KerberoastingとAS-REP Roasting

サービスチケットは、サービスアカウントのパスワードハッシュで暗号化されます。ドメインユーザーであれば誰でも、任意のSPNに対応するサービスチケットを要求できます。サービスアカウントのパスワードが弱い場合、チケットをオフラインでクラックできます。

Kerberoastingは、Service Principal Name（SPN）が設定されたアカウントのサービスチケットを要求し、暗号化されたチケットを抽出して、Hashcatでオフラインクラックする攻撃です。昇格した権限は必要なく、ドメインユーザーであれば誰でも実行できます。

PowerView、Impacket、または標準のADツールを使って、SPNが設定されたすべてのサービスアカウントを列挙します。SPNはサービスアカウントとそのサービスを関連付けます。

Rubeus（Windows）とImpacketのGetUserSPNs（Linux）は、どちらもチケットを要求し、クラック可能な形式で出力します。

Kerberoastハッシュにはモード13100（Kerberos 5 TGS-REP）を使用します。最大限の効果を得るには、ルールを適用できる強力なワードリストを使用します。

AS-REP Roastingは、Kerberosの事前認証を必要としない設定が有効なアカウントを標的にします。ASはユーザーのハッシュで暗号化したTGTを返すため、パスワードを知らなくても要求でき、オフラインでクラックできます。

事前認証のないアカウントは設定ミスであり、レガシーアプリケーションによって残されていることがよくあります。PowerViewまたはGetNPUsersを使って列挙します。

AS-REPハッシュにはHashcatのモード18200を使用します。暗号化されたAS応答に対してオフラインで辞書攻撃を行うため、クラックの手順はKerberoastingと同じです。

クラックされたサービスアカウントのパスワードには、高い権限が設定されていることがよくあります。データベース、バックアップソフトウェア、Exchangeを実行するサービスアカウントがドメイン管理者である場合もあります。AS-REPの対象となるアカウントは見落とされやすく、セキュリティ対策も不十分なことが多くあります。

オブジェクトへの書き込みアクセス権がある場合、高価値アカウントに一時的にSPNを追加してKerberoastingを実行し、ハッシュをクラックした後、SPNを削除できます。これにより、必要に応じて特定のアカウントを標的にできます。

Kerberoastingへの防御として、サービスアカウントには25文字以上の長くランダムなパスワードを使用します。より適切な方法として、120文字のパスワードを自動的にローテーションするGroup Managed Service Accounts（gMSA）を使用します。AS-REPに対しては、すべてのアカウントで事前認証を有効にします。

AS-REP Roastingを実行するために必要なアカウント属性は何ですか？

どちらの攻撃も、Kerberosチケットの暗号化の弱点を悪用して、アカウントロックアウトを発生させずにパスワードをオフラインでクラックします。KerberoastingはSPNが設定されたアカウントを標的とし、ドメインユーザーであれば誰でも実行できます。AS-REP Roastingは事前認証のないアカウントを標的とし、認証情報を必要としません。サービスアカウントにはgMSAを使用し、すべてのユーザーで事前認証を必須にして防御します。