მთავარი დასკვნა
შეზღუდეთ და მართეთ სერვისის ანგარიშები, აღრიცხეთ და შეძლებისდაგვარად შეამცირეთ NTLM, დაიცავით პრივილეგირებული ავტორიზაციის მონაცემები და დააკავშირეთ Kerberos‑ისა და Windows‑ის მოვლენები. KRBTGT‑გასაღები ინციდენტის გეგმით შეცვალეთ დომენის კონტროლერის რეპლიკაციის დადასტურების შემდეგ.
გაიგეთ Kerberos‑ისა და NTLM‑ის როლები
Windows Active Directory‑ში ძირითადი პროტოკოლი Kerberos‑ია: კლიენტი KDC‑დან იღებს TGT‑ს, შემდეგ კი სერვისზე წვდომისთვის — სერვისის ბილეთს. NTLM (NT LAN Manager) ძველი მოთხოვნა-პასუხის პროტოკოლია, რომელიც თავსებადობის ზოგი შემთხვევისთვის რჩება. NTLM‑პაროლის ჰეში ღია ტექსტის პაროლი არ არის, მაგრამ თავსებად ავთენტიფიკაციის ნაკადში მისი გამოყენება Pass-the-Hash‑რისკს ქმნის. ეს განსხვავებები გაითვალისწინეთ პროტოკოლისა და ჟურნალების განხილვისას.
შეადარეთ შეტევის ტიპები
ეს ტექნიკები სხვადასხვა ავტორიზაციის მონაცემსა და Kerberos‑ბილეთის ეტაპს უმიზნებს. კომპრომეტირებული ანგარიშის ან სისტემის დადგენა რეაგირების ფარგლებისა და პრიორიტეტის განსაზღვრას ეხმარება.
| ტექნიკა | სამიზნე და წინაპირობა | დაცვის აქცენტი |
|---|---|---|
| Kerberoasting | სერვისის SPN‑ისთვის მოთხოვნილი Kerberos‑სერვისის ბილეთის დაშიფრული ნაწილი შეიძლება სერვისის ანგარიშის პაროლის ოფლაინ გამოცნობისთვის გამოიყენონ. | სერვისის ანგარიშების გრძელი უნიკალური პაროლები, მხარდაჭერის შემთხვევაში ჯგუფურად მართვადი სერვისის ანგარიშები (gMSAs), მინიმალური პრივილეგიები და უჩვეულო სერვისის ბილეთის მოთხოვნების მონიტორინგი. |
| Pass-the-Hash | მოპარული NTLM‑ჰეში პაროლის აღდგენის გარეშე ხელახლა გამოიყენება ავთენტიფიკაციისთვის. | შეზღუდეთ ადგილობრივი ადმინისტრატორის უფლებები, გამიჯნეთ პრივილეგირებული სესიები, შეაფასეთ Windows‑ის შესაფერისი მექანიზმები, მაგალითად Protected Users და Credential Guard, და შეამცირეთ ძველი NTLM‑ის გამოყენება. |
| Silver Ticket | კონკრეტული სერვისისთვის Kerberos‑სერვისის ბილეთი ამ სერვისის ანგარიშის გასაღებით ყალბდება და შეიძლება KDC‑თან დაკავშირების გარეშე წარედგინოს. | დაიცავით სერვისის ანგარიშები, ჩართული დატოვეთ Kerberos‑ხელმოწერის გადამოწმება და ერთად განიხილეთ სერვისისა და დომენის კონტროლერის ტელემეტრია. |
| Golden Ticket | KRBTGT‑გასაღების მოპოვების შემდეგ იქმნება ყალბი TGT; ზემოქმედება შეიძლება მთელ დომენზე გავრცელდეს. | დაიცავით დომენის კონტროლერები და tier-0 ანგარიშები; კომპრომეტირების შემდეგ KRBTGT‑ის ორეტაპიანი განულებისა და რეპლიკაციის შემოწმებისთვის გამოიყენეთ ფორესტის აღდგენის პროცედურა. |
ინდიკატორები კონტექსტში გამოიკვლიეთ
განიხილეთ მოკლე პერიოდში მრავალი SPN‑ისთვის TGS‑მოთხოვნების მკვეთრი მატება, განსაკუთრებით ერთი მომხმარებლის ან წყაროსგან; გაითვალისწინეთ ძველი დაშიფვრა და სერვისის ანგარიშის მოულოდნელი აქტივობა. დომენის კონტროლერისა და სერვისის ჟურნალებში დააკავშირეთ ბილეთის დროები, მომხმარებელი, წყარო მოწყობილობა და სერვისი. გამოიკვლიეთ, როდესაც წარმატებული ავთენტიფიკაცია ემთხვევა პრივილეგირებული ჯგუფის ცვლილებებს, უჩვეულო დისტანციურ წვდომას ან სერვისის კონფიგურაციის ცვლილებებს. ერთი მოვლენის ID შეტევას არ ადასტურებს.
დაგეგმეთ რეაგირება და აღდგენა
ინციდენტისას შეზღუდეთ საეჭვო მომხმარებლისა და სერვისის ანგარიშები, სუფთა ადმინისტრაციული სამუშაო სადგურიდან შეცვალეთ დაკავშირებული პაროლები და გასაღებები, გაითვალისწინეთ სესიებისა და ბილეთების სიცოცხლის ვადები, შეინახეთ ჟურნალები და შეამოწმეთ დომენის კონტროლერის გამართულობა. KRBTGT‑ის ორეტაპიანი განულება შესაბამის ინციდენტისა და აღდგენის პროცედურას ეკუთვნის: Microsoft‑ის მითითებები მოითხოვს პირველი განულების შემდეგ ბილეთის კონფიგურირებულ მაქსიმალურ სიცოცხლის ვადაზე მეტხანს მოცდასა და დომენის რეპლიკაციის შემოწმებას. განულებები დომენის სპეციალისტს შეუთანხმეთ დამტკიცებული აღდგენის გეგმით.