Kerberoasting’i tespit etmek ve önlemek
Güvenlik günlüğünde servis bileti olaylarını (4769) şifreleme türüne göre ayırır, kısa sürede birçok servis için RC4 bileti isteyen hesabı bulur, aynı tespiti bir betiğe çevirirsin; dizinde SPN’li hesapların şifreleme türlerini ve parola yaşlarını denetler, hâlâ RC4 kabul eden hesapları listeler ve önleme planını yazarsın. Saldırgan hesap, kaynak adres ve sertleştirilmiş hesap her labda farklıdır.
Seviye 201 · 50 dk
Kerberoasting şöyle işler: etki alanındaki herhangi bir kullanıcı, SPN’i olan bir servis hesabı için servis bileti isteyebilir. Biletin bir kısmı o servis hesabının parolasından türetilen anahtarla şifrelidir. Saldırgan bileti alır, kendi bilgisayarına götürür ve parolayı çevrimdışı tahmin etmeye çalışır. DC’ye tek bir başarısız giriş bile düşmez; bu yüzden sessiz bir saldırıdır.
Sessiz ama iz bırakır: her bilet isteği DC’de 4769 olayı üretir. Saldırganlar kırması kolay olduğu için RC4 şifrelemeli bilet ister (TicketEncryptionType 0x17); modern istemciler ise AES kullanır (0x12). Kısa sürede çok sayıda servis için RC4 bileti isteyen tek bir hesap, Kerberoasting’in imzasıdır. Çizim bu işaretleri gösteriyor.
Bu derste iki yarıyı birleştireceksin: günlükte saldırıyı bulacak (~/logs/security.jsonl), dizinde ise hangi hesapların hâlâ açık olduğunu denetleyeceksin. Saldırı adımları (bilet isteyip kırmak) bu dersin konusu değildir; amaç tespit ve önlemdir. Lab açıldıktan 30 saniye kadar sonra bu labın dizin değişiklikleri yerinde olur.
Bu derste ne yapacaksın
- Servis biletleri hangi şifrelemeyle?
- RC4 biletlerine yakından bak
- Hesap başına kaç servis?
- Bu adres daha ne yapmış?
- Dizinde hedefler: SPN’li hesaplar
- Hâlâ RC4 kabul edenler
- Tespit kuralı yaz
- Açık hesapların listesi
- Müdahale ve önleme planı
- Kısa sınav
Kazanacağın beceriler
- Kerberoasting’i servis bileti olaylarında tespit etmek (4769, 0x17)
- Güvenlik günlüğünü jq ile okumak ve saymak
- Bir olayın kim, kimi, nereden ve ne zaman sorularını çözmek
- Kerberoasting’e açık SPN’li hesapları denetlemek
- SPN’li hesapların şifreleme türlerini denetlemek (msDS-SupportedEncryptionTypes)
- Tespit kuralını betiğe çevirmek
- Kerberoasting’e karşı önlem planlamak (AES, gMSA, uzun parola)
- Denetim bulgularını yazılı rapora dökmek
← Parola püskürtmeyi (password spraying) tespit etmek · Active Directory güvenliği: denetim ve sıkılaştırma · DCSync ve çoğaltma haklarının kötüye kullanımı →
Ücretsiz başla