Методы атак на Kerberos: Kerberoasting и золотой билет

Подбор служебных билетов — это атака, при которой злоумышленник запрашивает билеты Kerberos для служб, зарегистрированных с SPN (служебных учётных записей), затем извлекает зашифрованную часть этих билетов и подбирает её в автономном режиме. Любой пользователь домена может запрашивать служебные билеты для любого SPN; для первоначального извлечения не требуются специальные привилегии.

Пароли служебных учётных записей задаются администраторами и меняются редко, иногда сохраняясь годами или даже бессрочно. Многие организации используют для таких учётных записей слабые, запоминаемые человеком пароли вместо надёжных случайных строк. Поэтому подбор служебных билетов очень эффективен: автономный подбор пароля по служебному билету часто завершается успехом за несколько часов или дней.

Атаки с передачей билета (PtT) включают кражу билетов Kerberos из памяти скомпрометированной системы и внедрение их в другой сеанс. Поскольку билеты Kerberos являются токенами предъявителя и действительны в течение всего срока действия независимо от места использования, украденные билеты предоставляют доступ к службам без знания пароля учётной записи.

Mimikatz — это инструмент с открытым исходным кодом, который может извлекать билеты Kerberos, хеши NTLM и другие учётные данные из памяти процесса Windows LSASS (подсистема локальной службы безопасности). Команда sekurlsa::tickets выгружает все кэшированные билеты Kerberos, позволяя проводить атаки с передачей билета с рабочей станции, подвергшейся компрометации.

Золотой билет — это поддельный TGT, созданный с использованием хеша пароля учётной записи krbtgt. Получив хеш krbtgt с помощью атаки DCSync или в результате компрометации контроллера домена, злоумышленник может подделывать TGT для любого пользователя, назначая любые группы и любой срок действия. Это обеспечивает постоянный доступ ко всему домену даже после сброса паролей.

Серебряный билет — это поддельный служебный билет, созданный с использованием хеша пароля служебной учётной записи. В отличие от золотого билета, серебряный билет не требует хеша krbtgt и не проверяется KDC при использовании. Серебряные билеты имеют более ограниченную область действия — только одна служба, — но их сложнее обнаружить, поскольку они не создают трафик KDC.

Подбор AS-REP нацелен на учётные записи, для которых включён параметр «Не требовать предварительную аутентификацию Kerberos». Без предварительной аутентификации любой злоумышленник может запросить AS-REP для такой учётной записи и получить зашифрованную часть TGT, которую затем можно подобрать в автономном режиме. Учётные записи с этим параметром обычно являются служебными учётными записями или используются для совместимости с устаревшими системами.

Вредоносная программа «скелетный ключ» изменяет процесс KDC в памяти контроллера домена и внедряет универсальный пароль-«скелет», который работает для всех учётных записей, тогда как их настоящие пароли продолжают работать обычным образом. Для развёртывания этой атаки необходим доступ администратора домена, однако она создаёт постоянный скрытый механизм доступа, переживающий большинство методов обнаружения.

Событие Windows ID 4769 (запрос служебного билета Kerberos) с типом шифрования RC4 (0x17) указывает на подбор служебных билетов, поскольку современные легитимные клиенты используют AES. Событие ID 4768 без предварительной аутентификации указывает на цели подбора AS-REP. Необычные запросы билетов для учётных записей, к которым обычно не обращаются, также могут свидетельствовать о попытке передачи билета.

Групповые управляемые служебные учётные записи (gMSAs) являются основной защитой от подбора служебных билетов. gMSAs имеют случайно сгенерированные пароли длиной 240 символов, которые Active Directory автоматически меняет каждые 30 дней. Такие пароли невозможно подобрать криптографическими методами в течение периода их действия, поэтому атаки подбора служебных билетов против gMSAs неэффективны.

Группа безопасности «Защищённые пользователи» применяет к своим участникам строгие политики Kerberos: запрет аутентификации NTLM, запрет шифрования RC4, запрет делегирования учётных данных и минимальный срок действия TGT в 4 часа. Добавление конфиденциальных учётных записей — руководителей и администраторов — в группу «Защищённые пользователи» значительно уменьшает поверхность атак для кражи учётных данных и атак на основе билетов.

Подбор служебных билетов использует слабые пароли служебных учётных записей для автономного взлома служебных билетов. Передача билета повторно использует украденные из памяти билеты. Золотой билет подделывает TGT с помощью хеша krbtgt. Серебряный билет подделывает служебные билеты без проверки KDC. Подбор AS-REP нацелен на учётные записи без предварительной аутентификации. Защита включает gMSAs, неуязвимые для подбора служебных билетов, группу «Защищённые пользователи», принудительное использование только шифрования AES и мониторинг события ID 4769.