Kerberoast

Empire

Impacket

PowerSploit

偵測具有會影響安全性之 Service Principal Name (SPN) 屬性的高特權帳戶。

2014 年，一種名為 Kerberoast 的新型攻擊可利用 Kerberos 驗證通訊協定的內部機制來鎖定特權網域使用者帳戶。攻擊者的目標為探索帳戶的純文字密碼，進而取得相關權限。
 此攻擊可能會在使用簡易、非特權使用者帳戶的 Active Directory 環境內部發生。若在帳戶上設定特定的 Active Directory 屬性 (<code>servicePrincipalName</code>)，這會影響到此帳戶的底層安全性。攻擊者可猜測此帳戶的密碼，傳統的安全機制會在經過數次密碼失敗後鎖定帳戶，但其無法防止針對密碼發動的密集攻擊。
 某些高特權帳戶通常會成為攻擊對象 (例如「<code>網域管理員</code>」群組使用者)。這些帳戶可能會導致整個網域極為快速地遭受入侵，因此應保護其不受此 Kerberos 設定威脅侵擾。
 Kerberoasting​ 攻擊指標可在攻擊者試圖利用此弱點時警示資安人員。不過，您仍必須修正底層問題來保護最高特權帳戶，因為其可能會導致整個網域快速遭到入侵。

特權提升

有效帳戶

憑證存取

竊取或偽造 Kerberos 工單：Kerberoasting

特權帳戶執行 Kerberos 服務

Kerberos：適用於電腦網路的驗證服務

驗證密碼第 II 部分 - Kerberos 反擊

Sneaky Persistence Active Directory Trick: Dropping SPNs on Admin Accounts for Later Kerberoasting

Microsoft's guidance to help mitigate Kerberoasting

偵測

特權帳戶執行 Kerberos 服務

critical

找不到變更記錄