Was ist Kerberoasting?
Kerberoasting ist ein Angriff auf Active Directory, bei dem ein beliebiger angemeldeter Benutzer Diensttickets für Konten anfordert, unter denen Dienste laufen, die Tickets mitnimmt und offline knackt, um die Passwörter dieser Konten zu erhalten. Er braucht keine besonderen Rechte, ist leise und wirkt am besten gegen Dienstkonten mit schwachen, alten Passwörtern, die oft weitreichende Rechte haben. Abwehr sind lange Zufallspasswörter für Dienstkonten, am besten verwaltete Dienstkonten mit automatischer Rotation, starke Verschlüsselungstypen für Kerberos und Alarme in den Verzeichnis-Logs, wenn ein Host in kurzer Zeit viele Diensttickets anfordert. Die Ticketanforderungen sind Verzeichnisereignisse und eher für Identitätsüberwachung sichtbar als für einen Flow-Sensor. NetSenX schlägt nicht bei Kerberos-Aktivität an; es sieht, wofür die geknackten Konten danach genutzt werden, etwa für neue administrative Sitzungen zu Servern.