Che cos'è il pass-the-hash?

Il pass-the-hash è l'uso, da parte di un attaccante, dell'hash memorizzato di una password, preso dalla memoria o dal disco di un computer compromesso, per autenticarsi come quell'utente senza mai conoscere la password stessa. Funziona con la vecchia autenticazione NTLM, ancora diffusa in molte reti, e consente all'attaccante di spostarsi da una macchina all'altra con l'identità di un amministratore. Le difese comprendono non accedere con account di amministratore di dominio su postazioni comuni, una password di amministratore locale diversa su ogni macchina, protezioni che impediscono di leggere le credenziali dalla memoria, la limitazione o disattivazione di NTLM dove possibile e la protezione degli endpoint. Il furto dell'hash avviene su un host; il riuso appare in rete come connessioni amministrative tra macchine che di solito non comunicano. NetSenX rileva questo movimento laterale in ogni piano; non analizza il protocollo di autenticazione in sé.

← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi