搜索

[21173] 2020-08-02_域渗透：使用蜜罐检测出Kerberoast攻击

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2020-08-02_域渗透：使用蜜罐检测出Kerberoast攻击 域 渗 透 ： 使 用 蜜 罐 检 测 出 K e r b e r o a s t 攻 击 L e m o n S e c   2 0 2 0 - 0 8 - 0 2 摘 要 ： 使 用 蜜 罐 检 测 出 K e r b e r o a s t 攻 击 介 绍 我 们 知 道 ， 如 果 攻 击 者 进 入 域 我 们 知 道 ， 如 果 攻 击 者 进 入 域 ( 内 网 内 网 ) 环 境 中 ， 攻 击 影 响 不 敢 想 象 ， 所 以 最 重 要 的 是 快 速 检 测 它 们 。 防 病 毒 和 环 境 中 ， 攻 击 影 响 不 敢 想 象 ， 所 以 最 重 要 的 是 快 速 检 测 它 们 。 防 病 毒 和 E D R 解 决 方 案 解 决 方 案 在 检 测 和 阻 止 攻 击 者 方 面 已 经 走 了 很 长 一 段 路 ， 但 是 牛 批 的 黑 客 很 可 能 通 过 各 种 奇 技 淫 巧 技 术 来 规 避 这 些 控 制 措 施 。 在 检 测 和 阻 止 攻 击 者 方 面 已 经 走 了 很 长 一 段 路 ， 但 是 牛 批 的 黑 客 很 可 能 通 过 各 种 奇 技 淫 巧 技 术 来 规 避 这 些 控 制 措 施 。 防 守 方 通 常 会 忽 略 的 一 种 方 法 — — 使 用 蜜 罐 帐 户 。 蜜 罐 帐 户 是 一 种 策 略 性 地 定 位 在 网 络 中 的 帐 户 ， 在 这 种 情 况 下 使 用 蜜 罐 帐 户 的 主 要 目 的 是 检 测 K e r b e r o a s t i n g ， 根 据 我 们 在 行 业 中 的 经 验 ， 这 是 在 攻 击 之 后 使 用 的 最 常 见 的 攻 击 媒 介 之 一 。 在 网 络 内 获 得 立 足 点 。 使 用 蜜 罐 帐 户 的 优 点 之 一 是 没 有 额 外 的 软 件 成 本 。 许 多 蓝 队 解 决 方 案 要 花 费 大 量 资 金 ， 并 且 需 要 大 量 资 源 来 实 施 和 管 理 。 但 是 当 使 用 蜜 罐 账 户 时 ， 由 于 绝 对 不 应 请 求 或 使 用 该 账 户 ， 因 此 产 生 误 报 的 可 能 性 也 为 零 。 设 置 蜜 罐 域 管 理 员 帐 户 要 设 置 蜜 罐 域 管 理 员 帐 户 ， 我 们 首 先 需 要 在 A c t i v e   D i r e c t o r y 中 创 建 一 个 。 应 该 使 用 与 现 有 “ 域 管 理 员 ” 帐 户 类 似 的 命 名 约 定 来 使 其 看 起 来 合 法 。 应 该 使 用 应 该 使 用 1 2 8 个 随 机 生 成 的 字 符 的 密 码 ， 以 防 止 攻 击 者 在 获 得 哈 希 后 能 够 破 解 哈 希 。 个 随 机 生 成 的 字 符 的 密 码 ， 以 防 止 攻 击 者 在 获 得 哈 希 后 能 够 破 解 哈 希 。 分 配 权 限 后 ， 我 们 需 要 选 择 合 适 的 服 务 主 体 名 称 （ S P N ） 。 这 是 攻 击 者 在 进 行 K e r b e r o a s t i n g 攻 击 时 将 看 到 的 内 容 ， 因 此 重 要 的 是 使 其 看 起 来 像 合 法 的 东 西 ， 例 如 惰 性 s y s 管 理 员 已 将 其 放 入 D o m a i n   A d m i n s 组 中 的 M S S Q L 服 务 帐 户 。 使 其 具 有 唯 一 性 也 很 重 要 ， 因 此 请 检 查 您 现 有 的 S P N 并 再 次 检 查 “   a d m i n C o u n t ” 属 性 是 否 设 置 为 1 。
