Servis hesapları ve parolası hiç dolmayan hesaplar
Servis hesaplarını envantere alır, SPN’li hesapları ve Kerberoasting riskini, parolası hiç dolmayan, parola gerektirmeyen ve ön kimlik doğrulaması kapalı hesapları userAccountControl bitleriyle bulur, parola yaşını tarihe çevirir; sonunda her labda farklı olan riskli hesapları kendin listeler ve önerileriyle raporlarsın.
Seviye 201 · 45 dk
Bir uygulama (veritabanı, web sitesi, yedekleme yazılımı) etki alanında bir kimlikle çalışır: servis hesabı. Bunlar insanların hesaplarından daha tehlikelidir: çoğu zaman güçlü yetkileri vardır, parolaları yıllarca değişmez ve kimse onlarla oturum açmadığı için kötüye kullanım fark edilmez.
Bir hesaba SPN (Service Principal Name, "bu hesap şu hizmeti çalıştırır" etiketi) eklendiğinde, etki alanındaki herhangi bir kullanıcı o hizmet için bilet isteyebilir. Bilet, hesabın parolasından türetilen anahtarla şifrelenir. Parola zayıfsa saldırgan bileti alıp kendi bilgisayarında tahmin yoluyla kırmayı dener: buna Kerberoasting denir. Savunmacının işi, bu riski taşıyan hesapları bulmak ve kapatmaktır: uzun rastgele parola ya da yönetilen servis hesabı (gMSA).
Bu bölümde yardım daha az: ilk iki adım hazır, sonra elle yazacak, son üç adımda yalnızca hedefi göreceksin. Hesapların bir kısmı her labda rastgele seçilir; cevapları başkasından alamazsın.
Bu derste ne yapacaksın
- Servis hesabı envanteri
- SPN’li hesaplar
- Parolası hiç dolmayanlar: UAC biti 65536
- Parolanın yaşı: pwdLastSet
- Parola gerekmeyen hesap: bit 32
- Ön kimlik doğrulaması kapalı hesaplar: bit 4194304
- Kerberoasting’e açık hesaplar listesi
- Etkin ve parolası hiç dolmayan hesaplar
- Servis hesabı raporu
- Kısa sınav
Kazanacağın beceriler
- Servis hesaplarını envantere almak
- Kerberoasting’e açık SPN’li hesapları denetlemek
- userAccountControl bitlerini 803/804 kurallarıyla süzmek
- Parolası hiç dolmayan etkin hesapları bulmak
- Windows FILETIME zamanlarını tarihe çevirmek
- Parola gerektirmeyen hesapları bulmak (UAC 32)
- Ön kimlik doğrulaması kapalı hesapları bulmak
- Servis hesabı risklerini önerileriyle raporlamak (gMSA)
← Kullanılmayan ve devre dışı hesapları bulmak · Active Directory güvenliği: denetim ve sıkılaştırma · Parola ilkesi ve ayrıntılı parola ilkeleri (FGPP) →
Ücretsiz başla