AS-REP Roasting – mechanizm działania ataku Kerberos bez preautoryzacji

Active Directory opiera swoje działanie na protokole Kerberos, który jest obecnie podstawowym mechanizmem uwierzytelniania w domenach Windows.

Kerberos został zaprojektowany jako bezpieczny protokół, ale jego bezpieczeństwo zależy od poprawnej konfiguracji środowiska.

Jednym z przykładów wykorzystania błędnej konfiguracji jest:

AS-REP Roasting.

Jest to technika ataku, która wykorzystuje konta użytkowników z wyłączoną funkcją:

Kerberos Pre-Authentication.

W przeciwieństwie do Kerberoasting, gdzie celem są głównie konta usługowe, AS-REP Roasting skupia się na kontach użytkowników, które nie wymagają wcześniejszego potwierdzenia tożsamości podczas logowania Kerberos.

Czym jest AS-REP Roasting?

AS-REP Roasting to technika polegająca na pozyskaniu odpowiedzi uwierzytelniającej Kerberos (AS-REP) dla konta, które ma wyłączoną preautoryzację.

Atakujący może:

1. znaleźć konto z wyłączoną preautoryzacją,
2. poprosić kontroler domeny o odpowiedź Kerberos,
3. pobrać zaszyfrowany fragment danych,
4. próbować złamać hasło offline.

Schemat:

 id="h0n3fs"
Konto Active Directory

        ↓

Brak Kerberos Pre-Authentication

        ↓

Żądanie AS-REQ

        ↓

Odpowiedź AS-REP

        ↓

Atak offline na hasło

Najważniejsza różnica:

atakujący nie musi posiadać hasła ani uwierzytelniać się jako użytkownik.

Czym jest Kerberos Pre-Authentication?

Aby zrozumieć AS-REP Roasting, trzeba wiedzieć, czym jest preautoryzacja.

Standardowo Kerberos działa tak:

1. użytkownik wysyła żądanie logowania,
2. kontroler domeny sprawdza, czy użytkownik zna sekret (hasło),
3. dopiero potem wydaje Ticket Granting Ticket.

Proces:

 id="2cv2rs"
Użytkownik

      ↓

AS-REQ

      ↓

Kontroler domeny

      ↓

Sprawdzenie hasła

      ↓

TGT

Preautoryzacja jest dodatkową ochroną przed atakami offline.

Co dzieje się po wyłączeniu preautoryzacji?

Jeżeli konto ma wyłączoną opcję:

Do not require Kerberos preauthentication

kontroler domeny odpowiada bez wcześniejszego sprawdzenia użytkownika.

Schemat:

 id="3x9n8h"
Atakujący

      ↓

AS-REQ

      ↓

Kontroler domeny

      ↓

AS-REP

      ↓

Szyfrowany materiał do łamania hasła

Otrzymany materiał może być analizowany offline.

AS-REP Roasting krok po kroku

Etap 1 – znalezienie podatnych kont

Pierwszym krokiem jest wyszukanie użytkowników z wyłączoną preautoryzacją.

W Active Directory jest to atrybut:

 id="o0p7vb"
DONT_REQ_PREAUTH

Najczęściej problem dotyczy:

• starych kont,
• kont technicznych,
• kont utworzonych przez aplikacje,
• wyjątków konfiguracyjnych.

Etap 2 – pobranie odpowiedzi AS-REP

Atakujący wysyła żądanie do kontrolera domeny.

Nie musi znać:

• hasła,
• aktualnej sesji,
• tokena użytkownika.

Kontroler domeny zwraca odpowiedź zawierającą dane zaszyfrowane kluczem pochodzącym z hasła użytkownika.

Etap 3 – atak offline

Następnie rozpoczyna się próba odzyskania hasła.

Atak odbywa się poza domeną.

Przykład:

 id="x5sk3q"
AS-REP
   |
   ↓
Słownik haseł
   |
   ↓
Próby dopasowania

Zaletą dla atakującego jest brak:

• blokady konta,
• wielu prób logowania,
• alarmów klasycznego logowania.

Przykład scenariusza w firmie

Firma:

 id="6d3q8s"
firma.local

Posiada konto:

 id="h4m2az"
backup.service

Kilka lat temu administrator wyłączył preautoryzację, ponieważ wymagała tego stara aplikacja.

Po czasie:

• aplikacja nadal działa,
• hasło nie było zmieniane,
• konto ma dostęp do serwerów.

Atak:

1. Napastnik przejmuje zwykłe konto użytkownika.
2. Wyszukuje konta z wyłączoną preautoryzacją.
3. Pobiera AS-REP.
4. Łamie hasło offline.
5. Uzyskuje dostęp do konta technicznego.

AS-REP Roasting a Kerberoasting – różnice

Oba ataki dotyczą Kerberos, ale wykorzystują inne elementy.

