Главная мысль
Ограничивайте и контролируйте сервисные аккаунты, инвентаризируйте NTLM и сокращайте его использование, защищайте привилегированные учётные данные и сопоставляйте события Kerberos и Windows. Смену ключа KRBTGT после подтверждения репликации контроллеров домена проводите по плану реагирования.
Понимайте роль Kerberos и NTLM
В Windows Active Directory основным протоколом является Kerberos: клиент получает у KDC сначала TGT, затем билет службы для обращения к службе. NTLM (NT LAN Manager) — более старый протокол «запрос — ответ», который сохраняется в некоторых сценариях совместимости. Хеш пароля NTLM не является открытым паролем, однако его применение в подходящем потоке аутентификации создаёт риск Pass-the-Hash. Учитывайте эти различия при анализе журналов и архитектуры.
Сравните типы атак
Эти методы используют разные учётные данные и этапы выдачи билетов Kerberos. Понимание того, какой аккаунт или система скомпрометированы, помогает определить масштаб и приоритет реагирования.
| Метод | Цель и условие | Направление защиты |
|---|---|---|
| Kerberoasting | Зашифрованную часть билета Kerberos, полученного для SPN службы, могут использовать для подбора пароля её учётной записи офлайн. | Длинные уникальные пароли служб, групповые управляемые учётные записи служб (gMSA), где они поддерживаются, минимальные права и мониторинг необычных запросов билетов. |
| Pass-the-Hash | Украденный хеш NTLM используется для аутентификации без восстановления пароля. | Ограничивайте локальные права администратора, разделяйте привилегированные сеансы, оценивайте подходящие механизмы Windows, такие как Protected Users и Credential Guard, сокращайте использование устаревшего NTLM. |
| Silver Ticket | Билет службы Kerberos для конкретной службы подделывается с ключом её сервисного аккаунта и может предъявляться без обращения к KDC. | Защищайте сервисные аккаунты, включайте проверку подписей Kerberos и анализируйте телеметрию службы вместе с данными контроллеров домена. |
| Golden Ticket | После получения ключа KRBTGT создаётся поддельный TGT, потенциально затрагивающий весь домен. | Защищайте контроллеры домена и учётные записи управления инфраструктурой домена (tier 0); при компрометации выполняйте двойной сброс KRBTGT и проверку репликации по процедуре восстановления леса. |
Изучайте сигналы в контексте
Проверяйте запросы TGS к множеству SPN за короткий период, особенно если они исходят от одного пользователя или источника; учитывайте устаревшее шифрование и неожиданную активность сервисной учётной записи. Сопоставляйте время билетов, пользователя, исходное устройство и службу по журналам контроллера домена и сервиса. Если успешная аутентификация сочетается с добавлением в привилегированную группу, необычным удалённым входом или изменением конфигурации службы, начните расследование. Одно событие само по себе не подтверждает атаку.
Планируйте реагирование и восстановление
При инциденте ограничьте подозрительные пользовательские и сервисные аккаунты, смените связанные пароли и ключи с чистой административной станции, учитывайте срок действия сессий и билетов, сохраните журналы и проверьте состояние контроллеров домена. Двойная смена пароля KRBTGT — это часть соответствующего реагирования и восстановления: Microsoft рекомендует после первой смены выждать дольше настроенного максимального срока действия билетов и проверить репликацию домена. Согласуйте сбросы со специалистом по домену и выполняйте их по утверждённому плану восстановления.