Kerberoasting समझाइए और बताइए कि आप उसे कैसे पकड़ेंगे।

Kerberoasting इस बात का दुरुपयोग करता है कि कोई भी authenticated domain यूजर किसी ऐसे account के लिए service ticket मांग सकता है जिसका service principal name हो। वह ticket उसी service account के password hash से encrypted होता है, इसलिए हमलावर उसे offline ले जाकर crack करता है। इसे 4769 की मात्रा में असामान्यता, AES वाले माहौल में RC4 request, एक ही account का तेजी से कई अलग service ticket मांगना, और ऊंची कीमत वाले service account के लिए request से पकड़ें।

कोई भी authenticated यूजर domain controller से ऐसे किसी भी account के लिए service ticket मांग सकता है जिसका service principal name हो, और वह ticket उसी service account के password hash से encrypted होता है। तो हमलावर को कोई खास अधिकार चाहिए ही नहीं। वे थोक में ticket मांगते हैं, उन्हें offline ले जाते हैं, और फुरसत में crack करते हैं, और अगर service account का password किसी इंसान का चुना हुआ है और rotation कमजोर है तो उन्हें एक भी नाकाम logon पैदा किए बिना domain credentials मिल जाते हैं। detection के लिए अकेले 4769 पर alert करना बहुत ही शोर भरा है, इसलिए मैं जोड़ता हूं: एक ही source account किसी छोटी अवधि में एक थ्रेशोल्ड से ज्यादा अलग अलग service principal name मांगे, और मैं ऐसे माहौल में RC4 request को भारी वजन देता हूं जहां बाकी सब AES पर बात करता है। वह downgrade ही सुराग है। असली हल लंबे और random password वाले group managed service account हैं, क्योंकि तब offline crack इस दशक में पूरा नहीं होगा, साथ में उन account से service principal name हटाना जिन्हें उसकी कभी जरूरत ही नहीं थी।