דילוג לתוכן הראשי
AD Academy
חזרה למדריך האירועים
4769Security (DC)אימות והתחברותWARNעודכן לאחרונה:

בקשת כרטיס שירות (TGS) — הבסיס ל־Kerberoasting

מה זה אומר

משתמש ביקש כרטיס לשירות מסוים. הרבה בקשות עם RC4 (0x17) ממשתמש אחד לשירותים רבים = ניסיון Kerberoasting.

מתי זה נורמלי ומתי חשוד

נורמלי: מאות אירועים ביום — כל גישה לשרת קבצים יוצרת כרטיס. חשוד: בקשות RC4 להרבה SPN שונים מחשבון אחד תוך דקות (Kerberoasting).

צעדים ראשונים

  1. 1בנה התראה: אותו Account Name, יותר מ־10 שירותים שונים ב־10 דקות.
  2. 2בדוק אילו חשבונות שירות עם SPN קיימים ומה אורך הסיסמה שלהם.
  3. 3העבר חשבונות שירות ל־gMSA כדי לסגור את הווקטור.

שדות שכדאי לבדוק

שדהעל מה להסתכל
Service Nameה־SPN שהתבקש. ריבוי SPN שונים באותה דקה = חשד ל־Kerberoasting.
Ticket Encryption Type0x17 = RC4, ניתן לפיצוח אופליין. 0x12 = AES, בטוח יותר.

אירועים קשורים

המדריך הוא נקודת פתיחה לחקירה, לא תחליף למדיניות האבטחה של הארגון שלך.