Əsas fikir
Xidmət hesablarını məhdudlaşdırın və idarə edin, NTLM-i inventarlaşdırın və imkan daxilində azaldın, imtiyazlı məlumatı qoruyun, Kerberos və Windows hadisələrini əlaqələndirin. KRBTGT açarının yenilənməsi insident cavab planı ilə domain controller replikasiyası təsdiqləndikdən sonra aparılmalıdır.
Kerberos və NTLM rollarını anlayın
Windows Active Directory-də Kerberos əsas protokoldur: müştəri əvvəlcə KDC-dən TGT, sonra xidmətə giriş üçün xidmət bileti alır. NTLM (NT LAN Manager) daha köhnə sorğu-cavab protokoludur və bəzi uyğunluq ssenarilərində istifadə olunur. NTLM parol heşi açıq parol deyil, lakin uyğun autentifikasiya axınında onun istifadəsi Pass-the-Hash riskinə səbəb ola bilər. Bu fərqləri jurnal və arxitektura qiymətləndirməsində saxlayın.
Hücumların fərqini müqayisə edin
Bu texnikalar müxtəlif etimadnamələri və Kerberos bilet mərhələlərini hədəfləyir. Hansı hesabın və sistemin pozulduğunu müəyyən etmək cavabın əhatəsini və prioritetini təyin edir.
| Texnika | Hədəf və tələb | Müdafiə istiqaməti |
|---|---|---|
| Kerberoasting | Xidmətin SPN-i üçün alınmış Kerberos xidmət biletinin şifrələnmiş hissəsi xidmət hesabının parolunu oflayn təxmin etmək üçün istifadə oluna bilər. | Uzun, unikal xidmət hesabı parolları, uyğun olduqda idarə olunan xidmət hesabları (gMSA), minimal səlahiyyətlər və qeyri-adi bilet sorğularının izlənməsi. |
| Pass-the-Hash | Oğurlanmış NTLM heşi parol bərpa edilmədən autentifikasiya üçün istifadə olunur. | Yerli administrator hüquqlarını məhdudlaşdırın, imtiyazlı sessiyaları ayırın, Protected Users və Credential Guard kimi uyğun Windows nəzarətlərini qiymətləndirin; köhnə NTLM istifadəsini azaldın. |
| Silver Ticket | Xidmət hesabının açarı ilə müəyyən xidmət üçün xidmət bileti saxtalaşdırılır; KDC-dən keçmədən xidmətə təqdim edilə bilər. | Xidmət hesablarını qoruyun, Kerberos imza yoxlamasını aktiv saxlayın, xidmət və DC telemetriyasını birlikdə təhlil edin. |
| Golden Ticket | KRBTGT açarı əldə ediləndən sonra saxta TGT yaradılır; domen üzrə təsirə yol aça bilər. | Domen nəzarətçilərini və domenin əsas idarəetmə hesablarını (tier 0) qoruyun; domenin təhlükəsizliyi pozulduqda Active Directory forest strukturunun bərpası proseduruna uyğun iki mərhələli KRBTGT sıfırlaması və replikasiya yoxlaması edin. |
Göstəriciləri kontekstlə araşdırın
TGS sorğularında bir istifadəçi və ya mənbədən çoxsaylı xidmət SPN-lərinə qısa müddətdə müraciətləri, zəif və ya köhnə şifrləmə istifadəsini və xidmət hesabının gözlənilməz aktivliyini araşdırın. DC və xidmət jurnallarında biletlərin vaxtını, istifadəçini, mənbə cihazını və xidmət resursunu tutuşdurun. Uğurlu autentifikasiya, yeni imtiyaz qrupuna əlavə, qeyri-adi uzaq giriş və servis konfiqurasiya dəyişikliyi bir yerdə görünürsə, hadisə üzrə araşdırma başladın. Tək bir hadisə identifikatoru hücumu təsdiq etmir.
Cavab və bərpanı planla aparın
Hadisə zamanı şübhəli istifadəçi və xidmət hesablarını məhdudlaşdırın, əlaqəli parol və açarları təmiz idarəetmə cihazından dəyişin, sessiya və biletlərin etibarlılığını nəzərə alın, jurnalları qoruyun və domen nəzarətçilərinin vəziyyətini yoxlayın. KRBTGT parolunu iki dəfə dəyişmək yalnız uyğun insident və bərpa addımıdır: Microsoft təlimatı birinci dəyişiklikdən sonra biletin konfiqurasiya edilmiş maksimum etibarlılıq müddətindən uzun gözləməyi və domen replikasiyasını yoxlamağı tələb edir. Sıfırlamaları domen mütəxəssisi ilə razılaşdırın və təsdiqlənmiş bərpa planı üzrə aparın.