📌 یک Service Account چقدر میتونه خطرناک باشه؟
یکی از چیزهایی که توی تست Active Directory همیشه باید بررسی بشه، Service Accountها و SPNها هستن.
چرا؟
چون برای درخواست یک Kerberos Service Ticket معمولاً لازم نیست Administrator باشی.
یک Domain User احراز هویت شده میتونه برای Serviceهایی که SPN دارن Ticket بگیره.
حالا مهاجم چی به دست میاره؟
یک Ticket رمزنگاری شده که میتونه خارج از DC و بهصورت Offline برای Password Guessing بررسی بشه.
اینجا اگر Password مربوط به Service Account ضعیف باشه، داستان جالب میشه.
مثلاً تصور کن:
◾ در عکس بالا
📌 نکته مهم:
ا RC4 با Encryption Type 0x17 میتونه یک Signal مهم باشه، اما دیدن RC4 به تنهایی یعنی «Kerberoasting قطعی» نیست.
ممکنه سیستم های Legacy یا Service Accountهای قدیمی واقعاً از RC4 استفاده کنن.
برای Detection بهتره دنبال ترکیب چند Signal باشیم:
🔹 یک سیستم که در مدت کوتاه برای SPNهای مختلف Ticket میگیره
ا 🔹 Requester غیرعادی
ا 🔹 LDAP Enumeration مربوط به servicePrincipalName قبل از TGS Burst
ا 🔹 Service Account با Privilege بالا
🔹 استفاده غیرمعمول از RC4 در محیطی که معمولاً AES استفاده میشه
و از دید دفاعی؟
بهترین کار فقط این نیست که دنبال Kerberoasting بگردیم.
سرویس اکانتهای قدیمی رو بررسی کنیم، Passwordهای قوی و تصادفی داشته باشیم، تا جای ممکن از gMSA استفاده کنیم، SPNهای غیرضروری رو حذف کنیم و Privilege اضافی رو از Service Accountها بگیریم.
ا Kerberoasting شاید با یک User معمولی شروع بشه.
ولی اینکه به کجا ختم بشه، کاملاً به وضعیت همون Service Account بستگی داره.
@KavehOffSec