Kerberoasting- ja Golden Ticket -hyökkäykset

Kerberoasting- ja Golden Ticket -hyökkäysten ymmärtämiseksi on tärkeää hahmottaa selkeästi Kerberos-palvelulippujen myöntäminen. Kun asiakas haluaa käyttää palvelua, kuten SQL-palvelinta, se esittää Ticket Granting Ticket (TGT) -lippunsa toimialueen ohjauskoneen Ticket Granting Service (TGS) -palvelulle. TGS myöntää Service Ticket -palvelulipun, joka salataan palvelutilin salasanan hashilla. Asiakas esittää tämän lipun palvelulle, joka purkaa sen salauksen oman hashinsa avulla ja varmistaa sen aitouden. Tämä rakenne tarkoittaa, että palveluliput salataan kohdepalvelun tunnistetiedolla — kyseessä on olennainen yksityiskohta, jota Kerberoasting hyödyntää.

Kerberoasting on hyökkäys, jossa hyödynnetään sitä, että kuka tahansa todennettu toimialueen käyttäjä voi pyytää Kerberos-palvelulipun mille tahansa palvelulle, joka on rekisteröity SPN:llä (Service Principal Name). Hyökkääjä pyytää palvelulippuja SPN-tunnuksia käyttäville tileille, kaappaa salatut lippublokit ja yrittää sitten murtaa palvelutilin salasanan offline-tilassa — ilman uutta vuorovaikutusta Active Directoryn kanssa ja ilman tilin lukkiutumisen riskiä. Palvelutileillä on usein heikkoja salasanoja, vanhoja salasanoja, jotka ovat peräisin ajalta ennen nykyisiä monimutkaisuusvaatimuksia, tai salasanoja, jotka eivät vanhene koskaan. Siksi ne ovat erittäin alttiita offline-murtamiselle.

Kerberoastingilla kaapatut palvelulippujen hashit salataan oletusarvoisesti RC4-HMACilla (NTLM-hashilla) yhteensopivuuden vuoksi. Ne ovat nopeammin murrettavissa kuin AES-256:lla salatut Kerberos-liput. Hyökkääjä syöttää kaapatut $krb5tgs$23$-hashit Hashcatille tai John the Ripperille offline-tilassa tehtäviä sanakirja- ja brute force -hyökkäyksiä varten. Tunnetut sanalistat, kuten RockYou, yhdessä sääntökokoelmien kanssa voivat murtaa useimmat heikot palvelutilien salasanat muutamassa minuutissa tai tunnissa tavallisen kuluttajan näytönohjaimella. Kun salasana on murrettu, hyökkääjällä on palvelutilin selväkielinen salasana, jota hän voi käyttää suoraan todentautumiseen.

Kerberoastingin torjunta kohdistuu kolmeen alueeseen: salasanan vahvuus — palvelutileillä tulee olla pitkät ja satunnaiset salasanat (vähintään 25 merkkiä), jotka kestävät offline-murtamisen myös GPU-klustereilla; Group Managed Service Accounts (gMSA) — Windows hallinnoi gMSA-tilien salasanoja automaattisesti (240 merkkiä pitkät satunnaisarvot, jotka vaihdetaan 30 päivän välein), mikä tekee Kereroastingista laskennallisesti mahdotonta; vain AES-salaus — määritä palvelutilit vaatimaan AES-256-lippuja (msDS-SupportedEncryptionTypes), joiden murtaminen kestää eksponentiaalisesti kauemmin kuin RC4-lippujen; sekä havaitseminen — ilmoita poikkeuksellisen suuresta TGS-pyyntöjen määrästä palvelutileille, kun pyynnöt tulevat epätyypillisiltä työasemilta (tapahtumatunnus 4769).

KRBTGT-tili on Active Directoryn erityinen sisäänrakennettu tili, jonka salasanahashia käytetään toimialueen kaikkien Kerberos-TGT-lippujen allekirjoittamiseen ja salaamiseen. Toimialueen ohjauskone käyttää KRBTGT-hashia TGT-lippujen luomiseen ja saapuvien TGT-lippujen vahvistamiseen. Tämän vuoksi KRBTGT-hash on Active Directory -ympäristön arvokkain yksittäinen tunnistetieto — sen haltija voi luoda mielivaltaisia, täysin kelvollisia Kerberos-lippuja mille tahansa käyttäjälle, myös olemattomille käyttäjille, millä tahansa ryhmäjäsenyyksillä ja millä tahansa voimassaoloajalla. KRBTGT-salasanaa ei ole monissa organisaatioissa yleensä vaihdettu koskaan, koska vaihtaminen edellyttää huolellista koordinointia.

Golden Ticket -hyökkäyksessä luodaan väärennetty, täysin kelvollinen Kerberos-TGT vaarantuneen KRBTGT-tilin salasanahashin avulla. Hyökkääjä käyttää Mimikatzin kerberos::golden-komentoa luodakseen TGT:n mille tahansa käyttäjälle, usein tekaistulle Administrator-tyyppiselle tilille, mille tahansa ryhmäjäsenyyksille, tavallisesti myös Domain Admins -ryhmälle, ja millä tahansa voimassaoloajalla, joka asetetaan usein kymmeneksi vuodeksi. Tämä väärennetty lippu ei erotu aidosta lipusta toimialueen ohjauskoneen näkökulmasta, koska se on kryptografisesti kelvollinen — se on allekirjoitettu aidolla KRBTGT-hashilla. Golden Ticket tarjoaa täydellisen, pysyvän ja rajoittamattoman hallinnan toimialueeseen.

