AD Starter Scan - Kerberoasting 攻擊

high Nessus Plugin ID 150480

概要

有權限的帳戶容易遭受 Kerberoasting 攻擊。

說明

透過 Kerberoast 攻擊,攻擊者可惡意利用 Kerberos 驗證通訊協定的內部,並普遍鎖定有權限的網域使用者帳戶。此攻擊的目標是搜尋有權限帳戶的純文字密碼,並由此取得相關權限。此攻擊可從 Active Directory 環境內部執行。攻擊者只需要一個無權限的簡單使用者帳戶。

在帳戶上設定服務主體名稱屬性時,此帳戶的基礎安全性會進一步受到影響。通常,密碼安全性原則會設定為在連續發生數次密碼失敗後鎖定帳戶。
不過,設定此屬性時,可以進行徹底的密碼猜測。

Kerberoasting 攻擊通常會以有權限的帳戶 (例如 Domain Admins 群組中的帳戶) 為目標。攻擊者取得這些帳戶的存取權後,可全面入侵網域。

根據預設,此檢查會略過已停用的帳戶。若要同時檢查有權限的已停用帳戶,請啟用徹底測試。

注意:AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用,以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署,預期會有準確的初步分析,而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題,請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

解決方案

為了確保有權限的帳戶不會受到 Kerberoast 攻擊的影響,可採取不同的措施:

- 從使用者帳戶中移除服務主體名稱
- 如果出於功能原因,需要與使用者帳戶相關聯的服務主體名稱,請改用無權限的帳戶
- 增加密碼的複雜度:
- 使用群組託管服務帳戶 (gMSA),而非使用者帳戶
- 針對敏感帳戶使用智慧卡

另請參閱

https://attack.mitre.org/techniques/T1558/003/

http://gost.isi.edu/publications/kerberos-neuman-tso.html

https://adsecurity.org/?p=3466

http://www.nessus.org/u?d5c4c81f

Plugin 詳細資訊

嚴重性: High

ID: 150480

檔案名稱: adsi_kerberoasting.nbin

版本: 1.97

類型: local

代理程式: windows

系列: Windows

已發布: 2021/7/29

已更新: 2024/6/12

組態: 啟用徹底檢查

支援的感應器: Nessus Agent, Nessus

風險資訊

CVSS 評分論據: Score based on an in-depth analysis by tenable.

CVSS v2

風險因素: High

基本分數: 7.1

媒介: CVSS2#AV:N/AC:H/Au:S/C:C/I:C/A:C

CVSS 評分資料來源: manual

CVSS v3

風險因素: High

基本分數: 7.5

媒介: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

弱點資訊

CPE: cpe:/a:microsoft:active_directory

必要的 KB 項目: ldap_enum_person/available, ldap_enum_group/available