AS-REP Roasting
🟢 Легко- Что нужно
- Список имён пользователей
- Детект
- 4768 (RC4, без предаутентификации)4768
- Защита
- Не отключать pre-authentication; стойкие пароли
GetNPUsers.py lab.local/ -usersfile users.txtВедёт к: Kerberoasting
Карточки атак
Восемь частых атак на Active Directory в порядке цепочки атакующего: что нужно, как обнаружить и как защититься.
MITRE ATT&CK T1558.004
Kerberoasting
🟢 Легко- Что нужно
- Любой пользователь домена
- Детект
- 4769 (RC4)4769
- Защита
- gMSA, длинные пароли сервисных учёток, только AES
GetUserSPNs.py -request lab.local/user:passВедёт к: Delegation Abuse, DCSync
NTLM Relay
🟡 Средне- Что нужно
- Доступ к сети + SMB без подписи
- Детект
- 4624 (type 3, аномальный источник)4624
- Защита
- SMB Signing, LDAP Signing, EPA, отключить LLMNR
ntlmrelayx.py -t smb://targetВедёт к: AD CS (ESC1), Pass-the-Hash
Pass-the-Hash
🟡 Средне- Что нужно
- NTLM-хэш пользователя + локальные права
- Защита
- LAPS, Credential Guard, Protected Users
pth-winexe -U user%hash //target cmdВедёт к: Delegation Abuse, DCSync
AD CS (ESC1)
🟡 Средне- Что нужно
- Уязвимый шаблон сертификата + право записи
- Защита
- Аудит шаблонов, снять EDITF_ATTRIBUTESUBJECTALTNAME2, EPA
certipy req -template VulnTemplate -upn admin@lab.localВедёт к: DCSync
Delegation Abuse
🟡 Средне- Что нужно
- Учётка с делегированием (Unconstrained/Constrained)
- Защита
- RBCD вместо Unconstrained; аудит учёток с делегированием
Rubeus s4u /user:svc /impersonateuser:adminВедёт к: DCSync
DCSync
🔴 Сложно- Что нужно
- Права репликации (Replicating Directory Changes/All)
- Детект
- 4662 (GUID 1131f6aa-…)4662
- Защита
- Минимум прав на репликацию; мониторинг 4662; двойной сброс krbtgt
mimikatz: lsadump::dcsync /user:krbtgtВедёт к: Golden Ticket
Golden Ticket
🔴 Сложно- Что нужно
- Хэш krbtgt (после DCSync)
- Детект
- TGT с аномальным сроком жизни
- Защита
- Двойной сброс krbtgt, Tiering, мониторинг
mimikatz: kerberos::golden /user:admin /krbtgt:hashКонец цепочки — полный контроль над доменом