Golden Ticketit ovat erityisen vaarallisia, koska ne säilyvät voimassa senkin jälkeen, kun alkuperäinen hyökkäys on havaittu ja torjuttu. Kohteena olevan käyttäjän salasanan vaihtaminen ei auta — lippu on väärennetty, eikä se perustu käyttäjän oikeisiin tunnistetietoihin. Ainoa korjaustoimi on KRBTGT-salasanan vaihtaminen kahdesti: ensimmäinen vaihto mitätöi nykyiset liput ja toinen tarvitaan, koska käytössä on aina kaksi KRBTGT-avainta avainten kierrättämistä varten. KRBTGT-salasanan vaihtaminen edellyttää kuitenkin huolellista koordinointia: väärin tehtynä se rikkoo Kerberos-todennuksen koko toimialueella. Monet organisaatiot eivät halua toteuttaa tätä korjaustoimea, joten Golden Ticketit jäävät voimaan määräämättömäksi ajaksi.

Silver Ticket muistuttaa Golden Ticketiä, mutta sen vaikutusalue on rajatumpi. Siinä käytetään kohdepalvelun palvelutilin hashia KRBTGT:n sijaan ja väärennetään palvelulippu ainoastaan kyseistä palvelua varten. Jos hyökkääjällä on esimerkiksi SQL-palvelimen palvelutilin hash, hän voi väärentää palvelulipun, joka antaa hänelle minkä tahansa käyttöoikeuden kyseiseen SQL-palvelimeen. Silver Ticketeitä on vaikeampi havaita kuin Golden Ticketeitä, koska ne ohittavat toimialueen ohjauskoneen kokonaan — väärennetty lippu siirtyy suoraan hyökkääjältä palvelulle ilman yhteydenottoa KDC:hen. Torjunta edellyttää palvelutilien hashien suojaamista ja arkaluonteisten palvelujen poikkeavien käyttömallien valvontaa.

Hyökkääjät hankkivat KRBTGT-hashin käyttämällä DCSync-hyökkäystä, jossa hyödynnetään Active Directoryn laillista toimialueen replikointiprotokollaa. Directory Replication Service (DRS) mahdollistaa AD-tietojen, kuten salasanahashien, synkronoinnin toimialueen ohjauskoneiden välillä. Hyökkääjä, jolla on DCSync-oikeudet (yleensä Domain Admin, Enterprise Admin tai mikä tahansa tili, jolla on Replicating Directory Changes All -käyttöoikeus), voi esiintyä toimialueen ohjauskoneena ja pyytää minkä tahansa tilin hashien replikointia. Mimikatzin lsadump::dcsync-komento suorittaa hyökkäyksen kokonaan verkon yli — toimialueen ohjauskoneessa ei tarvitse suorittaa koodia.

Golden Ticketien käyttöä on vaikea havaita, mutta se on mahdollista etsimällä poikkeamia Kerberos-lippujen metatiedoista: epätavallisen pitkään voimassa olevia lippuja (oikeat TGT-liput ovat voimassa 10 tuntia, kun taas Golden Ticketit asetetaan usein voimassa oleviksi 10 vuodeksi); tapahtumatunnuksen 4769 tapahtumia, joissa lipun salaustyyppi on RC4 (0x17), vaikka toimialueen oletus on AES-256 (0x12); lippujen tilinimiä, joita ei ole AD:ssä; sekä puuttuvaa tapahtumatunnusta 4768 (TGT-pyyntö) ennen tapahtumatunnusta 4769 (palvelulippupyyntö) — Golden Ticketit ohittavat TGT-pyynnön vaiheen, koska TGT on itsessään väärennetty. Microsoft Sentinelin tai Defender for Identityn säännöllä nämä mallit voidaan tunnistaa automaattisesti.

Kerberos-hyökkäyksiä vastaan tarvitaan kerroksittainen puolustus: käyttäkää gMSA-tilejä kaikissa palvelutileissä, jotta Kerberoastingista tulee käytännössä mahdotonta; ottakaa vain AES-salaus käyttöön kaikilla tileillä, erityisesti arvokkailla palvelutileillä, jotta murtamisen vaikeus kasvaa mahdollisimman suureksi; rajoittakaa DCSync-oikeuksia — tarkastakaa replikointioikeudet omaavat tilit ja poistakaa oikeudet tileiltä, joilla niitä ei pitäisi olla; ottakaa Microsoft Defender for Identity käyttöön (aiemmin ATA), sillä se tarjoaa Kerberos-tietoisen uhkien havaitsemisen ja reaaliaikaiset ilmoitukset Golden Ticket-, Kerberoasting- ja DCSync-hyökkäyksistä; sekä ottakaa käyttöön porrastettu hallintamalli, jotta vaarantunutta Tier 2 -tiliä ei voida käyttää toimialueen ohjauskoneiden tason tunnistetietojen saavuttamiseen.

Tässä oppitunnissa opitte seuraavaa: Kerberoastingissa pyydetään palvelulippuja SPN-tunnuksia käyttäville tileille ja murretaan ne offline-tilassa — hyökkäystä torjutaan gMSA-tileillä, vahvoilla salasanoilla ja vain AES-salausta käyttämällä; Golden Ticket -hyökkäyksissä KRBTGT-hashia käytetään rajattomien TGT-lippujen väärentämiseen, mikä antaa pysyvän hallinnan toimialueeseen ja jatkuu, kunnes KRBTGT-salasana vaihdetaan kahdesti; ja DCSync-hyökkäyksissä KRBTGT-hash replikoidaan verkon yli ilman koodin suorittamista toimialueen ohjauskoneessa — siksi DCSync-oikeuksia on tarkasteltava tiukasti. Seuraavaksi tutustumme MITRE ATT&CK -viitekehykseen, jonka avulla hyökkääjien tekniikoita yhdistetään puolustuskeinoihin.