Kerberoasting-attacken: Hur den fungerar och hur man skyddar sig

Cybersäkerhetsföretaget Picus Security har publicerat en tydlig beskrivning av Kerberoasting-attacken, en avancerad metod som utnyttjar sårbarheter i Active Directory-miljöer.

Kerberoasting-attacken riktar sig mot Kerberos-autentiseringsprotokollet. Angripare kan begära tjänstebiljetter för konton med Service Principal Name (SPN). Dessa biljetter är krypterade med tjänstekontots lösenords-hash. En angripare kan sedan försöka knäcka denna hash offline och erhålla klartextuppgifterna för kontot.

Metoden utnyttjar att en användare kan begära tjänstebiljetter för vilket konto som helst med en SPN. Medan maskinkonton har automatiskt hanterade lösenord, följer inte alltid lösenord för användarkonton organisationens säkerhetspolicyer. Ett framgångsrikt knäckande av lösenordet kan leda till privilegieeskalering, lateral rörelse i nätverket, stöld av känslig information och potentiellt kompromettering av hela infrastrukturen.

Picus Security betonar vikten av att förstå Kerberos-protokollets arbetsflöde för att kunna försvara sig mot attacken. Processen inkluderar användarautentisering, begäran om tjänstebiljett via SPN och slutligen åtkomst till tjänsten. Angriparen försöker komma åt en tjänstebiljett som är krypterad med tjänstekontots lösenords-hash.

Företaget erbjuder också verktyg och interaktiva upplevelser för att hjälpa organisationer att identifiera och lokalisera riskfyllda attackvägar i sina egna nätverk. Detta hjälper till att förbättra cybersäkerheten och effektivt förebygga Kerberoasting-liknande attacker.