Czym jest pass-the-hash?

Pass-the-hash to użycie przez napastnika zapisanego skrótu hasła, zabranego z pamięci lub dysku przejętego komputera, do uwierzytelnienia się jako ten użytkownik bez znajomości samego hasła. Działa ze starszym uwierzytelnianiem NTLM, wciąż powszechnym w wielu sieciach, i pozwala napastnikowi przechodzić z maszyny na maszynę z tożsamością administratora. Obrona obejmuje niełogowanie się kontami administratorów domeny na zwykłych stacjach roboczych, unikalne hasło lokalnego administratora na każdej maszynie, zabezpieczenia uniemożliwiające odczyt poświadczeń z pamięci, ograniczenie lub wyłączenie NTLM tam, gdzie to możliwe, oraz ochronę punktów końcowych. Kradzież skrótu odbywa się na hoście; jego ponowne użycie widać w sieci jako połączenia administracyjne między maszynami, które zwykle ze sobą nie rozmawiają. NetSenX wykrywa ten ruch lateralny w każdym planie; nie analizuje samego protokołu uwierzytelniania.

← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy