Ders 1.21: Kerberos, NTLM ve günlüğe yazdıkları

Etki alanı oturum açmaları Kerberos kullanır: bir bilet verme bileti almak için parolanı bir kez kanıtlarsın, sonra her sunucu için etki alanı denetleyicisinden bir hizmet bileti istersin. Daha eski NTLM, Kerberos yapamayan cihazlar ve uygulamalar için hâlâ sürüyor. Her adım etki alanı denetleyicisine bir güvenlik olayı yazar (4768, 4769, 4771, 4776) ve AD saldırılarının çoğu bu olaylarla tespit edilir. Laboratuvarda bir kullanıcının sabahını DC'nin günlüğünde izliyor, hâlâ kimin NTLM kullandığını buluyor, zayıf RC4 şifrelemesiyle istenmiş bir bileti fark ediyor ve başarısız bir ön kimlik doğrulamayı okuyorsun.

17 dk

Bu derste öğreneceklerin

Kerberos TGT ve hizmet bileti akışını açıklamak
Kerberos'u ve NTLM'i olay kimliklerine eşlemek
Bir kullanıcının oturum açmalarını DC olaylarında izlemek
Kalan NTLM kullanımını bulmak
Zayıf RC4 biletlerini ve başarısız ön kimlik doğrulamayı tanımak

Temel terimler

Kerberos: Bilete dayalı kimlik doğrulama: TGT kim olduğunu kanıtlar, hizmet biletleri tek tek hizmetlere erişim verir.
TGT / hizmet bileti: Oturum açmadan bilet verme bileti / tek bir hizmet (SPN) için, o hizmet hesabının anahtarıyla şifrelenmiş bilet.
Ön kimlik doğrulama: DC bir TGT vermeden önce parolanın bilindiğini kanıtlamak.
NTLM: Kerberos mümkün olmadığında (IP adresleri, eski cihazlar) hâlâ kullanılan daha eski sorgu-yanıt protokolü.
Şifreleme türleri: 0x11/0x12 AES-128/256 (güçlü), 0x17 RC4-HMAC (zayıf, NT özetinden türetilir).

← İstekler, parametreler, çerezler ve oturumlar · Tüm dersler · Zaman, saat dilimleri ve zaman çizelgeleri →