Ders 2.11: Hizmet hesapları ve Kerberoasting
Herhangi bir etki alanı kullanıcısı, hizmet asıl adı (SPN) olan herhangi bir hesap için bir Kerberos hizmet bileti isteyebilir ve o biletin bir kısmı hesabın parolasıyla şifrelenmiştir. Saldırganlar her hizmet hesabı için bilet ister ve onları çevrim dışı kırmaya çalışır: Kerberoasting. Eski, insanların seçtiği parolalar ve RC4 şifrelemesi bunu kolaylaştırır; Domain Admins'teki bir hizmet hesabı onu felakete dönüştürür. Laboratuvarda Northwind'in SPN'li hesaplarını listeliyor, ayrıcalıklı ve zayıf olanları buluyor, dün geceki bilet patlamasını DC günlüğünde tespit ediyor ve en kötü riskleri kaldırıyorsun.
18 dk
Bu derste öğreneceklerin
- SPN'leri ve Kerberoasting'i açıklamak
- SPN'li kullanıcı hesaplarını bulmak
- Ayrıcalıklı ve zayıf hizmet hesaplarını fark etmek
- 4769 olaylarında Kerberoasting'i tespit etmek
- gMSA, AES ve en az yetkiyle azaltmak
Temel terimler
- SPN
- Hizmet asıl adı: Kerberos'un bir hizmet için kullandığı, onu çalıştıran hesaba kaydedilmiş tanımlayıcı.
- Kerberoasting
- SPN hesapları için hizmet biletleri isteyip hesap parolalarını çevrim dışı kırmak.
- gMSA
- Grup yönetilen hizmet hesabı: AD 120 karakterlik bir parola üretir ve onu otomatik olarak döndürür; yalnızca izin verilen sunucular onu alabilir.
- msDS-SupportedEncryptionTypes
- Bir hesabın kabul ettiği Kerberos şifreleme türlerinin bit maskesi: 4 RC4, 8 AES-128, 16 AES-256.
- pwdLastSet
- Hesabın parolasının en son ne zaman ayarlandığı, FILETIME olarak.
← Aynı köken ilkesi ve CORS · Tüm dersler · Sysmon ve süreç ağaçları →