Kerberoasting missbraucht die Tatsache, dass jeder authentifizierte Domain-User ein Service Ticket für ein Konto mit Service Principal Name anfordern kann. Das Ticket ist mit dem Passwort-Hash dieses Service-Kontos verschlüsselt, der Angreifer nimmt es also offline und knackt es. Erkenn es über Volumenanomalien bei 4769, RC4-Anfragen in einer AES-Umgebung, ein Konto, das schnell viele verschiedene Service Tickets anfordert, und Anfragen für hochwertige Service-Konten.
Warum Interviewer das fragen
Das ist eine Standard-Screeningfrage, weil sie Active-Directory-Interna, Detection-Logik und Mitigation in einer Antwort berührt. Der Interviewer will wissen, dass du erklären kannst, warum der Angriff auf Protokollebene funktioniert, und nicht bloß das Tool benennen. Sie wollen außerdem die Detection-Nuance, denn 4769 allein ist enorm laut, deine Antwort braucht also einen Aggregations- oder Anomalie-Winkel plus das Verräterische an der Verschlüsselungs-Herabstufung.
So baust du deine Antwort auf
- Erklär das Protokollverhalten, das den Angriff möglich macht.
- Sag genau, womit der Angreifer davonläuft.
- Gib eine Detection an, die den natürlichen Lärm von 4769 übersteht.
- Schließ mit der Mitigation, die es wirklich tötet.
Beispielantwort
Jeder authentifizierte User kann einen Domain Controller nach einem Service Ticket für jedes Konto mit Service Principal Name fragen, und dieses Ticket ist mit dem Passwort-Hash des Service-Kontos verschlüsselt. Der Angreifer braucht also überhaupt keine besonderen Rechte. Sie fordern Tickets massenhaft an, nehmen sie offline und knacken sie in aller Ruhe, und wenn das Service-Konto ein von Menschen gewähltes Passwort mit schwacher Rotation hat, landen sie bei Domain-Credentials, ohne einen einzigen fehlgeschlagenen Logon zu erzeugen. Für die Detection ist 4769 für sich viel zu laut zum Alarmieren, ich aggregiere also: ein Quellkonto, das mehr als eine Schwelle verschiedener Service Principal Names in kurzem Fenster anfordert, und ich gewichte RC4-Anfragen stark, wenn alles andere in der Umgebung AES aushandelt. Diese Herabstufung ist das Verräterische. Der echte Fix sind Group Managed Service Accounts mit langen zufälligen Passwörtern, denn dann ist der Offline-Crack in diesem Jahrzehnt nicht fertig, dazu Service Principal Names von Konten abzuziehen, die nie einen gebraucht haben.
Steht dieses Vorstellungsgespräch bald an? GhostPilot hört bei deinem Live-Call mit, erkennt die Frage in dem Moment, in dem sie gestellt wird, und bringt dir eine strukturierte Antwort in Echtzeit auf den Bildschirm. Probier es im nächsten Mock aus, oder hol dir einen $29 Session Pass, kein Abo, für den Ernstfall.
So funktioniert esNachfragen, mit denen du rechnen solltest
- Wie würdest du Kerberoasting von einem Schwachstellenscanner unterscheiden?
- Was ist AS-REP Roasting und worin unterscheidet es sich?
- Wie würdest du herausfinden, welche Service-Konten heute am stärksten gefährdet sind?
Weitere Fragen für Cybersecurity Analyst
Dein Interviewer stellt seine eigene Version davon. Kopier deine echte Stellenbeschreibung in den kostenlosen Question Predictor und bekomm die 20 Fragen, die diese Rolle am wahrscheinlichsten stellt, samt dem, worauf jede wirklich abzielt.
Meine Fragen vorhersagen