Hızlı cevap: Kerberos bilet saldırıları, Active Directory'nin kimlik doğrulama protokolü Kerberos'u hedef alan tekniklerdir. Golden Ticket, domain'in ana anahtarını (krbtgt) ele geçirip sahte ve neredeyse sınırsız yetkili bilet üretmektir. Silver Ticket belirli bir servise sahte bilet, Pass-the-Hash parola yerine hash ile giriş, Pass-the-Ticket çalınan bileti yeniden kullanma, AS-REP Roasting ise ön kimlik doğrulaması kapalı hesapların parolasını çevrimdışı kırmaktır. Bunlar iç ağ sızma testlerinde alan yöneticisine giden kritik yollardır.

Kerberos neden hedef alınır?

Kerberos, Windows Active Directory ortamlarında kimlik doğrulamanın temelidir. Kullanıcılar ve servisler birbirini biletler (ticket) üzerinden doğrular. Bu merkezi güven, Kerberos'u saldırganlar için yüksek değerli bir hedef yapar: protokolün güven mekanizması ele geçirilirse, saldırgan meşru kullanıcı gibi davranarak tüm ortama yayılabilir.

Bu saldırıların çoğu, zayıf parolalar, aşırı yetkili servis hesapları ve yanlış yapılandırmalardan beslenir. Yani Kerberos'un kendisi değil, ortamın yapılandırması zafiyeti yaratır.

Başlıca Kerberos saldırıları

Saldırı Ne yapar
Kerberoasting Servis hesabı biletini alıp parolasını çevrimdışı kırma
AS-REP Roasting Ön kimlik doğrulaması kapalı hesapların parolasını kırma
Pass-the-Hash Parola yerine NTLM hash ile kimlik doğrulama
Pass-the-Ticket Çalınan geçerli bir bileti yeniden kullanma
Silver Ticket Belirli bir servis için sahte bilet üretme
Golden Ticket krbtgt anahtarıyla sınırsız yetkili sahte bilet üretme

Golden Ticket en tehlikeli olanıdır: domain'in krbtgt hesabının hash'i ele geçirilirse, saldırgan istediği kullanıcı ve yetkiyle sahte bilet üretebilir ve bu biletler uzun süre geçerli kalır. Bu, domain üzerinde fiili tam kontrol anlamına gelir.

Savunma

  1. Servis hesaplarına çok güçlü ve uzun parolalar verin (Kerberoasting'i zorlaştırır).
  2. Ön kimlik doğrulamasını (pre-authentication) tüm hesaplarda açık tutun (AS-REP'i engeller).
  3. En az yetki ilkesini uygulayın, servis hesaplarını aşırı yetkili yapmayın.
  4. krbtgt hesabının parolasını düzenli olarak (iki kez) döndürün.
  5. Ayrıcalıklı erişimi izleyin ve olağandışı bilet etkinliğini tespit edin.
  6. Katmanlı yönetici modeli (tiered admin) ile kritik hesapları koruyun.

KAOS ve DSET yaklaşımı

DSET, iç ağ ve Active Directory sızma testlerinde Kerberos bilet saldırı yollarını yetkili biçimde test eder ve alan yöneticisine giden gerçek yolu kanıta bağlar. Geliştirdiğimiz KAOS güvenlik motoru, Kerberoasting ve AS-REP gibi yolları değerlendirir. Saha deneyimimizde en sık gördüğümüz sorun, zayıf parolalı ve aşırı yetkili servis hesaplarıdır, bunlar Kerberoasting ile kolay hedeftir. Amacımız domain'in gerçekten ne kadar dirençli olduğunu göstermektir.

Bağlantılı okumalar: Active Directory saldırı teknikleri BloodHound, Active Directory iç ağ sızma testi Kerberoasting, LLMNR NBT-NS zehirlenmesi ve NTLM relay, yetki yükseltme ve yanal hareket, parola kırma Hashcat John, Windows Server sıkılaştırma.

Sık sorulan sorular

Golden Ticket neden en tehlikeli Kerberos saldırısı? Çünkü domain'in ana anahtarı olan krbtgt hesabının hash'ini kullanır. Bu hash ele geçirilirse, saldırgan istediği kullanıcı kimliği ve yetkisiyle sahte Kerberos bileti üretebilir ve bu biletler uzun süre geçerli kalır. Bu, domain üzerinde fiili tam kontrol demektir. Savunma için krbtgt parolası düzenli ve iki kez döndürülmelidir.

Kerberoasting nasıl çalışır? Saldırgan, bir servis hesabına ait Kerberos biletini (TGS) ister; bu bilet servis hesabının parola hash'iyle şifrelenmiştir. Saldırgan bileti alıp çevrimdışı olarak parolayı kırmaya çalışır. Servis hesabının parolası zayıfsa kolayca kırılır. Bu yüzden servis hesaplarına çok güçlü ve uzun parolalar vermek en etkili savunmadır.

Pass-the-Hash'i ne engeller? Pass-the-Hash, parolayı bilmeden NTLM hash ile kimlik doğrulamaktır. Engellemek için en az yetki ilkesi, katmanlı yönetici modeli (yönetici kimlik bilgilerinin düşük güvenli makinelerde kullanılmaması), LAPS ile benzersiz yerel parolalar ve NTLM kullanımının kısıtlanması gerekir. Bir hash ele geçirilse bile, yetkisi dar ve diğer sistemlerde çalışmayan bir hesap zarar veremez.

Kaynaklar

Active Directory ortamınızın Kerberos saldırılarına direncini test etmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.