Перейти к содержимому
AD Academy
Ко всем событиям
4768Security (DC)Аутентификация и входINFOОбновлено:

Выдан билет TGT (AS-REQ)

Что это значит

Начало аутентификации Kerberos. Важно поле Ticket Encryption Type: 0x17 (RC4) у современной учётки может означать downgrade или AS-REP Roasting.

Когда это норма, а когда подозрительно

Норма: один TGT на вход утром. Подозрительно: запросы TGT для многих аккаунтов с одной машины за короткое время.

Первые шаги

  1. 1Отфильтруйте по Encryption Type 0x17, чтобы найти учётки без pre-auth.
  2. 2Проверьте флаг «Do not require Kerberos preauthentication».

Поля, на которые смотреть

ПолеНа что смотреть
Pre-Authentication TypeЗначение 0 — Pre-Auth отключён → учётка уязвима к AS-REP Roasting.
Ticket Encryption Type0x17 (RC4) вместо 0x12 (AES) — слабое шифрование, иногда признак атаки.

Связанные события

Справочник — отправная точка расследования, а не замена политике безопасности вашей организации.