Аутентификация Windows

Аутентификация Windows проверяет личность пользователя перед предоставлением доступа. В доменах это постоянно происходит между клиентами и контроллером домена.

Два основных протокола — NTLM (устаревший, с запросом-ответом) и Kerberos (современный, на основе билетов). Оба протокола часто становятся целями атак.

Windows никогда не хранит пароли локальных учётных записей в открытом виде; вместо этого она хранит хэши в базе данных SAM. Основной формат — хэш NT (MD4-хэш пароля).

Получив эти хэши, атакующие могут взломать их автономно или использовать напрямую.

NTLM выполняет аутентификацию, не передавая пароль:

• Сервер отправляет случайный запрос.
• Клиент шифрует его с помощью хэша NT и отправляет ответ.
• Сервер (или контроллер домена) проверяет ответ.

Это устаревший протокол, но во многих сетях он по-прежнему включён для совместимости.

Поскольку NTLM выполняет аутентификацию с помощью хэша, а не пароля в открытом виде, атакующий, укравший хэш, может пройти аутентификацию, не взламывая его.

Это называется Pass-the-Hash (PtH) — мощный метод горизонтального перемещения в сетях с NTLM.

Kerberos используется по умолчанию в Active Directory. Он обращается к доверенному центру распространения ключей (KDC) на контроллере домена и использует билеты с ограниченным сроком действия вместо многократной передачи учётных данных.

Процесс работы Kerberos:

• Пользователь проходит аутентификацию и получает билет для выдачи билетов (TGT).
• Чтобы использовать службу, клиент предъявляет TGT и получает билет службы (TGS).
• Служба проверяет билет — пароль не передаётся.

Kerberoasting запрашивает сервисные билеты для учетных записей, от имени которых работают службы (SPN). Билет зашифрован хешем пароля сервисной учетной записи.

Злоумышленник извлекает билет и взламывает его в автономном режиме, чтобы восстановить пароль сервисной учетной записи.

Билеты Kerberos также можно украсть и использовать повторно (Pass-the-Ticket). Еще хуже то, что при компрометации хеша учетной записи krbtgt злоумышленник может подделать Golden Ticket — самостоятельно созданный TGT, предоставляющий доступ ко всему домену.

Многие атаки начинаются с извлечения учетных данных с скомпрометированного узла. Инструменты извлекают хеши и билеты из памяти lsass.exe или кустов SAM/SECURITY.

Mimikatz — наиболее известный инструмент; secretsdump — распространенная альтернатива для удаленного использования.

Защитники снижают эти риски следующим образом:

• Отключают NTLM везде, где это возможно.
• Принудительно используют надежные длинные пароли для сервисных учетных записей.
• Защищают lsass (Credential Guard, PPL).
• Регулярно меняют ключ krbtgt и ограничивают повторное использование административных учетных записей.

Из сеанса можно просмотреть текущий контекст аутентификации и кэшированные билеты Kerberos.

Распознайте атаку, характерную для NTLM.

Вы узнали, как Windows выполняет аутентификацию и подвергается атакам:

• Хеши NT в SAM позволяют взламывать их в автономном режиме и выполнять Pass-the-Hash.
• Kerberos использует KDC, TGTs и сервисные билеты.
• Kerberoasting, Pass-the-Ticket и Golden Tickets используют уязвимости Kerberos.
• Усиление защиты: отключение NTLM, защита lsass, надежные пароли служб.

Далее: наступательный PowerShell.