Kerberos-angrebsteknikker: Kerberoasting og Golden Ticket

Kerberoasting er et angreb, hvor en angriber anmoder om Kerberos-tjenestebilletter til konti, der er registreret med SPN'er (tjenestekonti), og derefter udtrækker den krypterede del af billetterne og knækker dem offline. Enhver domænebruger kan anmode om tjenestebilletter til enhver SPN, og der kræves ingen særlige rettigheder for at udføre den indledende udtrækning.

Adgangskoder til tjenestekonti angives af administratorer og ændres sjældent, så de kan bestå i årevis eller på ubestemt tid. Mange organisationer bruger svage, menneskevalgte adgangskoder til tjenestekonti i stedet for stærke, tilfældige tegnstrenge. Det gør Kerberoasting meget effektivt: Offline-knækning af en tjenestebillet lykkes ofte inden for timer eller dage.

Pass-the-Ticket-angreb (PtT) indebærer, at Kerberos-billetter stjæles fra hukommelsen på et kompromitteret system og indsættes i en anden session. Da Kerberos-billetter er bærertokens, der er gyldige i hele deres levetid uanset hvor de bruges, giver stjålne billetter adgang til tjenester uden kendskab til kontoens adgangskode.

Mimikatz er et open source-værktøj, der kan udtrække Kerberos-billetter, NTLM-hashes og andre legitimationsoplysninger fra hukommelsen i Windows-processen LSASS (Local Security Authority Subsystem Service). Kommandoen sekurlsa::tickets dumper alle cachelagrede Kerberos-billetter, så Pass-the-Ticket-angreb kan udføres fra en kompromitteret arbejdsstation.

En Golden Ticket er en forfalsket TGT, der er oprettet ved hjælp af krbtgt-kontoens password-hash. Med krbtgt-hashen, som er indhentet via et DCSync-angreb eller en kompromittering af en domænecontroller, kan en angriber forfalske TGT'er for enhver bruger med vilkårlige gruppemedlemskaber og en vilkårlig gyldighedsperiode. Det giver vedvarende adgang til hele domænet, selv efter nulstilling af adgangskoder.

En Silver Ticket er en forfalsket tjenestebillet, der er oprettet ved hjælp af tjenestekontoens password-hash. I modsætning til en Golden Ticket kræver en Silver Ticket ikke krbtgt-hashen og valideres ikke af KDC under brug. Silver Tickets er mere begrænsede, fordi de kun gælder for én tjeneste, men de er sværere at opdage, da de ikke genererer KDC-trafik.

AS-REP-roasting målretter konti, hvor indstillingen "Kræv ikke Kerberos-forhåndsgodkendelse" er aktiveret. Uden forhåndsgodkendelse kan enhver angriber anmode om en AS-REP for kontoen og modtage den krypterede TGT-del, som derefter kan knækkes offline. Konti med dette flag indstillet er typisk tjenestekonti eller ældre kompatibilitetskonfigurationer.

Skadelig software af typen Skeleton Key ændrer KDC-processen i hukommelsen på en domænecontroller og indsætter en universel "skeleton"-adgangskode, der virker for alle konti, mens deres legitime adgangskoder fortsat fungerer normalt. Angrebet kræver adgang som domæneadministrator for at blive installeret, men skaber en vedvarende bagdør, der overlever de fleste detektionsmetoder.

Windows-hændelses-id 4769 (anmodning om Kerberos-tjenestebillet) med krypteringstypen RC4 (0x17) angiver Kerberoasting, eftersom moderne legitime klienter bruger AES. Hændelses-id 4768 uden forhåndsgodkendelse angiver mål for AS-REP-roasting. Usædvanlige billetanmodninger til konti, der ikke tilgås regelmæssigt, er også tegn på mulig Pass-the-Ticket-aktivitet.

Gruppeadministrerede tjenestekonti (gMSA'er) er det primære forsvar mod Kerberoasting. gMSA'er har tilfældigt genererede adgangskoder på 240 tegn, som Active Directory automatisk udskifter hver 30. dag. Disse adgangskoder er kryptografisk umulige at knække inden for udskiftningsperioden, hvilket gør Kerberoasting-angreb mod gMSA'er ineffektive.

Sikkerhedsgruppen Protected Users anvender strenge Kerberos-politikker for medlemmerne: ingen NTLM-godkendelse, ingen RC4-kryptering, ingen delegering af legitimationsoplysninger og en TGT-levetid på mindst 4 timer. Hvis følsomme konti (ledere, administratorer) føjes til Protected Users, reduceres angrebsfladen for tyveri af legitimationsoplysninger og billetbaserede angreb betydeligt.

Kerberoasting knækker tjenestebilletter offline ved hjælp af svage adgangskoder til tjenestekonti. Pass-the-Ticket genbruger stjålne billetter fra hukommelsen. Golden Ticket forfalsker TGT'er ved hjælp af krbtgt-hashen. Silver Ticket forfalsker tjenestebilletter uden KDC-validering. AS-REP-roasting målretter konti uden forhåndsgodkendelse. Forsvar: gMSA'er (immune over for Kerberoasting), gruppen Protected Users, håndhævelse af udelukkende AES-kryptering og overvågning af hændelses-id 4769.