Teknik Serangan Kerberos: Kerberoasting dan Golden Ticket

Kerberoasting ialah serangan apabila penyerang meminta tiket perkhidmatan Kerberos untuk akaun yang didaftarkan dengan SPN (akaun perkhidmatan), kemudian mengekstrak bahagian tiket yang disulitkan dan memecahkannya di luar talian. Mana-mana pengguna domain boleh meminta tiket perkhidmatan untuk mana-mana SPN, dan tiada keistimewaan khas diperlukan untuk melakukan pengekstrakan awal.

Kata laluan akaun perkhidmatan ditetapkan oleh pentadbir dan jarang ditukar, kadangkala kekal selama bertahun-tahun atau selama-lamanya. Banyak organisasi menggunakan kata laluan lemah yang mudah diingati manusia untuk akaun perkhidmatan berbanding rentetan rawak yang kukuh. Hal ini menjadikan Kerberoasting sangat berkesan: pemecahan luar talian terhadap tiket perkhidmatan sering berjaya dalam beberapa jam atau hari.

Serangan Lulus-Tiket (PtT) melibatkan pencurian tiket Kerberos daripada memori sistem yang telah terjejas dan menyuntikkannya ke dalam sesi lain. Oleh sebab tiket Kerberos ialah token pembawa (sah sepanjang tempoh hayatnya tanpa mengira tempat tiket itu digunakan), tiket yang dicuri memberikan akses kepada perkhidmatan tanpa perlu mengetahui kata laluan akaun tersebut.

Mimikatz ialah alat sumber terbuka yang boleh mengekstrak tiket Kerberos, cincangan NTLM dan bukti kelayakan lain daripada memori proses Windows LSASS (Subsistem Perkhidmatan Pihak Berkuasa Keselamatan Tempatan). Perintah sekurlsa::tickets mengeluarkan semua tiket Kerberos yang dicache, sekali gus membolehkan serangan Lulus-Tiket daripada stesen kerja yang telah terjejas.

Tiket Emas ialah TGT palsu yang dicipta menggunakan cincangan kata laluan akaun krbtgt. Dengan cincangan krbtgt yang diperoleh melalui serangan DCSync atau pencerobohan pengawal domain, penyerang boleh memalsukan TGT untuk mana-mana pengguna dengan keahlian kumpulan apa-apa pun dan tempoh kesahan apa-apa pun, sekali gus membolehkan akses berterusan ke seluruh domain walaupun selepas kata laluan ditetapkan semula.

Tiket Perak ialah tiket perkhidmatan palsu yang dicipta menggunakan cincangan kata laluan akaun perkhidmatan. Tidak seperti Tiket Emas, Tiket Perak tidak memerlukan cincangan krbtgt dan tidak disahkan oleh KDC semasa digunakan. Tiket Perak lebih terhad (hanya satu perkhidmatan) tetapi lebih sukar dikesan kerana tidak menghasilkan trafik KDC.

Pemecahan AS-REP menyasarkan akaun yang mengaktifkan pilihan "Jangan perlukan prapengesahan Kerberos". Tanpa prapengesahan, mana-mana penyerang boleh meminta AS-REP untuk akaun tersebut dan menerima bahagian TGT yang disulitkan, yang kemudiannya boleh dipecahkan di luar talian. Akaun yang mempunyai bendera ini biasanya ialah akaun perkhidmatan atau konfigurasi keserasian legasi.

Perisian hasad Skeleton Key menampal proses KDC dalam memori pada pengawal domain, lalu menyuntik kata laluan universal "rangka" yang berfungsi untuk semua akaun, sementara kata laluan sahnya terus berfungsi seperti biasa. Serangan ini memerlukan akses pentadbir domain untuk digunakan tetapi mencipta pintu belakang berterusan yang mampu bertahan daripada kebanyakan kaedah pengesanan.

ID Peristiwa Windows 4769 (Permintaan Tiket Perkhidmatan Kerberos) dengan jenis penyulitan RC4 (0x17) menunjukkan Kerberoasting, kerana klien moden yang sah menggunakan AES. ID Peristiwa 4768 tanpa prapengesahan menunjukkan sasaran pemecahan AS-REP. Permintaan tiket yang luar biasa untuk akaun yang tidak kerap diakses juga menandakan kemungkinan aktiviti Lulus-Tiket.

Akaun Perkhidmatan Terurus Kumpulan (gMSAs) ialah pertahanan utama terhadap Kerberoasting. gMSAs mempunyai kata laluan sepanjang 240 aksara yang dijana secara rawak dan diputar ganti secara automatik setiap 30 hari oleh Direktori Aktif. Kata laluan ini mustahil dipecahkan secara kriptografi dalam tempoh putaran, menjadikan serangan Kerberoasting terhadap gMSAs tidak berkesan.

Kumpulan keselamatan Pengguna Dilindungi mengenakan dasar Kerberos yang ketat kepada ahlinya: tiada pengesahan NTLM, tiada penyulitan RC4, tiada pewakilan bukti kelayakan dan tempoh hayat TGT minimum 4 jam. Menambahkan akaun sensitif (eksekutif, pentadbir) kepada Kumpulan Pengguna Dilindungi mengurangkan permukaan serangan untuk kecurian bukti kelayakan dan serangan berasaskan tiket dengan ketara.

Kerberoasting memecahkan tiket perkhidmatan di luar talian menggunakan kata laluan akaun perkhidmatan yang lemah. Lulus-Tiket menggunakan semula tiket yang dicuri daripada memori. Tiket Emas memalsukan TGT menggunakan cincangan krbtgt. Tiket Perak memalsukan tiket perkhidmatan tanpa pengesahan KDC. Pemecahan AS-REP menyasarkan akaun tanpa prapengesahan. Pertahanan: gMSAs (kebal terhadap Kerberoasting), Kumpulan Pengguna Dilindungi, penguatkuasaan penyulitan AES sahaja dan pemantauan ID Peristiwa 4769.