AS-REP Roasting a Pass-the-Hash

To również dwa różne mechanizmy.

Pass-the-Hash

Atakujący posiada:

 id="p8g3hx"
hash NTLM

i używa go do uwierzytelnienia.

AS-REP Roasting

Atakujący:

 id="m4d0sq"
pobiera zaszyfrowaną odpowiedź Kerberos

↓

próbuje złamać hasło

TIP administratora: sprawdź stare konta z wyłączoną preautoryzacją

W wielu środowiskach AS-REP Roasting nadal działa nie dlatego, że Kerberos jest słaby, ale dlatego, że ktoś kiedyś zrobił wyjątek i nigdy go nie usunął.

Najczęstsze przyczyny:

• migracje domen,
• stare aplikacje,
• konta testowe,
• konta serwisowe.

Jak znaleźć konta podatne na AS-REP Roasting?

Administratorzy mogą sprawdzić użytkowników z odpowiednim ustawieniem.

Przykład PowerShell:

Get-ADUser -Filter * -Properties DoesNotRequirePreAuth |
Where-Object {$_.DoesNotRequirePreAuth -eq $true}

Wyniki powinny być analizowane.

Nie każde konto musi być natychmiast usuwane, ale każde powinno mieć uzasadnienie.

Jak zabezpieczyć Active Directory przed AS-REP Roasting?

1. Włączyć Kerberos Pre-Authentication

To podstawowa ochrona.

Standardowo powinna być aktywna.

Opcja:

Do not require Kerberos preauthentication

powinna być wyłączona.

2. Usunąć stare konta

Nieaktywne konta:

• użytkowników,
• aplikacji,
• testowe,

powinny być usuwane lub blokowane.

3. Stosować silne hasła

Jeżeli konto musi działać bez preautoryzacji:

należy zastosować:

• bardzo długie hasło,
• losową wartość,
• regularną zmianę.

4. Używać gMSA dla usług

Dla usług Windows najlepszym rozwiązaniem jest:

Group Managed Service Account.

Zalety:

• automatyczna rotacja haseł,
• brak ręcznego zarządzania sekretami,
• mniejsze ryzyko ataków offline.

5. Monitorować zmiany w Active Directory

Warto kontrolować:

• zmiany atrybutów użytkowników,
• modyfikacje kont uprzywilejowanych,
• tworzenie wyjątków Kerberos.

Wykrywanie AS-REP Roasting

Przydatne są:

Event ID 4768

Żądania Authentication Service.

Warto zwracać uwagę na:

• nietypowe żądania,
• konta użytkowników,
• nietypowe adresy IP.

Warto wiedzieć: zwykły użytkownik domeny może rozpocząć ten atak

To jedna z najważniejszych cech AS-REP Roasting.

Nie potrzeba:

• Domain Admin,
• dostępu do kontrolera domeny,
• specjalnych uprawnień.

Wystarczy możliwość komunikacji z usługą Kerberos.

Praktyka bezpieczeństwa – audyt Kerberos powinien być regularny

W dojrzałym środowisku Active Directory warto okresowo sprawdzać:

• konta bez preautoryzacji,
• konta ze SPN,
• stare hasła,
• nieużywane konta usługowe,
• poziom szyfrowania Kerberos.

Kerberos jest bardzo bezpieczny, ale tylko wtedy, gdy organizacja prawidłowo zarządza konfiguracją.

Podsumowanie

AS-REP Roasting jest przykładem ataku, który wykorzystuje nie błąd kryptografii, ale niewłaściwą konfigurację Active Directory.

Atakujący wykorzystuje konta, dla których wyłączono Kerberos Pre-Authentication, pobiera odpowiedź AS-REP i próbuje złamać hasło offline.

Największe zagrożenia:

• stare konta,
• wyjątki konfiguracyjne,
• słabe hasła,
• brak audytu Active Directory.

Najlepsza ochrona:

włączona preautoryzacja Kerberos + silne hasła + gMSA + regularny audyt kont domenowych.

Bezpieczne Active Directory nie polega tylko na wdrożeniu Kerberos, ale przede wszystkim na prawidłowym zarządzaniu jego konfiguracją.

Polecane wpisy

Jak działa analiza behawioralna w cyberbezpieczeństwie?

Jak działa analiza behawioralna w cyberbezpieczeństwie? Nowoczesne podejście do wykrywania zagrożeń na podstawie nietypowych wzorców zachowań Cyberbezpieczeństwo stale ewoluuje, aby Czytaj dalej

Programowanie aplikacji mobilnych na system Android: Tworzenie aplikacji w języku Kotlin lub Java

Programowanie aplikacji mobilnych na system Android: Tworzenie aplikacji w języku Kotlin lub Java Programowanie aplikacji mobilnych na system Android to Czytaj dalej