPL.
• تدوير مفتاح krbtgt والحد من إعادة استخدام حسابات المسؤول.

يمكنك فحص سياق المصادقة الحالي وتذاكر Kerberos المخزّنة مؤقتًا من جلسة العمل.

تعرّف على الهجوم الخاص بـ NTLM.

تعلّمت كيفية إجراء Windows للمصادقة وكيفية مهاجمته:

• تتيح تجزئات NT في SAM تنفيذ فكّ التجزئة دون اتصال وهجوم Pass-the-Hash.
• يستخدم Kerberos مكوّن KDC وTGTs وتذاكر الخدمة.
• تستغل هجمات Kerberoasting وPass-the-Ticket وGolden Tickets آلية Kerberos.
• التقوية: تعطيل NTLM، وحماية lsass، واستخدام كلمات مرور قوية للخدمات.

التالي: PowerShell الهجومي.