Resource-Based Constrained Delegation (RBCD)

В RBCD решение переносится на ресурс: целевой компьютер сам определяет в атрибуте msDS-AllowedToActOnBehalfOfOtherIdentity, кому разрешено выдавать себя за него. Административное преимущество: не нужны права Domain Admin для настройки делегирования — достаточно контроля над целевым объектом.

Почему атакующие любят RBCD

• По умолчанию любой пользователь домена может присоединить до 10 компьютеров (MachineAccountQuota) и создать подконтрольную ему учётную запись компьютера.
• Если у атакующего есть право записи на объект целевого компьютера — он настраивает на нём RBCD в пользу созданной им учётной записи.
• Затем он запрашивает билет S4U и выдаёт себя за локального Administrator на этом компьютере.

# Проверка, кто может олицетворять определенный компьютер
Get-ADComputer TARGET-PC -Properties PrincipalsAllowedToDelegateToAccount

# Очистка подозрительной настройки RBCD
Set-ADComputer TARGET-PC -PrincipalsAllowedToDelegateToAccount $null

Защита

• Снизить MachineAccountQuota до 0 и делегировать присоединение компьютеров выделенной команде.
• Проверять права записи (GenericWrite / WriteDACL) на объекты компьютеров — BloodHound помогает это отобразить.
• Мониторить изменения атрибута msDS-AllowedToActOnBehalfOfOtherIdentity (Event ID 5136).
• Помещать чувствительные учётные записи в Protected Users и помечать их как недоступные для делегирования.

# Легитимное определение
Set-ADComputer FILE01 -PrincipalsAllowedToDelegateToAccount (Get-ADComputer WEB01)

# Аудит - кто уполномочен действовать от имени кого
Get-ADComputer -Filter * -Properties PrincipalsAllowedToDelegateToAccount |
  Where-Object { $_.PrincipalsAllowedToDelegateToAccount }

# Блокировка создания компьютеров обычными пользователями
Set-ADDomain -Identity corp.com -Replace @{'ms-DS-MachineAccountQuota'='0'}