Kerberoasting- og Golden Ticket-angreb

For at forstå Kerberoasting- og Golden Ticket-angreb skal du have et klart billede af udstedelsen af Kerberos-servicebilletter. Når en klient vil have adgang til en tjeneste (f.eks. en SQL-server), præsenterer den sin Ticket Granting Ticket (TGT) for domænecontrollerens Ticket Granting Service (TGS). TGS udsteder en Service Ticket, der er krypteret med servicekontoens adgangskodehash. Klienten præsenterer denne billet for tjenesten, som dekrypterer den med sin egen hash for at bekræfte ægtheden. Dette design betyder, at servicebilletter krypteres med den målrettede tjenestes legitimationsoplysning — en afgørende detalje, som Kerberoasting udnytter.

Kerberoasting er et angreb, der udnytter, at enhver godkendt domænebruger kan anmode om en Kerberos-servicebillet til enhver tjeneste, der er registreret med et SPN (Service Principal Name). Angriberen anmoder om servicebilletter til konti med SPN'er, opsnapper de krypterede billetdata og forsøger derefter at knække servicekontoens adgangskode offline — uden yderligere interaktion med Active Directory og uden risiko for kontolåsning. Servicekonti har ofte svage adgangskoder, gamle adgangskoder fra før moderne krav til kompleksitet eller adgangskoder, der aldrig udløber, hvilket gør dem meget sårbare over for knækning offline.

De opsnappede servicebillethashes fra Kerberoasting krypteres som standard med RC4-HMAC (NTLM-hash) (af hensyn til kompatibilitet), som er hurtigere at knække end AES-256-Kerberosbilletter. En angriber indlæser de opsnappede $krb5tgs$23$-hashes i Hashcat eller John the Ripper til ordbogs- og brute force-angreb offline. Almindelige ordlister som RockYou kombineret med regelsæt kan knække de fleste svage servicekonto-adgangskoder på minutter til timer med en almindelig GPU. Når adgangskoden er knækket, har angriberen servicekontoens adgangskode i klartekst, som kan bruges til direkte godkendelse.

Modforanstaltninger mod Kerberoasting retter sig mod tre områder: adgangskodens styrke — servicekonti bør have lange, tilfældige adgangskoder (25 eller flere tegn), som modstår knækning offline selv med GPU-klynger; Group Managed Service Accounts (gMSA) — Windows administrerer automatisk gMSA-adgangskoder (tilfældige værdier på 240 tegn, der udskiftes hver 30. dag), hvilket gør Kerberoasting beregningsmæssigt urealistisk; kryptering udelukkende med AES — konfigurer servicekonti til at kræve AES-256-billetter (msDS-SupportedEncryptionTypes), som knækkes eksponentielt langsommere end RC4; og registrering — opret alarmer ved usædvanligt mange TGS-anmodninger (hændelses-id 4769) for servicekonti fra ikke-standardiserede arbejdsstationer.

KRBTGT-kontoen er en særlig indbygget Active Directory-konto, hvis adgangskodehash bruges til at signere og kryptere alle Kerberos-TGT'er i domænet. Domænecontrolleren bruger KRBTGT-hashen til at oprette TGT'er og validere indgående TGT'er. Det gør KRBTGT-hashen til den mest værdifulde enkeltstående legitimationsoplysning i et Active Directory-miljø — enhver, der har den, kan oprette vilkårlige, fuldt gyldige Kerberos-billetter til enhver bruger, herunder ikke-eksisterende brugere, med ethvert gruppemedlemskab og enhver varighed. KRBTGT-adgangskoden er typisk aldrig blevet ændret i mange organisationer, fordi ændringen kræver omhyggelig koordinering.

Et Golden Ticket-angreb opretter en forfalsket, fuldt gyldig Kerberos-TGT ved hjælp af adgangskodehashen fra den kompromitterede KRBTGT-konto. Angriberen bruger Mimikatz's kerberos::golden-kommando til at generere en TGT til enhver bruger (ofte en falsk konto, der minder om Administrator) med ethvert gruppemedlemskab (typisk inklusive Domain Admins) og enhver gyldighedsperiode (ofte sat til 10 år). Denne forfalskede billet kan ikke skelnes fra en legitim billet af domænecontrolleren, fordi den er kryptografisk gyldig — den blev signeret med den ægte KRBTGT-hash. Et Golden Ticket giver fuldstændig, vedvarende og ubegrænset kontrol over domænet.

