Teknik Serangan Kerberos: Kerberoasting dan Tiket Emas

Kerberoasting adalah serangan ketika penyerang meminta tiket layanan Kerberos untuk akun yang terdaftar dengan SPN (akun layanan), lalu mengekstrak bagian terenkripsi dari tiket tersebut dan memecahkannya secara luring. Setiap pengguna domain dapat meminta tiket layanan untuk SPN apa pun, tanpa memerlukan hak istimewa khusus untuk melakukan ekstraksi awal.

Kata sandi akun layanan ditetapkan oleh administrator dan jarang diubah, kadang bertahan selama bertahun-tahun atau tanpa batas. Banyak organisasi menggunakan kata sandi yang lemah dan mudah diingat manusia untuk akun layanan, bukan rangkaian acak yang kuat. Hal ini membuat Kerberoasting sangat efektif: pemecahan luring tiket layanan sering berhasil dalam hitungan jam atau hari.

Serangan penggunaan ulang tiket (PtT) melibatkan pencurian tiket Kerberos dari memori sistem yang telah disusupi dan menyuntikkannya ke sesi lain. Karena tiket Kerberos adalah token pembawa (valid selama masa berlakunya, di mana pun digunakan), tiket yang dicuri memberikan akses ke layanan tanpa perlu mengetahui kata sandi akun.

Mimikatz adalah alat sumber terbuka yang dapat mengekstrak tiket Kerberos, hash NTLM, dan kredensial lain dari memori proses Windows LSASS (Subsistem Layanan Otoritas Keamanan Lokal). Perintah sekurlsa::tickets membuang semua tiket Kerberos yang disimpan dalam tembolok, sehingga memungkinkan serangan penggunaan ulang tiket dari stasiun kerja yang telah disusupi.

Tiket Emas adalah TGT palsu yang dibuat menggunakan hash kata sandi akun krbtgt. Dengan hash krbtgt (diperoleh melalui serangan DCSync atau kompromi pengendali domain), penyerang dapat memalsukan TGT untuk pengguna mana pun dengan keanggotaan grup apa pun dan masa berlaku apa pun, sehingga memungkinkan akses persisten ke seluruh domain bahkan setelah pengaturan ulang kata sandi.

Tiket Perak adalah tiket layanan palsu yang dibuat menggunakan hash kata sandi akun layanan. Tidak seperti Tiket Emas, Tiket Perak tidak memerlukan hash krbtgt dan tidak divalidasi oleh KDC saat digunakan. Tiket Perak lebih terbatas (hanya untuk satu layanan), tetapi lebih sulit dideteksi karena tidak menghasilkan lalu lintas KDC.

Pemecahan AS-REP menargetkan akun yang mengaktifkan "Jangan memerlukan praautentikasi Kerberos". Tanpa praautentikasi, penyerang mana pun dapat meminta AS-REP untuk akun tersebut dan menerima bagian TGT terenkripsi, yang kemudian dapat dipecahkan secara luring. Akun dengan penanda ini biasanya merupakan akun layanan atau konfigurasi kompatibilitas lama.

Malware Skeleton Key menambal proses KDC di memori pada pengendali domain, menyuntikkan kata sandi universal "kerangka" yang berfungsi untuk semua akun, sementara kata sandi sahnya tetap berfungsi normal. Serangan ini memerlukan akses administrator domain untuk diterapkan, tetapi menciptakan pintu belakang yang menetap dan mampu bertahan terhadap sebagian besar metode deteksi.

Windows ID Peristiwa 4769 (Permintaan Tiket Layanan Kerberos) dengan tipe enkripsi RC4 (0x17) menunjukkan Kerberoasting, karena klien modern yang sah menggunakan AES. ID Peristiwa 4768 tanpa praautentikasi menunjukkan target pemecahan AS-REP. Permintaan tiket yang tidak biasa untuk akun yang tidak rutin diakses juga menandakan kemungkinan aktivitas penggunaan ulang tiket.

Group Managed Service Accounts (gMSAs) adalah pertahanan utama terhadap Kerberoasting. gMSAs memiliki kata sandi sepanjang 240 karakter yang dibuat secara acak dan diganti secara otomatis setiap 30 hari oleh Active Directory. Kata sandi ini secara kriptografis mustahil dipecahkan dalam jangka waktu pergantian, sehingga serangan Kerberoasting terhadap gMSAs menjadi tidak efektif.

Grup keamanan Protected Users menerapkan kebijakan Kerberos yang ketat kepada anggotanya: tanpa autentikasi NTLM, tanpa enkripsi RC4, tanpa delegasi kredensial, dan masa berlaku TGT minimum 4 jam. Menambahkan akun sensitif (eksekutif, administrator) ke Protected Users secara signifikan mengurangi permukaan serangan terhadap pencurian kredensial dan serangan berbasis tiket.

Mengapa Kerberoasting sangat efektif terhadap akun layanan dengan kata sandi yang ditetapkan manusia?

Kerberoasting memecahkan tiket layanan secara luring menggunakan kata sandi akun layanan yang lemah. Serangan penggunaan ulang tiket menggunakan kembali tiket yang dicuri dari memori. Tiket Emas memalsukan TGT menggunakan hash krbtgt. Tiket Perak memalsukan tiket layanan tanpa validasi KDC. Pemecahan AS-REP menargetkan akun tanpa praautentikasi. Pertahanan: gMSAs (kebal terhadap Kerberoasting), grup Protected Users, penerapan enkripsi hanya AES, dan pemantauan ID Peristiwa 4769.