AS-REP Roasting
🟢 קל- צריך
- רשימת שמות משתמשים
- זיהוי
- 4768 (RC4, בלי pre-authentication)4768
- הגנה
- לא לבטל pre-authentication; סיסמאות חזקות
GetNPUsers.py lab.local/ -usersfile users.txtמוביל ל־: Kerberoasting
כרטיסי מתקפות
שמונה מתקפות נפוצות על Active Directory, מסודרות לפי שרשרת התוקף: מה צריך, איך מזהים ואיך מגנים.
MITRE ATT&CK T1558.004
Kerberoasting
🟢 קל- צריך
- כל משתמש בדומיין
- זיהוי
- 4769 (RC4)4769
- הגנה
- gMSA, סיסמאות ארוכות לחשבונות שירות, AES בלבד
GetUserSPNs.py -request lab.local/user:passמוביל ל־: Delegation Abuse, DCSync
NTLM Relay
🟡 בינוני- צריך
- גישה לרשת + SMB בלי חתימה
- זיהוי
- 4624 (type 3, מקור חריג)4624
- הגנה
- SMB Signing, LDAP Signing, EPA, לכבות LLMNR
ntlmrelayx.py -t smb://targetמוביל ל־: AD CS (ESC1), Pass-the-Hash
Pass-the-Hash
🟡 בינוני- צריך
- Hash NTLM של משתמש + הרשאות מקומיות
- הגנה
- LAPS, Credential Guard, Protected Users
pth-winexe -U user%hash //target cmdמוביל ל־: Delegation Abuse, DCSync
AD CS (ESC1)
🟡 בינוני- צריך
- תבנית תעודה פגיעה + זכות רישום
- הגנה
- ביקורת תבניות, EDITF_ATTRIBUTESUBJECTALTNAME2, EPA
certipy req -template VulnTemplate -upn admin@lab.localמוביל ל־: DCSync
Delegation Abuse
🟡 בינוני- צריך
- חשבון עם Unconstrained/Constrained Delegation
- הגנה
- RBCD במקום Unconstrained; ביקורת חשבונות מורשים
Rubeus s4u /user:svc /impersonateuser:adminמוביל ל־: DCSync
DCSync
🔴 קשה- צריך
- Replicating Directory Changes (All)
- זיהוי
- 4662 (GUID 1131f6aa-…)4662
- הגנה
- למעט מי מורשה לשכפל; ניטור 4662; סיסמת krbtgt ×2
mimikatz: lsadump::dcsync /user:krbtgtמוביל ל־: Golden Ticket
Golden Ticket
🔴 קשה- צריך
- ה־hash של krbtgt (אחרי DCSync)
- זיהוי
- TGT עם משך חיים חריג
- הגנה
- איפוס krbtgt פעמיים, Tiering, ניטור
mimikatz: kerberos::golden /user:admin /krbtgt:hashסוף השרשרת — שליטה מלאה בדומיין