透過 Kerberoast 攻擊，攻擊者可惡意利用 Kerberos 驗證通訊協定的內部，並普遍鎖定有權限的網域使用者帳戶。此攻擊的目標是搜尋有權限帳戶的純文字密碼，並由此取得相關權限。此攻擊可從 Active Directory 環境內部執行。攻擊者只需要一個無權限的簡單使用者帳戶。

在帳戶上設定服務主體名稱屬性時，此帳戶的基礎安全性會進一步受到影響。通常，密碼安全性原則會設定為在連續發生數次密碼失敗後鎖定帳戶。
不過，設定此屬性時，可以進行徹底的密碼猜測。

Kerberoasting 攻擊通常會以有權限的帳戶 (例如 Domain Admins 群組中的帳戶) 為目標。攻擊者取得這些帳戶的存取權後，可全面入侵網域。

根據預設，此檢查會略過已停用的帳戶。若要同時檢查有權限的已停用帳戶，請啟用徹底測試。

注意：AD Starter Scan 及相關聯的外掛程式預定與小型 AD 部署搭配使用，以進行初步分析。對於多達 5,000 個使用者、群組或機器的 AD 部署，預期會有準確的初步分析，而且會針對 Nessus、Security Center 和 Vulnerability Management 的大型 AD 部署傳回不完整的結果。如需詳細瞭解 Active Directory Starter Scan 外掛程式發現的問題，請參閱此部落格文章- https://www.tenable.com/blog/new-in-nessus-find-and-fix-these-10-active-directory-misconfigurations

偵測

AD Starter Scan - Kerberoasting 攻擊

high Nessus Plugin ID 150480

版本 1.63