域渗透:使用蜜罐检测出Kerberoast攻击 – 作者:周大涛

介绍

我们知道,如果攻击者进入域(内网)环境中,攻击影响不敢想象,所以最重要的是快速检测它们。防病毒和EDR解决方案在检测和阻止攻击者方面已经走了很长一段路,但是牛批的黑客很可能通过各种奇技淫巧技术来规避这些控制措施。

防守方通常会忽略的一种方法——使用蜜罐帐户。蜜罐帐户是一种策略性地定位在网络中的帐户,在这种情况下使用蜜罐帐户的主要目的是检测Kerberoasting(在@ myexploit2600的文章),根据我们在行业中的经验,这是在攻击之后使用的最常见的攻击媒介之一。在网络内获得立足点。

使用蜜罐帐户的优点之一是没有额外的软件成本。许多蓝队解决方案要花费大量资金,并且需要大量资源来实施和管理。但是当使用蜜罐账户时,由于绝对不应请求或使用该账户,因此产生误报的可能性也为零。

设置蜜罐域管理员帐户

要设置蜜罐域管理员帐户,我们首先需要在Active Directory中创建一个。应该使用与现有“域管理员”帐户类似的命名约定来使其看起来合法。应该使用128个随机生成的字符的密码,以防止攻击者在获得哈希后能够破解哈希。

分配权限后,我们需要选择合适的服务主体名称(SPN)。这是攻击者在进行Kerberoasting攻击时将看到的内容,因此重要的是使其看起来像合法的东西,例如惰性sys管理员已将其放入Domain Admins组中的MSSQL服务帐户。使其具有唯一性也很重要,因此请检查您现有的SPN并再次检查“ adminCount”属性是否设置为1。

启用Audit Kerberos Service Ticket Operations日志记录,捕获事件4769,该事件在请求Kerberos服务票证时发生。

如果您拥有SIEM或使用SOC管理的服务,则应该已经捕获了这些事件,并且可以创建自定义警报,但是对于此博客文章,我们将说明如何在没有其他服务或产品的情况下识别此活动。

创建一个自定义事件视图,以识别何时为我们的蜜罐用户帐户请求Kerberos服务票证。这可以通过使用以下包含我们新创建的帐户的XPath查询来完成。如果我们不执行此步骤,则在大型AD环境中,将有成千上万的4769事件日志,并且很难识别恶意活动。

<QueryList>
<Query Id="0" Path="Security">
<Select Path="Security">*[System[(Level=4 or Level=0) and (EventID=4769)]] and
* [EventData[Data[@Name='ServiceName']='tkerb']]</Select>
</Query>
</QueryList>

创建自定义事件视图后,我们将进行Kerberoasting攻击以测试其是否有效。

该事件已在我们的自定义事件视图中成功捕获,我们需要创建一种方法来警告管理员网络中可能存在攻击者。警报包含进行了Kerberoasting攻击的客户端计算机的IP地址。这可能是受感染的用户,或者是攻击者使用他们自己的设备物理连接到网络。

现在,我们可以创建一个特定的事件查看器任务,该任务将在事件出现在自定义事件视图中时触发。该任务需要设置为“无论用户是否登录都运行”。

设置任务后,请仔细检查触发器设置,以确保它在我们先前创建的事件XPath查询中触发。

在最后一步中,我们将操作设置为启动powershell.exe,但是您应该将其更改为启动PowerShell脚本,该脚本通过电子邮件向管理员发送电子邮件,说明正在进行中的恶意活动也将禁用该帐户。

为了测试检测,我们执行了Kerberoasting攻击,并且可以看到powershell.exe启动。

如果一切都按预期进行,那么您现在就可以找到一种有效的方法来识别攻击者,以在您的环境中进行Kerberoasting攻击。定期模拟此攻击向量和响应非常重要,以确保相关团队知道如何做出反应。

*参考来源:pentestpartners,FB小编周大涛编译,转载请注明来自FreeBuf.COM

来源:freebuf.com 2020-05-03 15:00:41 by: 周大涛

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论