เทคนิคการโจมตี Kerberos: Kerberoasting และ Golden Ticket

เคอร์เบอโรสติ้งคือการโจมตีที่ผู้โจมตีร้องขอตั๋วบริการ Kerberos สำหรับบัญชีที่ลงทะเบียนด้วย SPN (บัญชีบริการ) จากนั้นดึงส่วนที่เข้ารหัสของตั๋วเหล่านั้นออกมาและถอดรหัสโดยไม่เชื่อมต่อระบบ บัญชีผู้ใช้โดเมนใด ๆ ก็สามารถร้องขอตั๋วบริการสำหรับ SPN ใด ๆ ได้ จึงไม่จำเป็นต้องมีสิทธิ์พิเศษในการดึงข้อมูลในขั้นแรก

ผู้ดูแลระบบเป็นผู้ตั้งรหัสผ่านของบัญชีบริการ และมักไม่ค่อยเปลี่ยนรหัสผ่าน บางครั้งรหัสผ่านอาจคงเดิมเป็นเวลาหลายปีหรือตลอดไป หลายองค์กรใช้รหัสผ่านที่ไม่รัดกุมและมนุษย์จดจำได้ง่ายสำหรับบัญชีบริการ แทนที่จะใช้ชุดอักขระสุ่มที่รัดกุม ทำให้เคอร์เบอโรสติ้งได้ผลดีมาก โดยการถอดรหัสตั๋วบริการแบบไม่เชื่อมต่อระบบมักสำเร็จภายในไม่กี่ชั่วโมงหรือไม่กี่วัน

การโจมตีแบบส่งต่อตั๋วเกี่ยวข้องกับการขโมยตั๋ว Kerberos จากหน่วยความจำของระบบที่ถูกบุกรุก แล้วฉีดตั๋วเหล่านั้นเข้าไปในเซสชันอื่น เนื่องจากตั๋ว Kerberos เป็นโทเค็นแบบผู้ถือครอง ซึ่งยังใช้ได้ตลอดอายุการใช้งานไม่ว่าจะนำไปใช้ที่ใด ตั๋วที่ถูกขโมยจึงทำให้เข้าถึงบริการต่าง ๆ ได้โดยไม่ต้องทราบรหัสผ่านของบัญชี

Mimikatz เป็นเครื่องมือโอเพนซอร์สที่สามารถดึงตั๋ว Kerberos แฮช NTLM และข้อมูลรับรองอื่น ๆ จากหน่วยความจำของกระบวนการ LSASS (บริการระบบย่อยของหน่วยงานความปลอดภัยภายในเครื่อง) ของ Windows ได้ คำสั่ง sekurlsa::tickets จะถ่ายข้อมูลตั๋ว Kerberos ที่แคชไว้ทั้งหมดออกมา ทำให้สามารถโจมตีแบบส่งต่อตั๋วจากเวิร์กสเตชันที่ถูกบุกรุกได้

ตั๋วทองคำคือตั๋ว TGT ที่ปลอมแปลงขึ้นโดยใช้แฮชรหัสผ่านของบัญชี krbtgt เมื่อได้แฮชของ krbtgt (จากการโจมตีแบบซิงค์ข้อมูลโดเมนหรือการบุกรุกตัวควบคุมโดเมน) ผู้โจมตีจะสามารถปลอมแปลง TGT สำหรับผู้ใช้ใด ๆ พร้อมกำหนดการเป็นสมาชิกกลุ่มใด ๆ และกำหนดระยะเวลาใช้งานใด ๆ ได้ ทำให้เข้าถึงทั้งโดเมนได้อย่างต่อเนื่อง แม้จะมีการตั้งรหัสผ่านใหม่แล้วก็ตาม

ตั๋วเงินคือตั๋วบริการที่ปลอมแปลงขึ้นโดยใช้แฮชรหัสผ่านของบัญชีบริการ ต่างจากตั๋วทองคำ ตั๋วเงินไม่ต้องใช้แฮชของ krbtgt และ KDC จะไม่ตรวจสอบตั๋วระหว่างการใช้งาน ตั๋วเงินมีขอบเขตจำกัดกว่า โดยใช้ได้กับบริการเดียวเท่านั้น แต่ตรวจจับได้ยากกว่า เนื่องจากไม่สร้างการรับส่งข้อมูลไปยัง KDC