Golden Tickets er særligt farlige, fordi de fortsat er gyldige, selv efter at det oprindelige angreb er blevet opdaget og ryddet op. Det hjælper ikke at ændre den målrettede brugers adgangskode — billetten blev forfalsket og var ikke baseret på brugerens rigtige legitimationsoplysninger. Den eneste afhjælpning er at ændre KRBTGT-adgangskoden to gange (første gang for at ugyldiggøre eksisterende billetter og anden gang, fordi der til enhver tid findes to KRBTGT-nøgler til rotationsformål). Ændringer af KRBTGT-adgangskoden kræver dog omhyggelig koordinering: Hvis den ændres forkert, bryder det Kerberos-godkendelsen i hele domænet. Mange organisationer er tilbageholdende med at gennemføre denne afhjælpning, så Golden Tickets forbliver gyldige på ubestemt tid.

Et Silver Ticket ligner et Golden Ticket, men har et mere begrænset anvendelsesområde. Det bruger hashen fra den målrettede servicekonto (i stedet for KRBTGT) til at forfalske en servicebillet udelukkende til den pågældende tjeneste. Med hashen fra en SQL-servers servicekonto kan en angriber f.eks. forfalske en servicebillet, der giver vedkommende enhver form for adgang til SQL-serveren. Silver Tickets er sværere at opdage end Golden Tickets, fordi de omgår domænecontrolleren fuldstændigt — den forfalskede billet går direkte fra angriberen til tjenesten uden kontakt med KDC. Afhjælpning kræver beskyttelse af servicekontoers hashes og overvågning af afvigende adgangsmønstre på følsomme tjenester.

Angribere indhenter KRBTGT-hashen ved hjælp af DCSync-angrebet, som misbruger Active Directory's legitime protokol til domænereplikering. Directory Replication Service (DRS) gør det muligt for domænecontrollere at synkronisere AD-data, herunder adgangskodehashes, med hinanden. En angriber med DCSync-privilegier (typisk Domain Admin, Enterprise Admin eller en konto med tilladelserne Replicating Directory Changes All) kan udgive sig for at være en domænecontroller og anmode om hashreplikering for enhver konto. Mimikatz's lsadump::dcsync-kommando udfører dette angreb udelukkende over netværket — der behøver ikke at køre kode på selve DC'en.

Det er udfordrende, men muligt, at registrere brug af Golden Tickets ved at lede efter afvigelser i Kerberos-billetmetadata: billetter med usædvanligt lange gyldighedsperioder (rigtige billetter har en TGT-gyldighed på 10 timer, mens Golden Tickets ofte sættes til 10 år); hændelses-id 4769, hvor billettens krypteringstype er RC4 (0x17), selv om AES-256 (0x12) er standarden i domænet; kontonavne i billetter, som ikke findes i AD; og manglende hændelses-id 4768 (TGT-anmodning) før hændelses-id 4769 (anmodning om servicebillet) — Golden Tickets springer TGT-anmodningsfasen over, fordi selve TGT'en er forfalsket. En regel i Microsoft Sentinel eller Defender for Identity kan automatisk markere disse mønstre.

Et lagdelt forsvar mod Kerberos-angreb omfatter: brug gMSA til alle servicekonti for at gøre Kerberoasting urealistisk; aktivér kryptering udelukkende med AES for alle konti, især servicekonti med høj værdi, for at maksimere sværhedsgraden ved knækning; begræns DCSync-privilegier — kontrollér konti med replikeringstilladelser, og fjern dem, der ikke bør have dem; aktivér Microsoft Defender for Identity (tidligere ATA), som giver Kerberos-bevidst trusselsregistrering, herunder alarmer i realtid om Golden Ticket, Kerberoasting og DCSync; og implementér en model for opdelt administration, så en kompromitteret Tier 2-konto ikke kan bruges til at få adgang til legitimationsoplysninger på DC-niveau.

I denne lektion lærte du: Kerberoasting anmoder om servicebilletter til SPN-registrerede konti og knækker dem offline — det forhindres af gMSA, stærke adgangskoder og kryptering udelukkende med AES, Golden Ticket-angreb bruger KRBTGT-hashen til at forfalske ubegrænsede TGT'er, hvilket giver vedvarende kontrol over domænet, indtil KRBTGT-adgangskoden nulstilles to gange, og DCSync-angreb replikerer KRBTGT-hashen over netværket uden at køre kode på DC'en — hvilket kræver streng kontrol af DCSync-privilegier. Dernæst undersøger vi MITRE ATT&CK-rammeværket til at kortlægge angribernes teknikker til forsvar.