KerberosとKerberoasting

Kerberosはチケットベースの認証プロトコルです。クライアントはパスワードを送信する代わりに、各ドメインコントローラー上で稼働するKey Distribution Center（KDC）が発行した暗号化チケットを提示します。

• Authentication Server（AS）は、Ticket Granting Ticket（TGT）を発行します。
• Ticket Granting Server（TGS）は、サービスチケットを発行します。
• サービスは、DCに接続せずにチケットを検証します。

Kerberosには3つのメッセージ交換があります。これらを理解すると、攻撃がどこに当てはまるのかがわかります。

• AS-REQ / AS-REP: クライアントが本人確認（事前認証）を行い、krbtgtキーで暗号化されたTGTを取得します。
• TGS-REQ / TGS-REP: クライアントがTGTを提示し、サービスチケット（TGS）を要求します。
• AP-REQ / AP-REP: クライアントがTGSをサービスに提示します。

AS-REP Roastingは最初の交換を、Kerberoastingは2番目の交換を攻撃します。

Service Principal Name（SPN）は、サービスのインスタンスと、それを実行するアカウントを対応付けます。SPNに対してTGSを要求すると、発行されたチケットの一部がサービスアカウントのパスワードハッシュで暗号化されます。

これがKerberoastingの核心です。認証済みのユーザーであれば誰でもサービスアカウントのチケットを要求でき、その後、オフラインでクラックして平文のパスワードを復元できます。

サービスチケットであるTGSの要求は通常の動作であるため、Kerberoastingは検知されにくい攻撃です。手順は次のとおりです。

• SPNを持つユーザーアカウントを列挙します。
• それらのSPNに対してTGSチケットを要求します。
• 暗号化されたチケットデータを抽出します。
• ワードリストを使ってオフラインでクラックします。クラック中にDCとのやり取りは必要ありません。

取得したチケットでは、サービスアカウントのパスワードが鍵として使われています。オフラインクラックでは、候補となるパスワードを試し、チケットを正しく復号できるものを探します。

サービスアカウントには、脆弱で長期間ローテーションされていないパスワードが使われていることが多く、短時間でクラックされる可能性があります。

チケットに使われる暗号方式によって、クラックにかかる時間が変わります。

• RC4（etype 23）はクラックが速く、現在も許可されている場合は危険信号です。
• AES（etype 17/18）は、総当たり攻撃に対してはるかに時間がかかります。
• 攻撃者は、/tgtdelegやmsDS-SupportedEncryptionTypesの悪用によって、要求をRC4にダウングレードする可能性があります。

防御側はドメイン全体でRC4を無効にし、AESを強制する必要があります。

関連する攻撃として、Kerberosの事前認証が無効になっているアカウント（DONT_REQ_PREAUTH）を標的にするものがあります。事前認証がなければ、ユーザーのパスワードハッシュで暗号化されたデータをAS-REPから取得できます。認証情報は一切必要ありません。

Kerberoastingが成功するのは、プロトコルの欠陥ではなく、構造的な弱点があるためです。

• 設計上、認証済みのプリンシパルであれば誰でも、任意のサービスチケットを要求できます。
• サービスアカウントは、一度設定された後、脆弱なパスワードのままローテーションされないことがよくあります。
• 高い権限で実行されているアカウントも多くあります（たとえば、Domain Adminsに所属するSQLサービスアカウントなど）。
• クラックは完全にオフラインで行われるため、アカウントロックアウトは発生しません。

防御側は、TGS要求のテレメトリを監視することでRoastingを検知できます。

• イベント4769でRC4（0x17）のチケット要求を監視します。特に、1つのアカウントから短時間に集中して発生している場合は注意が必要です。
• 1つのプリンシパルが短時間に多数の異なるSPNを要求した場合にアラートを出します。
• ハニーポットSPNアカウントを配置します。正規のサービスが使用しないため、要求があれば悪意のある操作と判断できます。

長期的な対策は、チケットをクラック可能にする条件を取り除くことです。

• グループ管理サービスアカウント（gMSA）を使用し、120文字以上のパスワードを自動的にローテーションします。
• 残っている従来型のサービスアカウントには、長く複雑なパスワードを設定します。
• RC4を無効にし、AES暗号化方式を必須にします。
• 不要なSPNを削除し、アカウントに最小権限を適用します。

承認済みのテストでは、隔離された環境でチケットをクラックし、平文の認証情報をエンゲージメントの範囲外へ持ち出してはいけません。どのアカウントをどれだけの速さでクラックできたかを報告し、クライアントが gMSA への移行を優先できるようにします。

クラックされたパスワードは機密情報として扱い、暗号化して保存し、報告後に完全に削除してください。

Kerberosがチケットを発行する仕組みと、その仕組みがどのように悪用されるかを学びました。

• SPNチケットはサービスアカウントのハッシュで暗号化されるため、オフラインでクラックできます。
• RC4チケットは高速にクラックできます。防御策はAESとgMSAです。
• 事前認証が無効になっている場合、AS-REP roastingには認証情報が必要ありません。
• ハニーポットSPNと4769のRC4監視によって攻撃を検知できます。

次は、窃取した認証情報をPass-the-HashとPass-the-Ticketで再利用する方法を扱います。