การโจมตีแบบรีดข้อมูล AS-REP มุ่งเป้าไปที่บัญชีที่เปิดใช้ตัวเลือก "ไม่ต้องการการยืนยันตัวตนล่วงหน้าของ Kerberos" เมื่อไม่มีการยืนยันตัวตนล่วงหน้า ผู้โจมตีรายใดก็สามารถร้องขอ AS-REP สำหรับบัญชีนั้นและรับส่วน TGT ที่เข้ารหัสไว้ จากนั้นจึงนำไปถอดรหัสโดยไม่เชื่อมต่อระบบได้ บัญชีที่ตั้งค่าสถานะนี้มักเป็นบัญชีบริการหรือการกำหนดค่าเพื่อความเข้ากันได้กับระบบเดิม

มัลแวร์กุญแจโครงกระดูกจะแก้ไขกระบวนการ KDC ในหน่วยความจำของตัวควบคุมโดเมน โดยฉีดรหัสผ่าน "โครงกระดูก" สากลที่ใช้ได้กับทุกบัญชี ขณะที่รหัสผ่านจริงของบัญชียังคงใช้งานได้ตามปกติ การโจมตีนี้ต้องมีสิทธิ์ผู้ดูแลโดเมนเพื่อดำเนินการติดตั้ง แต่จะสร้างช่องทางลับถาวรที่ยังคงอยู่แม้ใช้วิธีตรวจจับส่วนใหญ่

เหตุการณ์ Windows ID 4769 (การร้องขอตั๋วบริการ Kerberos) ที่ใช้ประเภทการเข้ารหัส RC4 (0x17) บ่งชี้ถึงเคอร์เบอโรสติ้ง เนื่องจากไคลเอ็นต์สมัยใหม่ที่ถูกต้องใช้ AES เหตุการณ์ ID 4768 ที่ไม่มีการยืนยันตัวตนล่วงหน้าบ่งชี้ถึงเป้าหมายของการโจมตีแบบรีดข้อมูล AS-REP นอกจากนี้ การร้องขอตั๋วที่ผิดปกติสำหรับบัญชีที่ไม่มีการใช้งานเป็นประจำก็เป็นสัญญาณของกิจกรรมการโจมตีแบบส่งต่อตั๋วที่อาจเกิดขึ้น

บัญชีบริการแบบกลุ่มที่มีการจัดการ (gMSAs) เป็นแนวป้องกันหลักต่อเคอร์เบอโรสติ้ง gMSAs มีรหัสผ่านสุ่มความยาว 240 อักขระ ซึ่ง Active Directory จะสร้างและเปลี่ยนหมุนเวียนโดยอัตโนมัติทุก 30 วัน รหัสผ่านเหล่านี้ไม่สามารถถอดรหัสได้ในทางการเข้ารหัสภายในช่วงเวลาการหมุนเวียน ทำให้การโจมตีแบบเคอร์เบอโรสติ้งต่อ gMSAs ไม่ได้ผล

กลุ่มความปลอดภัยผู้ใช้ที่ได้รับการปกป้องจะใช้นโยบาย Kerberos ที่เข้มงวดกับสมาชิก ได้แก่ ไม่ใช้การยืนยันตัวตนด้วย NTLM ไม่ใช้การเข้ารหัส RC4 ไม่มอบหมายข้อมูลรับรอง และกำหนดอายุการใช้งาน TGT อย่างน้อย 4 ชั่วโมง การเพิ่มบัญชีสำคัญ เช่น ผู้บริหารและผู้ดูแลระบบ ลงในกลุ่มผู้ใช้ที่ได้รับการปกป้องจะลดพื้นที่โจมตีสำหรับการขโมยข้อมูลรับรองและการโจมตีโดยใช้ตั๋วได้อย่างมาก

เคอร์เบอโรสติ้งถอดรหัสตั๋วบริการแบบไม่เชื่อมต่อระบบโดยอาศัยรหัสผ่านบัญชีบริการที่ไม่รัดกุม การโจมตีแบบส่งต่อตั๋วนำตั๋วที่ขโมยจากหน่วยความจำกลับมาใช้ซ้ำ ตั๋วทองคำปลอมแปลง TGT โดยใช้แฮชของ krbtgt ตั๋วเงินปลอมแปลงตั๋วบริการโดยไม่ผ่านการตรวจสอบของ KDC การโจมตีแบบรีดข้อมูล AS-REP มุ่งเป้าไปที่บัญชีที่ไม่มีการยืนยันตัวตนล่วงหน้า แนวป้องกัน ได้แก่ gMSAs ซึ่งไม่เสี่ยงต่อเคอร์เบอโรสติ้ง กลุ่มผู้ใช้ที่ได้รับการปกป้อง การบังคับใช้การเข้ารหัส AES เท่านั้น และการตรวจสอบเหตุการณ์ ID 4769