启 用 A u d i t   K e r b e r o s   S e r v i c e   T i c k e t   O p e r a t i o n s 日 志 记 录 , 捕 获 事 件 4 7 6 9 ， 该 事 件 在 请 求 K e r b e r o s 服 务 票 证 时 发 生 。 如 果 您 拥 有 S I E M 或 使 用 S O C 管 理 的 服 务 ， 则 应 该 已 经 捕 获 了 这 些 事 件 ， 并 且 可 以 创 建 自 定 义 警 报 ， 但 是 对 于 此 博 客 文 章 ， 我 们 将 说 明 如 何 在 没 有 其 他 服 务 或 产 品 的 情 况 下 识 别 此 活 动 。 创 建 一 个 自 定 义 事 件 视 图 ， 以 识 别 何 时 为 我 们 的 蜜 罐 用 户 帐 户 请 求 K e r b e r o s 服 务 票 证 。 这 可 以 通 过 使 用 以 下 包 含 我 们 新 创 建 的 帐 户 的 X P a t h 查 询 来 完 成 。 如 果 我 们 不 执 行 此 步 骤 ， 则 在 大 型 A D 环 境 中 ， 将 有 成 千 上 万 的 4 7 6 9 事 件 日 志 ， 并 且 很 难 识 别 恶 意 活 动 。
创 建 自 定 义 事 件 视 图 后 ， 我 们 将 进 行 K e r b e r o a s t i n g 攻 击 以 测 试 其 是 否 有 效 。 该 事 件 已 在 我 们 的 自 定 义 事 件 视 图 中 成 功 捕 获 ， 我 们 需 要 创 建 一 种 方 法 来 警 告 管 理 员 网 络 中 可 能 存 在 攻 击 者 。 警 报 包 含 进 行 了 K e r b e r o a s t i n g 攻 击 的 客 户 端 计 算 机 的 I P 地 址 。 这 可 能 是 受 感 染 的 用 户 ， 或 者 是 攻 击 者 使 用 他 们 自 己 的 设 备 物 理 连 接 到 网 络 。 现 在 ， 我 们 可 以 创 建 一 个 特 定 的 事 件 查 看 器 任 务 ， 该 任 务 将 在 事 件 出 现 在 自 定 义 事 件 视 图 中 时 触 发 。 该 任 务 需 要 设 置 为 “ 无 论 用 户 是 否 登 录 都 运 行 ” 。
设 置 任 务 后 ， 请 仔 细 检 查 触 发 器 设 置 ， 以 确 保 它 在 我 们 先 前 创 建 的 事 件 X P a t h 查 询 中 触 发 。 在 最 后 一 步 中 ， 我 们 将 操 作 设 置 为 启 动 p o w e r s h e l l . e x e ， 但 是 您 应 该 将 其 更 改 为 启 动 P o w e r S h e l l 脚 本 ， 该 脚 本 通 过 电 子 邮 件 向 管 理 员 发 送 电 子 邮 件 ， 说 明 正 在 进 行 中 的 恶 意 活 动 也 将 禁 用 该 帐 户 。 为 了 测 试 检 测 ， 我 们 执 行 了 K e r b e r o a s t i n g 攻 击 ， 并 且 可 以 看 到 p o w e r s h e l l . e x e 启 动 。
如 果 一 切 都 按 预 期 进 行 ， 那 么 您 现 在 就 可 以 找 到 一 种 有 效 的 方 法 来 识 别 攻 击 者 ， 以 在 您 的 环 境 中 进 行 K e r b e r o a s t i n g 攻 击 。 定 期 模 拟 此 攻 击 向 量 和 响 应 非 常 重 要 ， 以 确 保 相 关 团 队 知 道 如 何 做 出 反 应 。 如 果 觉 得 文 章 对 你 有 帮 助 ， 请 支 持 下 点 击 右 下 角 “ 在 看 ” 原 文 地 址 ： h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 2 3 2 6 6 9 . h t m l
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理